Trickbot es nombre de uno de los virus informáticos que, en menor cantidad de tiempo, se convirtió en uno de los más agresivos del planeta.
Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point Software Technologies Ltd., descubrió nuevos detalles sobre su funcionamiento.
Este conocido troyano bancario, roba y compromete los datos de víctimas de alto perfil. Más precisamente, desde noviembre de 2020, este virus infectó a más de 140.000 computadoras.
Muchos de esos dispositivos fueron de clientes de reconocidas compañías, como Amazon, Microsoft, Google y PayPal.
En total, se documentaron 60 corporaciones cuyos compradores fueron víctimas de este troyano a lo largo de los últimos 14 meses.
Según CPR, los ciberdelincuentes atacan selectivamente objetivos de alto perfil para robar y comprometer sus datos confidenciales.
Además, la infraestructura de este ciberataque puede ser utilizada por varias familias de malware para causar más daño en los equipos infectados.
Por tal motivo, CPR recomienda a los ciudadanos que solo abran documentos de fuentes de confianza.
Los autores de Trickbot aprovechan las técnicas de anti-análisis (que impiden o dificultan que el malware sea analizado) y anti-desfusión (dificultar la lectura de un código) para permanecer dentro de las unidades.
Los ciberdelincuentes reciben una base de datos de correos electrónicos robados y envían documentos maliciosos a las direcciones elegidas.
El usuario descarga y abre dicho documento, permitiendo su ejecución en el proceso. Después se ejecuta la primera etapa del malware y se descarga la carga útil principal.
La carga útil principal del troyano se ejecuta y establece su persistencia en el equipo infectado.
Los módulos auxiliares de Trickbot pueden ser cargados en el ordenador infectado a petición de los ciberdelincuentes.
La funcionalidad de dichos módulos puede variar: puede ser la propagación a través de una red corporativa comprometida, el robo de credenciales corporativas, la obtención de datos de acceso a webs bancarios, etc.
"Las estadísticas de Trickbot han sido sorprendentes. Hemos documentado más de 140.000 ataques dirigidos a los clientes de algunas de las empresas más importantes del mundo", menciona Alejandro Botter, gerente de ingeniería de Check Point para el sur de Latinoamérica.
También agrega, que "Seguimos observando que los autores de Trickbot tienen la habilidad de abordar el desarrollo de malware desde muy bajo-nivel y prestan atención a los pequeños detalles".
Trickbot ataca a víctimas de alto perfil para robar las credenciales y proporcionar a los atacantes el acceso a portales con datos confidenciales donde pueden causar aún más daño.
Al mismo tiempo, CPR divulgó que los ciberdelincuentes detrás de la infraestructura de Trickbot poseen también mucha experiencia en el desarrollo de malware de alto-nivel.
La combinación de estos dos factores es lo que permite que Trickbot siga siendo una amenaza peligrosa desde hace más de 5 años.
"Desde Check Point recomendamos fuertemente que solo abran documentos de fuentes confiables, usen diferentes contraseñas en diferentes sitios web y activen un doble factor de autenticación siempre que sea posible", resaltó Alejandro Botter, gerente de ingeniería de Check Point para Latam Sur.