Evolução da tática de comando e controle
O TrickBot evoluiu silenciosamente para uma ameaça mais coverta, transformando o tráfego DNS cotidiano em um canal furtivo para comandos de malware, tornando sua atividade mais difícil de detectar em redes corporativas ocupadas. Em uma campanha recente, uma nova variante foi vista sequestrando sistemas Windows e usando consultas e respostas DNS para mover dados de comando e controle de maneiras que se misturam às pesquisas de domínio normais da internet.
Isso permite que os atacantes mantenham o controle remoto sobre máquinas comprometidas enquanto permanecem abaixo do radar de muitos controles de segurança tradicionais. Analistas do Fortinet FortiGuard Labs observaram amostras que mudaram para tunelamento DNS para sua camada de comunicação, marcando uma mudança notável na técnica da família.
Anteriormente, as gerações do TrickBot confiavam principalmente no tráfego HTTP para falar com seus servidores de controle, o que tornava a detecção de rede mais direta. Agora, o malware usa um design modular para que os atacantes possam baixar, executar ou injetar payloads diferentes com base no que desejem alcançar em um host comprometido.
Técnicas de ofuscação e persistência
Uma vez instalado, o TrickBot configura persistência usando o Agendador de Tarefas do Windows, disfarçando-se como uma tarefa agendada aparentemente inofensiva com nomes como "Wireshark autoupdate #72784" que são executados na inicialização e repetidos a cada poucos minutos. Ele também oculta detalhes cruciais de configuração dentro de Fluxos de Dados Alternativos NTFS para evitar verificações simples baseadas em arquivos.
O coração da estratégia desta variante é sua capacidade de envolver tráfego de comando e controle dentro do que parecem ser consultas DNS ordinárias para um domínio sob controle do atacante. Antes de enviar dados, o TrickBot criptografa seu payload de comando com uma chave XOR simples, converte o resultado para hexadecimal e formata-o como uma string de subdomínio longa.
Essa string é então anexada ao domínio constante westurn.in, criando uma consulta DNS que parece normal para muitas ferramentas de monitoramento de rede. Para enviar essas consultas manipuladas, o malware confia na API getaddrinfo() do Windows e pode rotear o tráfego por servidores DNS públicos, incluindo o 8.8.8.8.
Indicadores de comprometimento e mitigação
Os defensores devem monitorar o tráfego DNS para padrões incomuns, inspecionar tarefas agendadas para trabalhos de atualização estranhos e observar módulos que são executados via rundll32 ou atividade PowerShell inesperada. A mudança para tunelamento DNS torna a resposta a incidentes mais complexa porque o tráfego malicioso agora está misturado com atividade rotineira.
Os indicadores de comprometimento (IoCs) incluem o domínio westurn.in e vários hashes SHA-256 associados às amostras do TrickBot. A detecção requer análise de tráfego DNS profunda e monitoramento de comportamento de processos, já que assinaturas tradicionais podem não capturar a nova variante de tunelamento.