TROYANO – TrickBot

[mrwebfeeder]

---

Nombre: TrickBot

Categoría: Troyano bancario / Plataforma modular

Fecha de descubrimiento: En torno a 2016

Comportamiento (lo que hace y archivos que infecta):
- Nace como troyano bancario centrado en robar credenciales de banca en línea y otras credenciales financieras.
- Evoluciona a una plataforma modular capaz de:
- Robo de credenciales (navegadores, clientes de correo, VPN, RDP, etc.).
- Exfiltración de información de sistema, dominio y red.
- Movimiento lateral dentro del entorno corporativo.
- Descarga y ejecución de otros payloads (especialmente ransomware).
- Se distribuye principalmente mediante:
- Campañas de correo malicioso (malspam) con adjuntos o enlaces.
- Cadena de infección junto a otros malware (por ejemplo Emotet, Ryuk, Conti y otros actores).
- Funciones típicas:
- Inyección en navegadores para capturar credenciales bancarias.
- Enumeración de red (shares, dominios, controladores de dominio).
- Uso de credenciales robadas para propagarse a otros equipos.
- Descarga de módulos adicionales (DLL/EXE) desde infraestructura de mando y control (C2).
- Archivos afectados:
- Perfiles y datos de navegadores (cookies, sesiones, credenciales guardadas).
- Ficheros de configuración de aplicaciones con credenciales o tokens.
- Binarios auxiliares y DLLs colocados en rutas de sistema o de usuario.

Persistencia:
- Usa tareas programadas para ejecutarse de forma recurrente:
- Ejemplo: creación de tareas con nombres que imitan procesos legítimos o tareas del sistema.
- Modifica claves de Registro en rutas Run/RunOnce para ejecutar su binario en cada inicio de sesión.
- Puede instalar servicios adicionales o usar rutas en AppData con nombres que simulan software legítimo.
- En redes comprometidas:
- Mantiene presencia mediante movimiento lateral y despliegue de módulos en varios equipos; limpiar un solo host rara vez es suficiente.

Hash real de referencia (SHA-256):
Muestra pública asociada a TrickBot:

Code:

0fbf3f65f8c9db2bdd687ce916d3b8ce1eb4f24f666b0c844d05f200c3c0d892

Mitigación con GetOverX Shield v3.0.2.0 o superior:

• Antivirus:
  - Realizar escaneo completo de todos los equipos sospechosos y de las unidades de red mapeadas.
  - Localizar y eliminar:
  - El binario principal de TrickBot.
  - Módulos adicionales (DLL/EXE) descargados por el troyano.
  - Prestar especial atención a:
  - Directorios de usuario (AppData, Local, Roaming).
  - Rutas de sistema donde se hayan creado binarios con nombres similares a procesos legítimos.
  - Repetir el escaneo tras la limpieza y antes de reconectar el equipo a la red.
  
  
• Firewall:
  - Bloquear conexiones salientes hacia dominios e IPs asociadas a C2 de TrickBot o tráfico sospechoso persistente.
  - Restringir SMB, RDP y otros servicios de administración solo a orígenes/destinos legítimos para reducir movimiento lateral.
  - En hosts comprometidos:
  - Aislar temporalmente mediante reglas de firewall más restrictivas hasta concluir la remediación.
  
  
• HIPS / EDR:
  - Crear reglas de detección para:
  - Actividad anómala de tareas programadas recién creadas que ejecutan binarios desconocidos.
  - Creación/modificación de claves de Registro Run/RunOnce apuntando a rutas no estándar.
  - Uso de procesos hijos que:
  - Enumeran red y dominio.
  - Ejecutan herramientas administrativas o de credenciales sin justificación.
  - Intentos de inyección en navegadores u otros procesos que manejan credenciales.
  - Definir respuesta automática:
  - Bloquear y matar procesos identificados como relacionados con TrickBot.
  - Marcar hashes y rutas como bloqueadas de forma persistente.
  - Registrar toda la actividad en los logs unificados para análisis posterior.
  
  
• Sandbox:
  - Ejecutar en Sandbox:
  - Adjuntos de correo sospechosos.
  - Ejecutables recibidos por canales no confiables.
  - Observar si el archivo:
  - Establece conexiones a dominios/IPs desconocidos.
  - Crea tareas programadas o claves Run.
  - Descarga módulos adicionales o herramientas de red.
  
  
• Post-incidente:
  - Forzar el cambio de credenciales:
  - Bancarias.
  - Cuentas administrativas (AD, servidores críticos, VPN, correo).
  - Revisar si se descargó y ejecutó ransomware u otros payloads posteriores:
  - Examinar logs de cifrado de archivos, borrado de copias de sombra, etc.
  - Analizar toda la red:
  - Identificar otros endpoints con indicios de TrickBot o módulos relacionados.
  - Realizar limpieza coordinada para evitar reinfecciones desde máquinas aún comprometidas.
  - Reforzar controles de correo y formación anti-phishing para reducir las probabilidades de nuevas infecciones en la misma organización.
  

---

Notas opcionales:
- TrickBot ha sido uno de los pilares del ecosistema de cibercrimen financiero y ransomware, frecuentemente utilizado junto con otras familias (Emotet, Ryuk, Conti) como parte de cadenas de ataque complejas en entornos corporativos.