TrickBot新增BazarBackdoor後門程式 借員工WFH入侵公司電腦

惡名昭彰的木馬程式 TrickBot 引入了新模組,一款名為 BazarBackdoor 的後門程式會暗地裡安裝在受害者的裝置內,根據研究人員形容,攻擊者可以藉此後門程式為所欲為。

借電子郵件營銷平台傳播
新模組在今年三月的一個網絡釣魚活動中被發現,該活動使用了合法的電子郵件營商平台作大批量發送,然而內容經過精心製作,不但內含的釣魚連結看起來幾可亂真,而且網址的內容與釣魚電郵的內容互相呼應。根據研究員透露,電郵的內容多部份都經過「度身訂造」,內容包括:客戶投訴、肺炎相關的薪酬報告或員工離職清單等,然後附有連結到看似放在 Google Docs 上的文件。

事實上文件的連結會把用戶帶到一個彈出錯誤訊息的網站,例如 Word、Excel 或 PDF 文件會顯示無法正常瀏覽,然後顯示下載附件以達到瀏覽的目的,而相關的檔案名稱也會與釣魚電郵的內容互相呼應,例如:當電郵內容是肺炎薪酬報告時,下載的文件名稱便是 PreviewREport.DOC.exe,由於 Windows 預設不會顯示副檔名,所以大部份用戶只會看到 PreviewReport.DOC,誤以為是正常的文件檔案而打開,其實是一個執行程式檔案。

BazarBackdoor 後門程式模組
執行程式其實是 BazarBackdoor 後門程式的載具,一經安裝,它便會隱藏在背景,當連線到 C&C 伺服器便會下載 BazarBackdoor 後門程式。這個後門程式為攻擊者提供完全的存取權限,能夠發動各式各樣的攻擊,例如:加密勒索、工業間諜、外洩公司資料等等,可算是為所卻為,鑒於附有這後門程式的電郵廣泛發出,可能會造成嚴重的危險。

研究人員把 BazarBackdoor 形容為企業級惡意程式,由於與 TrickBot 使用了部份相同的編碼、散播放式和操作方法,所以認為兩者互有關連。

從銀行木馬進化
TrickBot 自 2016 年已經出現,初期是一款銀行木馬,但隨著時間逐漸擴充其功能,包括收集受害者的電郵、瀏覽器和已安裝的網絡裝置登入資料,更革新加入更多模組,成為傳輸惡意程式的載具。而且 BazarBackdoor 並非 TrickBot 唯一的後門程式,在今年一月曾被發現使用 PowerTrick 後門程式,協助惡意程對目標金融機構進行偵察,也曾被發現使用其他後門程式協助 TrickBot 逃避偵測。

在 2019 年時有研究人員偵測到有攻擊活動,持續透過 Emotet 加載 Trickbot 去部署 Ryuk 加密勒索程式,其實借當中的 Empire 後門程式去執行連鎖的破壞。除了 BazarBackdoor,研究人員發現 Trickbot 提升了反分析的方法,也新增了暴力破解 RDP 的模組。

借 WFH 攻擊公司電腦
研究人員認為,TrickBot 這次的攻擊是借遙距工作人數突然增加之勢,乘機攻擊他們的公司電腦,再藉此取得權限進入公司的 IT 系統作惡。

資料來源:Threat Post

Comments are closed