安全研究人员发现了针对巴西，拉丁美洲和欧洲金融机构的银行木马“Tetrade”，四个月后，调查表明，攻击者扩大了策略，利用间谍软件感染移动设备。 根据卡巴斯基的全球研究和分析团队（GReAT）的说法，总部位于巴西的威胁集团Guildma部署了“Ghimob”，这是一种Android银行木马，针对的是巴西、巴拉圭、秘鲁、葡萄牙、德国、安哥拉和莫桑比克的银行、金融科技公司、交易所和加密货币的金融应用程序。 网络安全公司在报告中表示，“Ghimob是您一种成熟间谍：一旦感染完成，黑客就可以远程访问受感染的设备，用受害者的智能手机完成欺诈交易，从而避免被识别、金融机构采取的安全措施以及所有他们的反欺诈行为系统。” 除了共享与Guildma相同的基础结构外，Ghimob继续使用网络钓鱼电子邮件作为分发恶意软件的机制，从而诱使毫无戒心的用户单击可下载Ghimob APK安装程序的恶意URL。 该木马一旦安装在设备上，其功能与其他移动RAT十分相似，它通过隐藏应用程序中的图标来掩饰自己的存在，并滥用Android的辅助功能来获得持久性，禁用手动卸载并允许银行木马捕获击键信息，操纵屏幕内容并向攻击者提供完全的远程控制。 研究人员表示：“即使用户有适当的屏幕锁定模式，Ghimob也能够记录下来，然后再解锁设备。” “当攻击者准备执行交易时，他们可以插入黑屏作为覆盖或以全屏方式打开某些网站，因此当用户查看该屏幕时，攻击者通过受害者运行的金融应用程序在后台执行交易。” 此外，Ghimob的目标多达153个移动应用程序，其中112个是巴西的金融机构，其余的是德国，葡萄牙，秘鲁，巴拉圭，安哥拉和莫桑比克的加密货币和银行应用程序。 卡巴斯基研究人员总结说：“Ghimob是巴西第一家准备扩展并瞄准居住在其他国家的金融机构及其客户的移动银行木马。” “该木马可以从许多国家/地区窃取银行、金融科技、交易所、加密货币交易所和信用卡数据。”         消息来源：The Hacker News ；封面来自网络；译者：芋泥啵啵奶茶。 本文由 HackerNews.cc 翻译整理。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

据 Bleeping Computer 消息，由于开发团队的解散，Cerberus 银行木马的维护者正在拍卖整个项目，起价为 50,000 美元，最终或将以双倍的价格完成交易。拍卖包括从源代码到客户清单的所有内容、以及安装指南和使组件协同工作的脚本。 Cerberus 银行木马是一款专门针对安卓系统的恶意软件，首次出现于 2019 年 6 月。本月初，Cerberus 在 Google Play 商店中被发现，彼时其已经绕过了 Google 的应用程序保护措施。Cerberus 具有广泛的功能，能够欺骗设备上存在的银行服务通知，提示受害者输入登录凭证；并窃取双因素验证码，运行任何已安装的应用程序。 为了吸引潜在的竞标者，卖家在该帖子中声称，此 Android 恶意软件每月可产生 10,000 美元的利润。与 Cerberus 维护者达成协议的买方将获得恶意 APK 的源代码以及模块、管理面板和服务器。公告提到，Cerberus 的团队已经解散，无法提供 7×24 小时的技术支持，所以打算连同服务器一块卖掉，让其他人来进行运营。 同时，卖方还展示了 Cerberus 可用的所有功能： 对此，网络犯罪情报公司 Hudson Rock 的首席技术官 Alon Gal 则表示，像 Cerberus 这样的恶意软件的标价为 100,000 美元，很可能会吸引一些有能力维护和改进该项目的居心不良者。     （稿源：开源中国，封面源自网络。）

据外媒报道，日前，微软发出警告，称大规模恶意软件运动正在目标对准终端用户的银行资料。微软指出，作为使用Emoter恶意软件新运动的一部分，大量带有数百个独特附件的电子邮件被发送给用户。据了解，Emotet银行木马最早是在2014年被安全研究人员发现的。 Emotet最初被设计成一个银行恶意软件，它试图潜入用户电脑并窃取其敏感和私人信息。该软件的最新版本则还增加了垃圾邮件和恶意软件发送服务，其中包括其他银行木马。 微软在报告中指出，该网络钓鱼活动已经沉默了数月，但最近却又卷土重来。新的运动则使用了长期的Emotet策略：带有链接的电子邮件或带有高度混淆的恶意宏的文件运行一个PowerShell脚本通过5个下载链接中下载有效负载。下载URL通常指向被攻击的网站，这正是Emotet的特点。 Emotet使用的功能可以帮助软件躲避来自一些反恶意软件产品的检测。Emotet使用类似蠕虫的功能来帮助其传播到其他连接的计算机上，而这有助于恶意软件的传播。这一功能使得美国国土安全部得出结论，Emotet是最昂贵、最具破坏性的恶意软件之一，它会影响到政府、私人部门、个人以及组织，每次清理都要花费超100万美元的费用。     （稿源：cnBeta，封面源自网络。）

