Troyano TrickBot Banking con Screen locker
La versión más reciente del troyano bancario TrickBot ahora incluye un componente de bloqueo de pantalla, lo que sugiere que los operadores de malware podrían comenzar pronto a exigir rescate a las víctimas si los objetivos infectados no parecen ser usuarios de banca electrónica
La buena noticia es que el mecanismo del screenlocker aún no es completamente funcional y parece estar aún en desarrollo.
No obstante, los investigadores de seguridad han descubierto el nuevo módulo que cayó en las computadoras de las víctimas, lo que sugiere que el desarrollo es lo suficientemente avanzado como para haber llegado a pruebas de campo.
El módulo screenlocker forma parte de uno de los muchos archivos que TrickBot coloca en las computadoras de las víctimas. Los primeros avistamientos de este nuevo módulo TrickBot datan de la semana pasada, 15 de marzo.
TrickBot, aunque es conocido por ser principalmente un troyano bancario, ha evolucionado en los últimos años para convertirse en un "cuentagotas de malware".
Los autores de TrickBot infectan a las víctimas con una cepa de malware inicial especializada en la descarga de varios módulos TrickBot, que son responsables de diversas operaciones. Los módulos conocidos anteriores incluyen el troyano bancario real (el inyector del navegador), pero también un módulo que envía spam de correo electrónico de los hosts infectados, y un gusano de replicación SMB para moverse lateralmente dentro de redes más grandes.
El 15 de marzo, el cuentagotas inicial de TrickBot comenzó a descargar un archivo llamado tabDll32.dll (o tabDll64.dll) que soltó otros tres archivos llamados:
Spreader_x86.dll: Módulo TrickBot que intenta propagarse a otras computadoras en la misma red a través de SMB aprovechando EternalRomance y posiblemente otros exploits parcheados por el parche de seguridad MS17-010.SsExecutor_x86.exe: Módulo TrickBot utilizado junto con el primero, destinado a ejecutarse después del compromiso inicial. El módulo también establece la persistencia de arranque en la computadora comprometida.ScreenLocker_x86.dll: Módulo TrickBot que bloquea la pantalla de la computadora infectada. No encripta archivos. Módulo no funcional.
Módulo Screenlocker desarrollado para redes empresariales
Lo que destaca es el hecho de que TrickBot ya tenía un componente de gusano SMD autodesprendible desde el verano de 2017, descartado como un archivo llamado wormDll32.dll.
Los tres archivos eliminados a través de este módulo recién descubierto parecen estar diseñados para funcionar juntos, uno después del otro, ignorando el componente original del gusano, y con el screenlocker activado después de propagarse lateralmente a través de una red.
Esto ha llevado a los investigadores de seguridad a creer que este módulo se desarrolló como un método de un solo clic para monetizar infecciones en redes corporativas donde los usuarios tienen menos probabilidades de usar servicios de banca electrónica, independientemente del gusano SMB original.
"Si los desarrolladores de TrickBot están intentando completar esta funcionalidad de bloqueo, esto genera una especulación interesante en torno al modelo comercial del grupo", dice Jason Davison, analista de investigación avanzada de amenazas para la empresa de seguridad Webroot.
"Es notable que esta funcionalidad de bloqueo solo se implementa después del movimiento lateral, lo que significa que se usaría principalmente para apuntar a redes corporativas no reparadas", agrega Davison. "En una red corporativa, donde es poco probable que los usuarios visiten regularmente URL bancarias específicas, la exfiltración de credenciales bancarias es un modelo de generación de dinero menos exitoso en comparación con el bloqueo de potencialmente cientos de máquinas".
Si bien no se han observado operaciones de cifrado de archivos en las versiones actuales, esto no significa que el módulo actual no recibirá actualizaciones adicionales para exhibir el comportamiento de un cripto-ransomware completamente funcional.