NOMBRE
trickbot — Troyano bancario modular de 2016 (heredero de Dyre) que evolucionó a una plataforma de ataque completa y a puerta de entrada de Ryuk y Conti. Sufrió operaciones de desmantelamiento en 2020.
alias: TrickLoader, TheTrick
SINOPSIS
trickbot --tipo troyano --año 2016 --severidad crítica --plataforma "Windows" --autor "WIZARD SPIDER"
DESCRIPCIÓN
TrickBot, del grupo WIZARD SPIDER, empezó como troyano bancario descendiente de Dyre y creció hasta convertirse en una navaja suiza modular: robo de credenciales y correo, movimiento lateral, minería y despliegue de ransomware (Ryuk, Conti). En 2020 fue objeto de una operación coordinada (Microsoft y Cyber Command) para interrumpirlo.
PROPAGACIÓN
Malspam, y como carga de Emotet; módulos de propagación lateral (EternalBlue, SMB).
CARGA ÚTIL
Robo de credenciales/correo, reconocimiento y despliegue de ransomware; botnet.
PREVENCIÓN
Bloquear macros; EDR; segmentación; doble factor; parcheo.
MITIGACIÓN
Aislar (se propaga lateralmente), erradicar y revisar despliegues de segunda fase.
INDICADORES
- autor / origen
- WIZARD SPIDER
- país
- Rusia
- etiquetas
- WIZARD SPIDERbotnetloadermodulartroyano bancario
Módulos «anchor», «bazar»; tráfico a C2; secuestro de hilos de correo.
DETONACIÓN
Todavía no se expone ningún informe de detonación de esta pieza. Su política de seguridad (No detonar (solo material pregrabado)) no permite ejecutarla, así que se documenta solo con material pregrabado.
FUENTES
- Análisis técnico en MITRE ATT&CK · MITRE ATT&CK