Klug gestrickte Malware – wie Trickbot funktioniert

Trickbot infizierte seit November 2020 über 140’000 Rechner von Kunden hochkarätiger Unternehmen verschiedener Branchen, darunter Amazon, Microsoft und PayPal

San Carlos, Kalifornien – 17. Februar 2022 – Check Point Research (CPR), die Threat Intelligence-Abteilung von Check Point® Software Technologies Ltd. (NASDAQ: CHKP), einem weltweit führenden Anbieter von Cyber-Sicherheitslösungen, hat wichtige Details zur Einschleusung von Trickbot in Erfahrung gebracht und berichtet, dass der berüchtigte Banking-Trojaner seit November 2020 über 140 000 Rechner infiziert hat. Darunter sind die Kunden von namhaften Gross-Konzernen und Unternehmen, wie etwa Amazon, Microsoft, Google oder PayPal. Die Autoren von Trickbot haben es gezielt auf hochrangige Ziele abgesehen, um deren sensible Daten zu stehlen und zu kompromittieren. Darüber hinaus kann die Infrastruktur von Trickbot von verschiedenen Malware-Familien genutzt werden, um auf infizierten Rechnern weiteren Schaden anzurichten. CPR rät der Öffentlichkeit dringend, nur Dokumente aus vertrauenswürdigen Quellen zu öffnen, da die Trickbot-Autoren Verschleierungstechniken nutzen, um auf Rechnern zu bleiben. Insgesamt dokumentierte CPR rund 60 Unternehmen, deren Kunden in den letzten 14 Monaten das Opfer von Trickbot geworden waren.

Details zur Implementierung von Trickbot:

• Die Malware ist sehr wählerisch bei der Auswahl ihrer Ziele.
• Verschiedene Tricks (einschliesslich Anti-Analyse- und Verschleierungstechniken), die in den Modulen implementiert sind, belegen den hochtechnischen Hintergrund der Autoren.
• Die Infrastruktur von Trickbot kann von verschiedenen Malware-Familien genutzt werden, um auf infizierten Rechnern noch mehr Schaden anzurichten.
• Hochentwickelte und vielseitige Malware mit mehr als 20 Modulen, die bei Bedarf heruntergeladen und ausgeführt werden können.

Wie Trickbot funktioniert:

1. Bedrohungsakteure erhalten eine Datenbank mit gestohlenen E-Mails und senden bösartige Dokumente an die ausgewählten Adressen.
2. Der Benutzer lädt ein solches Dokument herunter und öffnet es, wodurch die Ausführung eines Makros möglich wird.
3. Die erste Stufe der Malware wird ausgeführt, sobald die wichtigsten Komponenten heruntergeladen wurden.
4. Die Hauptnutzlast von Trickbot wird ausgeführt und verbleibt auf dem infizierten Computer.
5. Trickbot-Zusatzmodule können bei Bedarf von den Hackern auf den infizierten Computer geladen werden. Die Funktionalität solcher Module kann variieren: Sie können sich über ein kompromittiertes Unternehmensnetzwerk verbreiten, Unternehmensdaten stehlen, Anmeldedaten für Bank-Websites abgreifen und vieles mehr.

Umfang der Auswirkungen:

Die folgende Tabelle zeigt den prozentualen Anteil der von Trickbot betroffenen Unternehmen in jeder Region:

„Die Zahlen von Trickbot sind atemberaubend. Wir haben über 140’000 Computer dokumentiert, die Kunden einiger der grössten und renommiertesten Unternehmen der Welt ins Visier nehmen“, so Alexander Chailytko, Cyber Security, Research & Innovation Manager bei Check Point Software Technologies. „Wir haben festgestellt, dass die Trickbot-Autoren die Fähigkeit besitzen, die Entwicklung von Malware von einem sehr niedrigen Niveau aus anzugehen und auf kleine Details zu achten. Trickbot greift hochrangige Opfer an, um die Anmeldeinformationen zu stehlen und seinen Betreibern Zugang zu den Portalen mit sensiblen Daten zu verschaffen, wo sie noch mehr Schaden anrichten können. Gleichzeitig wissen wir, dass die Betreiber hinter der Infrastruktur auch sehr erfahren in der Entwicklung von Malware auf hohem Niveau sind. Die Kombination dieser beiden Faktoren macht es möglich, dass Trickbot bereits seit mehr als fünf Jahren eine gefährliche Bedrohung darstellt. Ich empfehle dringend, nur Dokumente aus vertrauenswürdigen Quellen zu öffnen und unterschiedliche Passwörter für verschiedene Websites zu verwenden.“

Alle technischen Details erfahren Sie hier: https://research.checkpoint.com/2022/a-modern-ninja-evasive-trickbot-attacks-customers-of-60-high-profile-companies/

Alle Berichte von Check Point finden Sie unter: https://blog.checkpoint.com/

Alle Berichte des Check Point Research Teams finden Sie unter: https://research.checkpoint.com/

Folgen Sie Check Point auf:
Twitter: https://www.twitter.com/checkpointsw
Facebook: https://www.facebook.com/checkpointsoftware
Blog: https://blog.checkpoint.com
YouTube: https://www.youtube.com/user/CPGlobal
LinkedIn: https://www.linkedin.com/company/check-point-software-technologies

Über Check Point Research
Check Point Research (CPR) bietet führende Cyber-Bedrohungsinformationen für Check Point Software-Kunden und die grössere Intelligenz-Community. Das Forschungsteam sammelt und analysiert globale Cyber-Angriffsdaten, die auf der ThreatCloud gespeichert sind, um Hacker fernzuhalten und gleichzeitig sicherzustellen, dass alle Check Point Produkte mit den neuesten Schutzmassnahmen aktualisiert werden. Das Forschungsteam besteht aus über 100 Analysten und Forschern, die mit anderen Sicherheitsanbietern, der Strafverfolgung und verschiedenen CERTs zusammenarbeiten.

Über Check Point Software Technologies Ltd.
Check Point Software Technologies Ltd. (www.checkpoint.com) ist ein führender Anbieter von Cyber-Sicherheitslösungen für Unternehmen und Regierungen weltweit. Die Lösungen des Check-Point-Infinity-Portfolios schützen Kunden gegen Cyber-Angriffe der 5. Generation mit einer in der Branche führenden Fangrate von Malware, Ransomware und anderen Bedrohungen. Infinity ruht auf drei Kernsäulen, die kompromisslose Sicherheit und Bedrohungsabwehr der Generation V in Konzern-Umgebungen bieten: Check Point Harmony für Remote-Benutzer; Check Point CloudGuard für die automatische Absicherung von Clouds; Check Point Quantum für den Schutz von Netzwerkperimetern und Rechenzentren – alles gesteuert durch das branchenweit umfassendste und intuitivste Unified Security Management. Check Point schützt über 100’000 Unternehmen jeder Grösse in der ganzen Welt. 

Pressekontakte:
Check Point Software Technologies
Alvaro Amato
Country Manager Schweiz

Jenni Kommunikation AG
Sylvana Zimmermann
Tel: +41 44 388 60 80
E-Mail: sylvana.zimmermann@jeko.com