TrickBot – TTK1Z03876CML-version_1.0.5.js [6974cc5b]

해시 / 정보	값
SHA256	6974cc5b9137d9525264eb02cc05f3c65af5442884a1f2384335cc78805854a3
MD5	c209442e0b4def3db738ffe2844bab2a
SHA1	a09d8878133ea984a2d300eb8e913b206ab66b7e
파일 Adi	TTK1Z03876CML-version_1.0.5.js
파일 형식	js
크기	63,071 bytes
최초 발견	2021-11-22

Tehdit 값lendirmesi

Bu ornek, hedef sisteme ek zararlı yazılım yuklemek amacıyla tasarlanmis moduler bir yukleyici (loader) olarak tespit edilmistir. Bankacılık trojanları, fidye yazılımları veya diger ikinci asama yukler indirebilmektedir.

탐지된 기능

Payload Indirme
Surec Enjeksiyonu
Kalicilik
Anti-Analiz
Sifrelenmis Iletisim

MalwareBazaar 태그

jsLoaderrob139TrickBot

분석 참고

Bu ornek TrickBot ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

TrickBot — 악성코드 프로필

TrickBot modular banking trojan. DGA filename. WTSSetUserConfigW RDP targeting. RegUnLoadKeyA registry hive dump.

악성코드 유형

Botnet

프로그래밍 언어

C++

C2 프로토콜

HTTPS

대상 시스템

Windows

다른 이름 (AKA)

TrickLoader

기술 세부 정보

TrickBot is a modular banking trojan and loader developed by WIZARD SPIDER since 2016. Evolved from Dyre banking trojan with modular architecture allowing plugin-based functionality. Modules: pwgrab (credential theft), networkdll (network reconnaissance), shareDll (SMB spread), tabDll (browser form grabbing), vncDll (remote access), mworm/nworm (propagation). Used extensively to deliver Ryuk and Conti ransomware. C2 communication: HTTPS with custom User-Agent strings. Infrastructure disrupted by Microsoft/ESET/Symantec/CISA in October 2020. Key operators arrested/sanctioned; infrastructure rebuilt multiple times. Shifted focus from banking to enterprise ransomware delivery (2019-2022).

귀속 / 위협 행위자

WIZARD SPIDER, Dyre successor

기능 및 동작

DDoS Saldırısı

Botnet Genişletme

Brute Force Taran

Payload Dağıtımı

Uzaktan Komut

Ağ Tarama

Kimlik Bilgisi Çalma

IoT Cihaz Kontrolü

IOC 목록 (2 개 지표)

IOC — TrickBot

# SHA256
6974cc5b9137d9525264eb02cc05f3c65af5442884a1f2384335cc78805854a3

# MD5
c209442e0b4def3db738ffe2844bab2a

유형	값	메모
sha256	6974cc5b9137d9525264eb02cc05f3c65af5442884a1f2384335cc78805854a3
md5	c209442e0b4def3db738ffe2844bab2a

TrickBot — 전체 프로필 보기 →

C2 서버 (이 패밀리에 대해 7개의 서버 기록)

주소	유형	포트	프로토콜	상태	국가
176.111.174.70	ip	443	HTTPS	inactive	RU
45.156.25.1	ip	443	HTTPS	sinkholed	RU
185.234.218.151	ip	443	HTTPS	sinkholed	RU
82.117.252.143	ip	449	HTTPS	sinkholed	DE
45.147.231.250	ip	443	HTTPS	sinkholed	NL
31.214.157.14	ip	443	HTTPS	sinkholed	UA
185.234.219.77	ip	449	HTTPS	sinkholed	RU

C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.

태그

jsLoaderrob139TrickBot