Нова версия на банковия троянец събира данни за системни сривове, вероятно за фишинг атаки
Експерти по киберсигурност са регистрирали необичайно поведение при нова модификация на банковия троянец TrickBot. Вредоносната програма проявява интерес към данните, събирани от вградената в Windows функция Reliability Monitor, съобщават специалистите. Засега не е известно как точно ще бъде използвана тази информация, но се предполага, че тя може да послужи за осъществяване на нов тип атаки.
Какво представлява TrickBot
TrickBot се появи през 2016 г. и оттогава се утвърди като един от най-разпространените банкови троянски коне. Новата му версия обаче разширява обхвата си: освен финансови данни, тя събира и информация за работата и сривовете на операционната система Windows.
Данни от Reliability Analysis Component
Става въпрос за компонента Reliability Analysis Component (RAC), която записва лог файл с данни за стабилността на Windows, инсталирания софтуер, обновяванията, грешките на операционната система и приложенията, както и за хардуерни сривове. Функцията RACAgent ежечасно прочита тези данни и ги съхранява в локалната папка C:\ProgramData\Microsoft\RAC.
Възможна употреба за фишинг
Според специалистите по информационна сигурност събраната информация е удобна за провеждане на фишинг атаки. Тя може да разкрие слаби места в компютърната система, които да бъдат използвани за по-мощни и целенасочени атаки.
Разпространение чрез фалшиви имейли
Напоследък TrickBot се разпространява предимно чрез фалшиви имейли, представящи се за съобщения от банката Lloyds Bank. Писмата изглеждат изпратени от адрес donotreply@lloydsbankdocs.com, а вредоносният код е вграден в макрос на прикачен Word файл. За да заблудят получателите, документът включва и логото на антивирусната програма Symantec, което създава впечатление, че файлът е проверен за вируси.
Към момента няма потвърждение за конкретни атаки, използващи събраните от Reliability Monitor данни. Експертите продължават да анализират поведението на новата версия на TrickBot.