感谢腾讯御见威胁情报中心来稿！ 原文：https://mp.weixin.qq.com/s/nh-j3Zv1DTVg_xkIsjlLMQ   一、背景 腾讯安全御见威胁情报中心检测到TrickBot银行木马活跃，黑客在钓鱼文档中嵌入恶意VBA代码，宏代码通过创建和执行CMD脚本以及VBS脚本下载和传播银行木马TrickBot。监测数据显示，该木马已影响我国部分企业，中毒电脑系统信息及访问国外银行的登录信息会被窃取，受TrickBot银行木马影响较严重的地区为浙江，广东，北京等地。 TrickBot在2016年左右被发现，会在受害者通过浏览器访问在线银行时窃取网银信息，攻击目标包括澳大利亚、新西兰、德国、英国、加拿大、美国、以色列和爱尔兰等国银行系统，有国外研究者认为该组织已收集了2.5亿个电子邮箱。 TrickBot首次感染系统后，会安装计划任务“Ms visual extension”反复执行木马，然后将恶意代码注入Svchost.exe，下载多个加密的DLL模块，最终将injectdll32(64)注入浏览器进程，捕获与目标银行相关的HTTP请求并复制发送至C&C服务器。 TrickBot攻击流程 二、详细分析 当受害者打开恶意Word文档时，会显示如下图所示界面： 初次打开文档时，Office会提示是否允许宏执行，若选择允许，则文档界面中会提示一条告警消息，但是实际上后台VBA代码正在C:\Resources目录下创建5个后缀为.cmd的文件，然后通过CreateProcessA执行c:\Resources\BC4603BB450B14.cmd。 之后，BC4603BB450B14.cmd创建用于下载文件的VBS脚本pscolor.vbs， 并使用该脚本从https[:]//allpetsandpaws.com/DOYJIABZB.res或 http[:]//rygseminarios.com/egprod40.eof下载nas6.exe。 nas6.exe搜集当前系统CPUID序列号发送至https[:]//magnwnce.com/photo.png?id=，然后从http[:]//149.154.67.19/tin.exe下载Trickbot。 Trickbot重命名自身为“с그의길습을든意すスっジюл.EXE”，并拷贝到%ProgramData%和%Roaming%\swapper\目录下。重命名的文件名包含字母，韩文，中文，日文和保加利亚语，这会导致部分调试器无法加载该文件。 接着将木马安装为计划任务“Ms visual extension”，设置触发器在系统启动时木马执行一次，之后每隔11分钟执行一次。 定时任务触发后，taskeng.exe启动с그의길습을든意すスっジюл.EXE，然后将恶意代码注入子进程svchost.exe继续执行，进程树如下图所示。 TrickBot下载8个模块importDll64(或importDll32) ，injectDll64，mshareDll64，mwormDll64，networkDll64，pwgrab64，systeminfo64，tabDll64。同时下载所需配置文件存放到四个目录injectDll64_configs，networkDll64_configs，pwgrab64_configs，tabDll64_configs下。 systeminfo64负责收集受害者的系统信息，包括其Windows版本、CPU类型、RAM容量、用户帐户、已安装的软件和服务，不同信息字段以符号“aksgja8s8d8a8s97”进行分割并上传至服务器。 injectDll64最终能够将恶意代码注入Web浏览器(IE、Chrome和Firefox)从而窃取受害者的在线银行信息。被注入到svchost.exe执行时，injectDll64会枚举所有正在运行的进程，通过比较进程名来检查它是否是浏览器(包括“Chrome”、“IE”和“Firefox”浏览器)。 在选择一个进程之后，它创建一个命名管道(使用进程ID与一个常量字符串进行组合作为管道的名称)，使用这个命名管道在svchost.exe和浏览器之间进行通信，以传输Sinj、dinj和dport的内容，之后InjectDll准备要注入到浏览器中的代码，并调用CreateRemoteThread执行注入。 TrickBot在一个线程中将银行信息(即Sinj、dinj和dpost的内容)传输到浏览器，之后在另一个线程中对WinInet和NSS3API的导出函数上设置钩子，从而利用注入的代码捕获来自浏览器的所有HTTP请求。 