Malware: So funktioniert der Trickbot

Trickbot hat seit November 2020 über 140.000 Rechner von Kunden grosser Unternehmen infiziert – darunter Amazon, Microsoft und PayPal. Der Security-Anbieter Check Point Research hat die Auswirkungen des Trojaners genauer analysiert. [...]

Check Point Research hat Insights zur Einschleusung des Trojaners Trickbot veröffentlicht. Demnach hat die Malware seit November 2020 über 140.000 Rechner infiziert – darunter Kundenrechner von Unternehmen wie Amazon, American Express, AOL, Blockchain.com, Citi und Citi Bank, Fidelity, Google, Interactive Brokers, JP Morgan Chase Bank, Microsoft, PayPal und Yahoo.

So funktioniert Trickbot

• Bedrohungsakteure erhalten eine Datenbank mit gestohlenen E-Mails und senden bösartige Dokumente an die ausgewählten Adressen.
• Der Benutzer lädt ein solches Dokument herunter und öffnet es, wodurch die Ausführung eines Makros möglich wird.
• Die erste Stufe der Malware wird ausgeführt, sobald die wichtigsten Komponenten heruntergeladen wurden.
• Die Hauptnutzlast von Trickbot wird ausgeführt und verbleibt auf dem infizierten Computer.
• Trickbot-Zusatzmodule können bei Bedarf von den Hackern auf den infizierten Computer geladen werden. Die Funktionalität solcher Module kann variieren: Sie können sich über ein kompromittiertes Unternehmensnetzwerk verbreiten, Unternehmensdaten stehlen, Anmeldedaten für Bank-Websites abgreifen und vieles mehr.

Die folgende Tabelle zeigt den prozentualen Anteil der von Trickbot betroffenen Unternehmen in jeder Region:

„Wir haben festgestellt, dass die Trickbot-Autoren die Fähigkeit besitzen, die Entwicklung von Malware von einem sehr niedrigen Niveau aus anzugehen und auf kleine Details zu achten. Trickbot greift hochrangige Opfer an, um die Anmeldeinformationen zu stehlen und seinen Betreibern Zugang zu den Portalen mit sensiblen Daten zu verschaffen, wo sie noch mehr Schaden anrichten können“, sagt Alexander Chailytko, Cyber Security, Research & Innovation Manager bei Check Point Software Technologies. „Gleichzeitig wissen wir, dass die Betreiber hinter der Infrastruktur auch sehr erfahren in der Entwicklung von Malware auf hohem Niveau sind. Die Kombination dieser beiden Faktoren macht es möglich, dass Trickbot bereits seit mehr als fünf Jahren eine gefährliche Bedrohung darstellt.“

* Alessa Kästner schreibt für PCtipp.