升级版TrickBot将支持获取信用卡储蓄卡数据的功能

2018-12-10 86875人围观 ,发现 1 个不明物体 终端安全

前言

Trickbot这款银行木马涉及到了多种网络攻击活动,但它主要针对的是银行机构的网络系统。但是现在,TrickBot的更新版本将能够针对自助提款服务以及POS机设备来发动攻击,并窃取目标用户的储蓄卡及信用卡支付数据。

TrickBot

概述

近期,TrickBot的恶意活动变得越来越频繁了,而且它还可以攻击类似Microsoft Outlook、Chrome、Firefox、IE和Edge等浏览器或者App,并从中窃取用户密码和其他的敏感数据。

除此之外,这款恶意软件的开发者仍在持续给TrickBot增加新的功能,比如说引入更强大的代码注入技术来绕过安全检测,引入反分析技术并禁止目标计算机运行安全工具。

目前识别到的TrickBot样本已经支持POS服务攻击功能了。这个新添加的POS感染模块名为psfin32,它的作用跟此前攻击所使用的网络域名收集模块非常类似。

研究人员在分析过程中发现,模块代码中包含了跟POS相关的术语,而且代码使用了LDAP查询请求来访问活动目录服务(ADS)并识别目标网络中的POS服务。

LDAP查询&TrickBot感染过程

TrickBot主要使用LDAP查询来在Global Catalog中搜索包含了下列子字符串(跟POS服务相关)的设备:

*POS**LANE* *BOH* *TERM**REG* *STORE* *ALOHA* *CASH* *RETAIL* *MICROS*

它使用了不同的LDAP查询来搜索这些子字符串,如果查询请求无法获取到预期的响应信息,也就是查询结果,那么它将会查询其他的账号或者对象。

当Trickbot从目标设备上获取到了所需信息之后,它将会把数据存储在预配置文件中,并通过POST链接将收集到的数据传回远程C2服务器。

如果C2服务器无法访问,它将会返回“Dpost servers unavailable”,否则它将会发送“Report successfully sent”。

因此,研究人员提醒广大企业及用户,不要打开任何可疑邮件以及附件文档,以防止受到此类攻击的威胁。

* 参考来源:gbhackers,FB小编Alpha_h4ck编译,转载请注明来自FreeBuf.COM

发表评论

已有 1 条评论

取消
Loading...

特别推荐

推荐关注

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php