Trojan.Win32.Trickster

O Trojan.Win32.Trickster (também conhecido como TrickLoader e TrickBot) é capaz de infectar versões de 32 e 64 bits do Windows. O Trojan é geralmente pequeno em tamanho (menos de 500 KB) e não usa empacotamento adicional ou criptografia para o corpo principal. A julgar pelo protocolo usado para se comunicar com o servidor de comando e controle, o malware foi reescrito a partir do código-fonte do Dyre (Dyreza), mas, ao contrário do Dyre, é capaz de realizar webjets. O corpo principal do Trojan.Win32.Trickster contém as seguintes strings características no formato Unicode: • TrickLoader • Global TrickBot • BotLoader Um traço característico e facilmente identificável do malware é a presença da string "TrickLoader" no campo User-Agent. de pacotes de rede. Um arquivo com a lista de servidores de comando e controle para o Trojan.Win32.Trickster é armazenado de forma criptografada em recursos. O algoritmo de criptografia AES é usado para descriptografar a lista, bem como módulos recebidos de servidores de comando e controle. A chave consiste em um hash no formato RSA-256. Informações atualmente conhecidas sobre os módulos usados ​​pelo malware: • systeminfo – o primeiro módulo para o Trojan.Win32.Trickster • injectDll – módulo injetado no navegador e usado para websets

Os 10 principais países com a maioria dos usuários atacados (% do total de ataques)

* Porcentagem entre todos os usuários únicos da Kaspersky no mundo atacados por este malware