主なポイント
- TrickBotは、金融情報、ログイン認証情報、個人情報などの機密データを盗み出すモジュール式のバンキング型トロイの木馬であり、ランサムウェアなどの追加のマルウェアを展開することも可能です。
- 主に悪意のあるメールの添付ファイルやリンクを通じて拡散し、その後、システムの脆弱性を悪用してネットワーク内を横方向に移動し、より多くのデバイスに感染させます。
- システムに侵入すると、そのマルウェアはシステム内に潜伏し、データを収集し、自身を拡散させ、検出を回避しつつセキュリティツールを無効化しながら、重要なファイルを探し出すことができる。
- 当初は銀行データの窃取を主目的としていたが、現在では大規模なネットワーク侵害や多段階攻撃を可能にする、より高度な脅威へと進化している。
- セキュリティ対策には、脆弱性へのパッチ適用、強力なサイバーセキュリティツールの活用、感染の兆候の監視、侵害されたシステムの隔離、そして適切なセキュリティ対策の継続的な実施が含まれます。
TrickBotマルウェアとは？
TrickBot（または「TrickLoader」）は、バンキング情報、口座情報、 個人識別情報（PII）、さらにはビットコインなど、企業や消費者のデータを狙うバンキング型トロイの木馬として知られています。高度にモジュール化されたマルウェアであるため、どのような環境やネットワークにも適応することができます。
2016年の発見以来、このトロイの木馬が行ってきた数々のトリックは、開発者の創造性と敏捷性に起因している。窃取に加え、TrickBotには、エクスプロイトを使用して横方向に移動し、影響を受けたネットワーク内で足掛かりを得る機能、Server Message Block（SMB）共有を経由して自身のコピーを伝播する機能、Ryukランサムウェアのような他のマルウェアをドロップする機能、感染したホストマシン上の文書やメディアファイルをスカウトする機能が与えられています。
TrickBotはどのように拡散するのか？
Emotetと同様、TrickBotは、悪質なスパム（マルスパム）キャンペーンに埋め込まれたURLまたは感染した添付ファイルの形で、感染したシステムに到達する。
いったん実行されると、TrickBotは、広く知られている3つのNSAエクスプロイトのいずれかを使用してSMBの脆弱性を悪用することにより、ネットワーク内で横方向に拡散する： EternalBlue、EternalRomance、またはEternalChampionです。
Emotetは、二次感染の一部としてTrickBotをドロップすることもあります。
TrickBotの歴史は？
TrickBotは銀行情報を盗むことから始まりましたが、最初から単純なものではありません。
いつMalwarebytes 研究者たちが2016年に初めてTrickBotを発見した時点で、それはすでに「単純な」認証情報窃盗マルウェアには通常見られない特徴を備えていた。当初は金融サービスやユーザーの銀行口座データを標的にしていた。また、他のマルウェアも拡散する。
TrickBotはDyrezaの後継者という評判がある。TrickBotは、Dyrezaと似た値を持つ特定の変数や、TrickBotの作成者がTrickBotと通信するコマンド＆コントロール（C&C）サーバーを設定する方法などの類似点を共有していた。このため多くの研究者は、Dyrezaを作成した人物またはグループがTrickBotも作成したと考えている。
2017年、開発者はTrickBotにワームモジュールを組み込みました。これは、WannaCryや EternalPetyaのような、ワームのような機能を持つランサムウェアキャンペーンの成功に触発されたと考えられます。開発者はまた、Outlookの認証情報を採取するモジュールも追加した。なぜOutlookなのか？世界中の何百もの組織と何百万人もの個人が、通常このウェブメールサービスを利用している。TrickBotが盗み出すデータの範囲も、クッキー、閲覧履歴、訪問したURL、Flash LSO（Local Shared Objects）など、多岐にわたる。
当時、これらのモジュールは新しかったが、うまくコード化されていなかった。
2018年、 TrickBotはSMBの脆弱性を悪用し続けました。また、 Windows PowerShell コマンドを使用した Defender のリアルタイム監視。暗号化アルゴリズムも更新されたが、モジュールのその他の機能は変更されていない。TrickBot の開発者は、難読化要素を組み込むことで、セキュリティ研究者によるコードの解析を防ぐ対策も開始した。
年末には、TrickBotがEmotetを抜いて企業に対する脅威のトップにランクされた。
TrickBotの開発者は2019年に再びトロイの木馬に変更を加えた。具体的には、米国を拠点とする携帯電話キャリア、Sprint、Verizon Wireless、T-Mobileに対するウェビン・インジェクト機能の動作方法に変更を加えた。
最近、研究者たちはこのトロイの木馬の回避方法が改善されたことを指摘した。自身のコピーを拡散するモジュールであるMwormは、Nwormと呼ばれる新しいモジュールに取って代わられた。この新しいモジュールは、TrickBotのHTTPトラフィックを変更し、ドメイン・コントローラに感染した後にメモリから実行できるようにします。これにより、TrickBotは感染したマシンに感染の痕跡を残さない。
トリックボットは誰をターゲットにしているのか？
最初は、誰でもTrickBotのターゲットになるように見えた。しかし近年では、OutlookやT-Mobileのユーザーのように、ターゲットがより具体的になってきているようだ。納税シーズンになると、TrickBotは税金をテーマにしたスパムを装うこともある。
2019年、DeepInstinctの研究者は、数百万人のユーザーから収穫された電子メールアドレスおよび/またはメッセンジャー認証情報のリポジトリを発見した。これらはGmail、Hotmail、Yahoo、AOL、MSNのユーザーのものである。
TrickBotから身を守るには？
TrickBotの仕組みを知ることは、組織や消費者がTrickBotから身を守る方法を知るための第一歩です。以下は、注意すべきその他の点です：
- ファーバー・リカバリー・スキャン・ツール（Farbar Recovery Scan Tool：FRST）など、このために特別に設計されたツールを実行して、侵害の可能性のあるインジケータ（Indicators of Compromise：IOC）を探します。これにより、ネットワーク内の感染したマシンを特定することができます。
- マシンが特定されたら、感染したマシンをネットワークから隔離する。
- Download そして、TrickBotが悪用する脆弱性に対処するパッチを適用する。
- 管理者共有を無効にする。
- すべてのローカル管理者とドメイン管理者のパスワードを変更する。
- 多層防御機能を備えたサイバーセキュリティプログラムを使用して、TrickBot感染から身を守りましょう。 Malwarebytes ビジネス向け製品および高級消費者向け製品は、TrickBotをリアルタイムで検知し、ブロックします。
TrickBotの削除方法を教えてください。
TrickBotは完璧ではなく、（これまで見てきたように）開発者が時折ずさんな対応をすることもあります。重要なのは、 Malwarebytesは駆除できるということです。Malwarebytesを使えば、感染したシステムを隔離し、修復し、TrickBotやその他の悪質なマルウェアの再発から保護することで、駆除作業の一部を簡略化できます。