O malware TrickBot, é um malware com motivação financeira antigo e de ampla circulação, ele infecta o computadores das vítimas para roubar senhas de e-mail e catálogos de endereços para espalhar e-mails maliciosos de suas contas de e-mail comprometidas.

Agora o TrickBot pode ter roubado cerca de 250 milhões de contas de e-mail, incluindo algumas pertencentes a governos nos EUA, Reino Unido e Canadá.

O malware que circula desde 2016, vem fazendo vítimas por todo o mundo, mas agora de acordo com a empresa de segurança cibernética Deep Instinct, ele começou a coletar credenciais e contatos de e-mail.

TrickBooster
TrickBooster

Os pesquisadores estão chamando essa nova abordagem de TrickBooster, eles dizem que primeiro a conta de e-mail é "sequestrada" para enviar e-mails de spam maliciosos e, em seguida, apaga as mensagens enviadas da caixa de saída e das lixeiras. Assim as pessoas infectadas sequer sabem que enviaram os e-mails com links maliciosos.

  • Estágio 1 - A máquina vítima, infectada com o TrickBot, recebe instruções do comando e controle do TrickBot para fazer o download do TrickBooster, que é assinado com um certificado válido.
  • Estágio 2 - O TrickBooster reporta-se ao servidor de comando e controle dedicado, enviando listas de credenciais e endereços de e-mail coletados.
  • Estágio 3 - O comando e o servidor de controle do TrickBooster instrui o bot a enviar e-mails de spam maliciosos.
  • Estágio 4 - TrickBooster bot envia infecção maliciosa e spam e-mails.

Em uma investigação recente, o Deep Instinct encontrou um banco de dados contendo 250 milhões de contas de e-mail comprometidas, milhões destes pertencem à governos.

O banco de dados continha mais de 25 milhões de endereços do GMail, 19 milhões de endereços do Yahoo.com e 11 milhões de endereços do Hotmail.com. AOL, MSN e Yahoo.co.uk também foram atingidos.

Como DeepInstinct aponta, o TrickBot poderia usar esses e-mails para distribuir mais de seu próprio malware.

De acordo com os pesquisadores que detectaram pela primeira vez o TrickBooster em 25 de junho. O Deep Instinct ainda está investigando e está no processo de compartilhar informações com as autoridades.