TrickBot — yellowtank.png [3e0b7492]

해시 / 정보	값
SHA256	3e0b749221c4c89bf82741c97594f8b27d75a322e8428e694a28e1d3e654a2c9
MD5	1417151ea6ccb36b9aebab3c63e63b76
SHA1	3e9c7b5a45c356ff5fc1e99b5d644b8f5e378a5d
ImpHash	c131e7ab95b6cc6ff4c2379d5b0fc4ad
파일 Adi	yellowtank.png
파일 형식	dll
크기	1,821,184 bytes
최초 발견	2021-12-09

Tehdit 값lendirmesi

Bu ornek, hedef sisteme ek zararlı yazılım yuklemek amacıyla tasarlanmis moduler bir yukleyici (loader) olarak tespit edilmistir. Bankacılık trojanları, fidye yazılımları veya diger ikinci asama yukler indirebilmektedir.

탐지된 기능

Payload Indirme
Surec Enjeksiyonu
Kalicilik
Anti-Analiz
Sifrelenmis Iletisim

MalwareBazaar 태그

dllrob142TrickBot

분석 참고

Bu ornek TrickBot ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

TrickBot — 악성코드 프로필

TrickBot modular banking trojan. DGA filename. WTSSetUserConfigW RDP targeting. RegUnLoadKeyA registry hive dump.

악성코드 유형

Botnet

프로그래밍 언어

C++

C2 프로토콜

HTTPS

대상 시스템

Windows

다른 이름 (AKA)

TrickLoader

기술 세부 정보

TrickBot is a modular banking trojan and loader developed by WIZARD SPIDER since 2016. Evolved from Dyre banking trojan with modular architecture allowing plugin-based functionality. Modules: pwgrab (credential theft), networkdll (network reconnaissance), shareDll (SMB spread), tabDll (browser form grabbing), vncDll (remote access), mworm/nworm (propagation). Used extensively to deliver Ryuk and Conti ransomware. C2 communication: HTTPS with custom User-Agent strings. Infrastructure disrupted by Microsoft/ESET/Symantec/CISA in October 2020. Key operators arrested/sanctioned; infrastructure rebuilt multiple times. Shifted focus from banking to enterprise ransomware delivery (2019-2022).

귀속 / 위협 행위자

WIZARD SPIDER, Dyre successor

기능 및 동작

DDoS Saldırısı

Botnet Genişletme

Brute Force Taran

Payload Dağıtımı

Uzaktan Komut

Ağ Tarama

Kimlik Bilgisi Çalma

IoT Cihaz Kontrolü

IOC 목록 (2 개 지표)

IOC — TrickBot

# SHA256
3e0b749221c4c89bf82741c97594f8b27d75a322e8428e694a28e1d3e654a2c9

# MD5
1417151ea6ccb36b9aebab3c63e63b76

유형	값	메모
sha256	3e0b749221c4c89bf82741c97594f8b27d75a322e8428e694a28e1d3e654a2c9
md5	1417151ea6ccb36b9aebab3c63e63b76

TrickBot — 전체 프로필 보기 →

C2 서버 (이 패밀리에 대해 7개의 서버 기록)

주소	유형	포트	프로토콜	상태	국가
176.111.174.70	ip	443	HTTPS	inactive	RU
45.156.25.1	ip	443	HTTPS	sinkholed	RU
185.234.218.151	ip	443	HTTPS	sinkholed	RU
82.117.252.143	ip	449	HTTPS	sinkholed	DE
45.147.231.250	ip	443	HTTPS	sinkholed	NL
31.214.157.14	ip	443	HTTPS	sinkholed	UA
185.234.219.77	ip	449	HTTPS	sinkholed	RU

C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.

태그

dllrob142TrickBot