ESET se podílel na globální operaci proti botnetu Trickbot

Analytici společnosti ESET se podíleli na celosvětové operaci, jejímž cílem bylo narušit aktivity botnetové sítě Trickbot. Ta od roku 2016 zahrnovala přes milion infikovaných počítačů. V rámci této operace se ESET ve spolupráci se společnostmi Microsoft, Lumen’s Black Lotus Labs Threat Research, NTT a dalšími zaměřil na řídící servery Trickbotu. Experti z ESET připravovali pro operaci technickou analýzu, statistická data a informace o doménách a IP adresách kontrolních (C&C) serverů. Trickbot se zaměřuje na odcizení přihlašovacích údajů z kompromitovaných počítačů, nedávno také bezpečnostní technici zachytili mechanismy určené ke škodlivějším typům útoků, jakým je zejména ransomware.

Analytici společnosti ESET sledovali aktivity vývojářů Trickbotu od první detekce tohoto botnetu v závěru roku 2016. Jen v roce 2020 prozkoumal analytický systém ESETu, určený pro sledování botnetů, přes 125 000 škodlivých vzorků a stáhl a dešifroval přes 40 000 konfiguračních souborů, které využívaly různé moduly Trickbotu. Tato data poskytla vynikající náhled na různé kontrolní servery tohoto botnetu.

"Botnet je obecně označení pro síť infikovaných počítačů řízených z jednoho kontrolního, tzv. C&C serveru. Tuto síť útočníci používají k různým útokům na ostatní zařízení, například rozesílání spamu nebo tzv. DDoS útoky, které mohou ochromit a shodit vybrané weby. Setkáváme se ale s tím, že cílem mohou být i počítače, které jsou v botnetu. Uživatelé, jejichž zařízení v takové síti je, o tom zpravidla nemají ponětí," vysvětluje Robert Šuman, vedoucí pražského výzkumného oddělení společnosti ESET.

"Během let, kdy jsme jej sledovali, jsme dostávali pravidelná hlášení o dalších zařízeních kompromitovaných Trickbotem. Tento postupný a trvalý růst z něj dělá jeden z největších a nejdéle aktivních botnetů. Trickbot je jednou z nejrozšířenějších skupin bankovního malware, která představuje celosvětovou hrozbu," dodává Šuman.

Tvůrci Trickbotu využívali různé metody pro jeho distribuci. Nedávno experti zachytili novinku, kdy Trickbot napadal systémy, které již předtím kompromitoval Emotet, jiný rozsáhlý botnet. V minulosti využívali většinou útočníci Trickbot jako bankovního trojského koně, který měl odcizit přihlašovací údaje z online bankovních účtů, a provést podvodné převody. Jeden z nejstarších pluginů umožnoval Trickbotu využívat techniku vkládání kódu do webových stránek. To malwaru umožňuje dynamicky měnit, co uživatel napadaného systému uvidí při návštěvě specifické webové stránky.

"Prostřednictvím našeho monitoringu tohoto malware jsme posbírali desítky tisíc různých konfiguračních souborů. Díky tomu jsme zjistili na jaké webové stránky se tvůrci Trickbotu zaměřili. Cílové URL adresy náleží v podstatě bez výjimky finančním institucím," dodává Šuman.
"Narušení funkce tohoto botnetu je velmi náročný úkol, protože má různé záložní mechanismy a je propojený s dalšími vysoce aktivními aktéry ve sféře kyberzločinců," uzavírá Šuman.