TrickBot银行木马深入分析与防御指南

一、TrickBot木马概述

TrickBot是一种针对银行机构的模块化木马程序，最早发现于2016年。经过多年发展，它已成为功能复杂、影响广泛的恶意软件：

• 演变过程：从功能简单的木马发展为模块化恶意软件
• 主要功能：浏览器历史记录收集、金融账户信息窃取、内网横向传播、系统信息收集
• 技术特点：大量混淆技术、字符串加密、模块加载时解密
• 影响范围：全球性攻击目标，在影响范围、持续时间和更新频率方面均位居前列

二、技术分析

1. 初始感染与持久化机制

样本特征：

• 使用正常有效的数字签名（降低检测威胁级别）
• 文件MD5示例：6bff3687dee62654901f2edcb7d4ff8d

感染流程：

1. 将自身复制到C:\ProgramData\（路径和文件名硬编码）
2. 执行复制体后退出原进程
3. 在内存003A0000处解密PE文件
4. 将解密内容（除PE头）拷贝至内存00571000并执行

持久化技术：

• 在C:\Users\root\AppData\Roaming\创建MsCloud文件夹
• 将自身复制到MsCloud目录
• 创建名为"Ms Cloud Disk"的计划任务
• 在MsCloud下创建data文件夹存储后续文件和窃取信息

2. 信息收集功能

系统信息收集：

• 磁盘驱动器信息
• 计算机名（添加唯一标识符后缀作为主机ID）
• 网卡信息
• 操作系统信息

网络通信：

• 使用生成的主机唯一ID与服务端通信
• 所有收集信息都与该ID关联
• C&C服务器IP见IOC列表

3. 模块化架构

通过远程线程注入svchost.exe执行下载的DLL模块：

1. systeminfo32：

   • 收集系统信息
   • 通过HTTP POST明文发送给C&C

2. injectDll32：

   • 窃取浏览器密码、自动填充内容和历史记录
   • 支持Chrome、Firefox、IE

3. pwgrab32：

   • 复制Chrome浏览数据和登录数据
   • 获取FileZilla、RDP、VNC、WinScp密码
   • 窃取多种浏览器历史记录和密码
   • 获取Outlook用户资料

4. importdll32：

   • 获取浏览器cookies和历史记录
   • 针对特定网站（包括国内外）抓取用户凭证

5. networkDll32：

   • 收集主机网络信息
   • 通过HTTP POST明文发送给C&C

6. tabDll32：

   • 下载更新样本(log_install.tmp)
   • 通过IPC横向传播
   • 复制更新样本为stsvc.exe并创建服务

三、攻击指标(IOCs)

样本MD5：

7486823b7ad4f42408c00de7432934ab
55f3662bef9c80137076a30455bf3d33
e411cdad2162b5af54de817820f2ef29
9d198b6db526d725066cb06475cec174
8ab7998c6ce116c42990f9824646cfdf
a69a08fcadc8c5bb1ee34e5d572db65f
6bff3687dee62654901f2edcb7d4ff8d

C&C服务器：
(原文中未列出具体IP，实际分析时应补充完整列表)

四、检测与分析方法

分析工具：

• Ollydbg：动态调试
• Wireshark：网络流量分析
• IDA Pro：静态分析
• pestudio：PE文件分析

关键分析点：

1. 查找内存中的PE文件解密过程(003A0000区域)
2. 监控对svchost.exe的远程线程注入
3. 分析MsCloud目录下的文件和计划任务
4. 检测对特定端口的连接尝试(139,445等)
5. 监控HTTP POST请求中包含的系统信息

五、防御措施

1. 系统加固：

   • 关闭易受攻击端口(139,445等)
   • 禁用不必要的服务
   • 实施最小权限原则

2. 密码安全：

   • 不使用弱口令
   • 实施多因素认证
   • 定期更换密码

3. 终端防护：

   • 保持杀毒软件更新
   • 监控异常进程(svchost.exe异常行为)
   • 检查计划任务中的可疑项

4. 高级防护方案：

   • 部署"铁穹高级持续性威胁系统"(结合流量检测与沙箱分析)
   • 实施网络流量监控，检测异常HTTP POST请求
   • 建立文件完整性监控，关注ProgramData和AppData目录

5. 安全意识：

   • 警惕带有有效签名的可疑文件
   • 定期检查系统异常行为
   • 及时报告可疑活动

六、应急响应指南

1. 隔离感染主机：立即断开网络连接
2. 收集证据：
   • 提取MsCloud目录内容
   • 记录计划任务和服务中的可疑项
   • 保存内存转储进行分析
3. 清除恶意组件：
   • 删除MsCloud目录及其内容
   • 移除恶意计划任务和服务
4. 密码重置：所有可能被窃取的凭证
5. 全面扫描：使用更新后的杀毒软件全盘扫描
6. 监控：后续网络活动，确认是否完全清除

通过以上全面措施，组织可以有效防御和应对TrickBot银行木马的威胁。