本地钩子函数能够使用银行信息对HTTP请求进行进一步的过滤，如果HTTP请求与目标银行匹配，则将该HTTP请求复制并发送到C&C服务器。 三、安全建议 中国国内在线银行系统普遍采用“U盾”来做登录认证、加密网银系统通信，TrickBot银行木马暂不能直接威胁国内网银资金安全，但对于国外银行系统的安全威胁却不容小视。腾讯安全专家建议用户采取以下安全措施，防止受害： 1、建议不要打开不明来源的邮件附件，对于邮件附件中的文件要谨慎运行，如发现有脚本或其他可执行文件可先使用杀毒软件进行扫描； 2、建议升级office系列软件到最新版本，对陌生文件中的宏代码坚决不启用； 3、推荐企业用户部署腾讯御点终端安全管理系统防御病毒木马攻击，个人用户启用腾讯电脑管家的安全防护功能； 4、推荐企业使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统，是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统; IOCs IP 149.154.67.19 181.129.104.139 170.238.117.187 Domain allpetsandpaws.com rygseminarios.com URL https[:]//allpetsandpaws.com/DOYJIABZB.res http[:]//rygseminarios.com/egprod40.eof http[:]//149.154.67.19/tin.exe http[:]//presifered.com/data3.php md5 c04f5dc534fa5b1acef3c08d9ab3f3cb 1c132ca1ec8b89977c0e3ee28763e3fc 参考链接： https://www.fortinet.com/blog/threat-research/deep-analysis-of-the-online-banking-botnet-trickbot.html https://www.deepinstinct.com/2019/07/12/trickbooster-trickbots-email-based-infection-module/（原文已被删，快照可供参考）  

据外媒 1 月 6 日报道，黑客滥用乌克兰会计软件开发商 Crystal Finance Millennium （ CFM ）的官方网站散布恶意软件，分发 Zeus 银行木马新变种。Cisco Talos 称该恶意软件通过附加在垃圾邮件上的下载程序获取，且具有一定规模的传播范围。 此次攻击发生于 2017 年 8 月乌克兰独立日假期前后，乌克兰当局和企业接到了当地安全公司 ISSP 的网络攻击警报 ，用来托管恶意软件的一个域名与乌克兰会计软件开发商 CFM 的网站有关。不仅如此，攻击者还利用 CFM 网站传播了 PSCrypt 勒索软件，这是去年针对乌克兰用户的恶意软件。所幸此次攻击黑客没有损害 CFM 的更新服务器，也没有在早前的 Nyetya 协议中看到相同级别的访问。 在这次攻击中，恶意软件负载的电子邮件中包含一个用作恶意软件下载程序的 JavaScript 压缩文件。一旦该文件打开，Javascript 就会被执行，并导致系统检索恶意软件的 playload，运行后 Zeus 银行木马病毒将会感染系统。 思科 Talos 统计：受Zeus银行木马新变种影响的地区 自从 2011 年 Zeus 木马版本 2.0.8.9 的源代码被泄露以来，其他威胁行为者从恶意代码中获得灵感，将其并入多个其他银行木马中。 研究人员发现此次活动发布的恶意软件和 ZeuS 源代码的泄漏版本之间就存在着代码重用： 一旦在系统上执行，恶意软件会执行多个操作来确定它是否在虚拟的沙箱环境中执行。 若恶意软件没有检测到正在沙箱环境中运行的情况下，那么它就会采取措施来在被感染的系统上实现持久性。恶意软件甚至会在受感染的系统上创建一个注册表项，以确保每次重新启动受感染设备时都会执行恶意代码。一旦系统被感染，恶意软件就会尝试去接触不同的命令和控制 ( C&C ) 服务器。 研究人员表示，大多数被恶意软件感染的系统都位于乌克兰和美国，乌克兰交通运输部管辖的 PJSC Ukrtelecom 公司的  ISP 受影响最为严重。影响数量达到 3115 个独立 IP 地址、 11,925,626 个信标显示了这个恶意软件的传播规模。 研究人员称越来越多的攻击者试图滥用受信任的软件制造商，并以此作为在目标环境中获得立足点的一种手段。为了部署更有效的安全控制措施来保护其网络环境，攻击者正在不断改进其攻击方法。 消息来源：IBTimes，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。