TrickBot Sample: 2F3C6660F3AA00EF

TrickBot Malware Analizi

Dosya Ozellikleri

SHA256: 2f3c6660f3aa00ef8039afb3efadfe91abf8cf5b5d6ac000e114e91d636e11f7

MD5: 8e20c994daaeeba5e4d70760d73cf52e

Dosya Tipi: exe

Boyut: 757,828 byte

Ilk Gorulme: 2021-05-08

AV Imzasi: TrickBot

Imphash: a854f0696e579de7373340a712e95c97

Raporlayan: starsSk87264403

Etiketler: TrickBot

Statik analiz: metadata tabanli (ornek indirilmedi)

TrickBot — Профиль вредоносного ПО

TrickBot modular banking trojan. DGA filename. WTSSetUserConfigW RDP targeting. RegUnLoadKeyA registry hive dump.

Тип вредоносного ПО

Botnet

Язык программирования

C++

C2 Протокол

HTTPS

Целевые системы

Windows

Другие названия (AKA)

TrickLoader

Технические детали

TrickBot is a modular banking trojan and loader developed by WIZARD SPIDER since 2016. Evolved from Dyre banking trojan with modular architecture allowing plugin-based functionality. Modules: pwgrab (credential theft), networkdll (network reconnaissance), shareDll (SMB spread), tabDll (browser form grabbing), vncDll (remote access), mworm/nworm (propagation). Used extensively to deliver Ryuk and Conti ransomware. C2 communication: HTTPS with custom User-Agent strings. Infrastructure disrupted by Microsoft/ESET/Symantec/CISA in October 2020. Key operators arrested/sanctioned; infrastructure rebuilt multiple times. Shifted focus from banking to enterprise ransomware delivery (2019-2022).

Атрибуция / Актор угрозы

WIZARD SPIDER, Dyre successor

Возможности и поведение

DDoS Saldırısı

Botnet Genişletme

Brute Force Taran

Payload Dağıtımı

Uzaktan Komut

Ağ Tarama

Kimlik Bilgisi Çalma

IoT Cihaz Kontrolü

Список IOC (1 индикаторов)

IOC — TrickBot

# FILEPATH
2f3c6660f3aa00ef8039afb3efadfe91abf8cf5b5d6ac000e114e91d636e11f7

Тип	Значение	Примечание
filepath	2f3c6660f3aa00ef8039afb3efadfe91abf8cf5b5d6ac000e114e91d636e11f7	PDB

TrickBot — Полный профиль →

C2 Серверы (7 зарегистрированных серверов для этого семейства)

Адрес	Тип	Порт	Протокол	Статус	Страна
176.111.174.70	ip	443	HTTPS	inactive	RU
45.156.25.1	ip	443	HTTPS	sinkholed	RU
185.234.218.151	ip	443	HTTPS	sinkholed	RU
82.117.252.143	ip	449	HTTPS	sinkholed	DE
45.147.231.250	ip	443	HTTPS	sinkholed	NL
31.214.157.14	ip	443	HTTPS	sinkholed	UA
185.234.219.77	ip	449	HTTPS	sinkholed	RU

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги

TrickBot