Uma nova variante do TrickBot, malware que surgiu em 2016 voltado para o roubo de dados bancários, passou a utilizar um método discreto para infectar e controlar computadores com sistema Windows. Identificada por pesquisadores da FortiGuard Labs, a versão mais recente da ameaça usa uma técnica chamada “tunelamento de DNS” para trocar ordens com operadores sem chamar a atenção de sistemas de defesa.
O sistema de nomes de domínio (DNS) funciona como a “lista telefônica” da internet, responsável por traduzir endereços de sites em números de IP. Com o uso do tunelamento, o vírus esconde dados maliciosos dentro dessas requisições diárias de rede e abusa de um canal que as empresas raramente podem bloquear.
A descoberta ocorreu após o monitoramento de segurança detectar consultas de rede fora do padrão. Em relatório técnico publicado nesta semana, o pesquisador Xiaopeng Zhang explicou que a migração de protocolo marca uma mudança importante na conduta do grupo criminoso:
“O TrickBot é uma família de malware modular que o FortiGuard Labs capturou repetidamente ao longo da última década. Sua arquitetura permite estender capacidades ao baixar e executar módulos adicionais. As variantes observadas anteriormente baseavam-se primariamente em conexões HTTP para se comunicar com os servidores de controle”, observou.
Como o vírus esconde as ordens no tráfego
Nesta nova onda de ataques, o vírus fragmenta os comandos, os disfarça como solicitações para o domínio “.westurn[.]in” e envia o tráfego por meio do serviço de DNS público do Google (8.8.8.8).
Do outro lado, o servidor dos criminosos responde e simula endereços IP convencionais. O TrickBot coleta essas respostas, junta os pedaços e reconstrói as instruções ou arquivos direto na memória do PC. Nos testes de laboratório, os analistas registraram o envio de um arquivo de 1,2 MB em cerca de 40 segundos.
Camuflagem no sistema e controle total
Para manter o acesso ativo mesmo se o computador for reiniciado, o programa cria tarefas automáticas no Windows a cada cinco minutos. Para enganar o usuário ou o administrador da rede, a instrução ganha nomes falsos de atualizações legítimas, como “Wireshark autoupdate #72784”.
As rotinas da ameaça são salvas em recursos ocultos do sistema de arquivos do Windows, conhecidos como fluxos de dados alternativos. Essa estratégia impede que os elementos apareçam como arquivos comuns em uma verificação simples.
“Para se proteger da análise estática, o TrickBot emprega diversas técnicas de ofuscação. Suas cadeias de texto são criptografadas e resolvidas apenas no momento da execução”, pontuou Zhang.
Ao se fixar na máquina, o malware pode receber até 12 tipos de comandos remotos. As instruções permitem abrir o Prompt de Comando e o PowerShell, injetar código malicioso dentro de processos legítimos em execução no Windows ou rodar arquivos baixados em segundo plano.
Em um dos cenários analisados, Zhang detalhou a execução de uma biblioteca nociva (tcp469A.dll): “O malware salva o arquivo em uma pasta temporária com um nome aleatório e aciona um recurso nativo do Windows para rodar a biblioteca. A partir daí, o código malicioso passa a operar camuflado dentro do próprio sistema.”
Histórico e recomendações
Embora a Microsoft e outras gigantes da tecnologia tenham desmantelado grande parte da infraestrutura do TrickBot em 2020, o código continua em evolução e atua com frequência no roubo de senhas e na implantação de ransomware (sequestro de dados).
Para evitar invasões, administradores de rede devem monitorar consultas DNS atipicamente longas, acompanhar atividades suspeitas no PowerShell e investigar tarefas agendadas que simulem atualizações de programas desconhecidos.
Por falar em Microsoft: vale lembrar que a big tech identificou um aumento expressivo nos ataques que utilizam o vírus ACR Stealer, que atua de forma silenciosa. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.