研究者はTrickBot開発者をDiavolランサムウェアとリンクさせました

ヘルガ・スミス七月 5, 2021最終更新: 七月 5, 2021

2 分を読んだ

Fortinetスペシャリストが公開しました報告, 彼らは、有名なマルウェアトリックボットの作成者が (このハックグループは通常、ウィザードスパイダーと呼ばれます) 新しいDiavolランサムウェアの開発に関与している可能性があります.

ランサムウェアダイボールとコンティのペイロードは、6月上旬にさまざまなシステムに展開されました 2021. これらのランサムウェアは非常に似ており、多くの共通点があることに注意してください, ファイル暗号化中に非同期I/O操作を使用することから, 同じ機能にほぼ同じコマンドラインパラメータを使用する (例えば, ログの作成, ディスクとネットワークリソースの暗号化, ネットワークのスキャン).

しかしながら, 専門家は、DiavolランサムウェアとTrickbotの著者との間に直接的なつながりを見つけることができませんでした, さらに, 彼らは多くの重要な違いを見つけました. 例えば, Diavolには、ロシアおよびCIS諸国のシステムでペイロードがトリガーされるのを防ぐ組み込みチェックがありません. さらに, 新しいマルウェアは、暗号化前にデータを盗んでいません.

攻撃者が使用するパラメーター, ハードコーディングされた構成のエラーとともに, Diavolはオペレーターの武器庫にある新しいツールであることをヒント, 彼らはまだ完全に慣れていません.研究者は書いています.

その間, 先日、クリプトスロジックはそれを発表しました変更が見つかりました Trickbotマルウェア自体のコード. 専門家によると, 6月以来 2021, Trickbotは、電子バンキングログイン資格情報を盗もうとする古い銀行コンポーネントの更新バージョンを含む感染したマシン上の新しいモジュールを起動しています.

このコンポーネントは書き直されており、悪意のあるコードを銀行のウェブサイトに注入するための新しい方法が含まれています. 専門家は、新しいコードが古いゼウスバンカーからコピーされることを示唆しています: インジェクションはローカルソックスサーバーを介してトラフィックをプロキシすることで機能します. トラフィックでオンラインバンキングログインページに遭遇した場合, トラフィックは資格情報を盗むか、他の悪意のあるアクションを実行するために変更されます. このようにして、Trickbotの開発者が他の銀行トロイの木馬と競争し、顧客の一部を誘惑しようとしていると想定されています.

Trickbotは、これまでで最大かつ最も成功したマルウェアの脅威の1つです. マルウェアは最初に発見されました 2015, Dyreハッキンググループの構成を大幅に変更した一連の注目を集める逮捕の直後.

長年にわたって, マルウェアは、銀行口座から資金を盗むように設計された従来のバンキング型トロイの木馬から、他の脅威を拡散する多機能ドロッパーに進化しました。 (鉱夫からランサムウェアや情報スティーラーまで).

TrickBotとDiavolランサムウェア