ESET ha  anunciado su participación en una operación global para tratar de desactivar Trickbot, una botnet que ha  infectado a más de un millón de dispositivos en todo el mundo. La operación, coordinada entre ESET,  Microsoft, el centro de investigación Black Lotus Labs de Lumen y NTT, entre otros, ha conseguido desactivar los servidores de mando y control de Trickbot. ESET ha participado en el análisis técnico, proporcionando información estadística y nombres de dominio e IP conocidos de los servidores de mando y control. Trickbot  es una botnet conocida por robar credenciales en ordenadores comprometidos, pero en los últimos tiempos  también ha llevado a cabo ataques más dañinos, como los protagonizados por ransomware. 

ESET lleva siguiendo las actividades de Trickbot desde su detección a finales de 2016. Solo en 2020, la  plataforma de seguimiento de ESET ha analizado más de 125.000 muestras maliciosas y descargado y  descifrado más de 40.000 archivos de configuración utilizados por los diferentes módulos de Trickbot, lo que  ha permitido a la compañía tener una visión excelente de los servidores de mando y control usados por esta botnet. 

“A lo largo de todo este tiempo, se ha observado cómo Trickbot comprometía dispositivos de una manera  estable, convirtiéndola en una de las botnets más longevas”, explica Jean-Ian Boutin, responsable de  investigación de amenazas en ESET. “Trickbot es una de las familias de malware bancario más importantes y  representa una amenaza para los usuarios de Internet en todo el mundo”.  

En sus años de funcionamiento, Trickbot se ha distribuido de diferentes maneras. Por ejemplo,  recientemente se ha estado observando cómo se descargaba Trickbot en sistemas comprometidos por  Emotet, otra botnet muy importante. En el pasado, Trickbot era utilizado principalmente como un troyano  bancario que robaba cuentas bancarias y que pretendía realizar transferencias fraudulentas.  

Uno de los complementos más antiguos desarrollados para la plataforma permitía a Trickbot utilizar ataques  de inyección web, una técnica que permite al malware realizar cambios de forma dinámica en algunas páginas específicas que la víctima visite. “Gracias a nuestro análisis, hemos recopilado decenas de miles de archivos diferentes de configuración, con lo que conocemos bien qué páginas web tenía Trickbot como  objetivo, principalmente webs de entidades financieras”, añade Boutin.  

“Intentar eliminar esta amenaza es un verdadero desafío, ya que cuenta con muchos mecanismos de  recuperación, y su conexión con otros actores del mundo criminal muy activos convierte la operación en algo  extremadamente complejo”, concluye el investigador de ESET.