La operación, coordinada entre, ESET, Microsoft, el centro de investigación Black Lotus Labs de Lumen y NTT, entre otros, consiguió desactivar los servidores de mando y control de Trickbot. ESET participó en el análisis técnico, proporcionando información estadística y nombres de dominio e IP conocidos de los servidores de mando y control. Trickbot es una botnet conocida por robar credenciales en computadoras comprometidas, pero en los últimos tiempos también llevó adelante ataques más dañinos, como los protagonizados por ransomware.
ESET lleva siguiendo las actividades de Trickbot desde su detección a finales de 2016. Solo en 2020, la plataforma de seguimiento de ESET analizó más de 125.000 muestras maliciosas y descargó y descifró más de 40.000 archivos de configuración utilizados por los diferentes módulos de Trickbot. Esto permitió a la compañía tener una visión excelente de los servidores de mando y control usados por esta botnet.
“A lo largo de todo este tiempo, se ha observado cómo Trickbot comprometía dispositivos de una manera estable, convirtiéndola en una de las botnets más longevas”, explica Jean-Ian Boutin, responsable de investigación de amenazas en ESET. “Trickbot es una de las familias de malware bancario más importantes y representa una amenaza para los usuarios de Internet en todo el mundo”.
Figura 1. Detecciones de Trickbot en todo el mundo entre octubre de 2019 y octubre de 2020
En sus años de funcionamiento, Trickbot se ha distribuido de diferentes maneras. Por ejemplo, recientemente se observó cómo se descargaba Trickbot en sistemas comprometidos por Emotet, otra botnet muy importante. En el pasado, Trickbot era utilizado principalmente como un troyano bancario que robaba cuentas bancarias y que pretendía realizar transferencias fraudulentas. Como mencionó ESET en su Informe de amenazas correspondiente al primer trimestre de 2020, Trickbot es una de las familias de malware bancario más prevalentes.
Uno de los complementos más antiguos desarrollados para la plataforma permitía a Trickbot utilizar ataques de inyección web, una técnica que permite al malware realizar cambios de forma dinámica en algunas páginas específicas que la víctima visite. “Gracias a nuestro análisis, hemos recopilado decenas de miles de archivos diferentes de configuración, con lo que conocemos bien qué páginas web tenía Trickbot como objetivo, principalmente webs de entidades financieras”, añade Boutin.
Figura 2. Número de sitios web apuntados en 2020
Lo que hace que Trickbot sea tan versátil es que sus funcionalidades se pueden ampliar enormemente con plugins. A lo largo del seguimiento, ESET recopiló y analizó 28 plugins diferentes. Algunos destinados a recopilar contraseñas de navegadores, clientes de correo electrónico y una variedad de aplicaciones, mientras que otros podían modificar el tráfico de red o autopropagarse.
“Intentar eliminar esta amenaza es un verdadero desafío, ya que cuenta con muchos mecanismos de recuperación, y su conexión con otros actores del mundo criminal muy activos convierte la operación en algo extremadamente complejo”, concluye el investigador de ESET.
Para más información, ESET acerca la guía de ransomware; un documento que explica todo sobre este tipo de código malicioso. Además, comparte el kit Anti-Ransomware con información sobre la amenaza y medidas de prevención: https://www.eset-la.com/kit-Antiransomware
Además, en el contexto de aislamiento por el COVID-19, los expertos de ESET acercan materiales educativos y herramientas útiles para aumentar la seguridad de las empresas. A través de guías y artículos, explican cómo la situación actual impulsa hacia nuevos desafíos y cuáles son los beneficios que se podrá obtener de ello. Además, desde ESET, apuestan al Teletrabajo Seguro ofreciendo a los usuarios la posibilidad de descargar sin cargo infografías, guías y checklist para administradores de TI, como así también solicitar licencias gratuitas para probar sus soluciones de doble autenticación, protección para endpoints y administración remota.
