Diferencia entre revisiones de «TrickBot»

De Wikipedia, la enciclopedia libre
Explorar historial interactivamente
← Ir a diferencia anteriorIr a siguiente diferencia →
Contenido eliminado Contenido añadido
VisualWikitexto
Matíaslaws (discusión · contribs.)
197 ediciones
mSin resumen de edición
Matíaslaws (discusión · contribs.)
197 ediciones
mSin resumen de edición
Línea 1: Línea 1:
{{En desarrollo|Matíaslaws|t=20230908020751}}
{{En desarrollo|Matíaslaws|t=20230908020751}}


'''TrickBot''' es [[Malware|un malware]] informático, un [[Troyano (informática)|troyano]] para [[Microsoft Windows]] y otros sistemas operativos,<ref>{{Cita web|url=https://www.ncsc.gov.uk/news/trickbot-advisory|título=Advisory: Trickbot|fechaacceso=2020-10-13|sitioweb=www.ncsc.gov.uk|idioma=en}}</ref> y un grupo cibercriminal está detrás de esto. Su función principal era originalmente el robo de datos bancarios y otras credenciales, pero sus operadores han ampliado sus capacidades para hacer un ecosistema de malware modular completo.<ref name="microsoft20201013">{{Cita web|url=https://www.microsoft.com/security/blog/2020/10/12/trickbot-disrupted/|título=Trickbot disrupted|fechaacceso=2020-10-13|fecha=2020-10-12|sitioweb=Microsoft Security|idioma=en-US}}</ref> La organización cibercriminal TrickBot es bastante grande y está bien organizada, <ref>{{Cita web|url=https://www.cyjax.com/app/uploads/2022/07/Who-is-Trickbot.pdf|título=Who is Trickbot? - Analysis of the Trickbot Leaks|fechaacceso=2022-07-20|autor=Wrieden|nombre=Joe|fecha=2022-07-14|sitioweb=Cyjax|idioma=en}}</ref> con supuestas conexiones con servicios de inteligencia rusos. <ref>{{Cita noticia|título=Secret World of Pro-Russia Hacking Group Exposed in Leak|url=https://www.wsj.com/articles/trickbot-pro-russia-hacking-gang-documents-ukrainian-leaker-conti-11648480564?st=wksay27hr8knyc5&reflink=desktopwebshare_twitter|obra=The Wall Street Journal|fecha=28 de Mayo del 2022|apellidos=Robert McMillan|idioma=en}}</ref>
'''TrickBot''' es [[Malware|un malware]] informático, un [[Troyano (informática)|troyano]] para [[Microsoft Windows]] y otros sistemas operativos,<ref>{{Cita web|url=https://www.ncsc.gov.uk/news/trickbot-advisory|título=Advisory: Trickbot|fechaacceso=2020-10-13|sitioweb=www.ncsc.gov.uk|idioma=en}}</ref> y un grupo cibercriminal está detrás de esto. Su función principal era originalmente el robo de datos bancarios y otras credenciales, pero sus operadores han ampliado sus capacidades para hacer un ecosistema de malware modular completo. La organización cibercriminal TrickBot es bastante grande y está bien organizada, con supuestas conexiones con servicios de inteligencia rusos. <ref>{{Cita noticia|título=Secret World of Pro-Russia Hacking Group Exposed in Leak|url=https://www.wsj.com/articles/trickbot-pro-russia-hacking-gang-documents-ukrainian-leaker-conti-11648480564?st=wksay27hr8knyc5&reflink=desktopwebshare_twitter|obra=The Wall Street Journal|fecha=28 de Mayo del 2022|apellidos=Robert McMillan|idioma=en}}</ref>


== Capacidades ==
== Capacidades ==
Línea 15: Línea 15:
El 27 de septiembre de 2020, los hospitales y sistemas de salud de [[EE.UU.]] fueron cerrados por un ciberataque utilizando el ransomware [[Ryuk]]. Se cree que el troyano [[Emotet]] inició la infección de la [[botnet]] enviando archivos adjuntos, en correos electrónicos maliciosos durante 2020. Después de un tiempo, instalaría TrickBot, que luego proporcionaría acceso a Ryuk. <ref>{{Cita web|url=https://www.bleepingcomputer.com/news/security/uhs-hospitals-hit-by-reported-country-wide-ryuk-ransomware-attack/|título=UHS hospitals hit by reported country-wide Ryuk ransomware attack|autor=Gatlan|nombre=Sergiu|fecha=28 de Septiembre de 2020|sitioweb=BleepingComputer|idioma=en}}</ref>
El 27 de septiembre de 2020, los hospitales y sistemas de salud de [[EE.UU.]] fueron cerrados por un ciberataque utilizando el ransomware [[Ryuk]]. Se cree que el troyano [[Emotet]] inició la infección de la [[botnet]] enviando archivos adjuntos, en correos electrónicos maliciosos durante 2020. Después de un tiempo, instalaría TrickBot, que luego proporcionaría acceso a Ryuk. <ref>{{Cita web|url=https://www.bleepingcomputer.com/news/security/uhs-hospitals-hit-by-reported-country-wide-ryuk-ransomware-attack/|título=UHS hospitals hit by reported country-wide Ryuk ransomware attack|autor=Gatlan|nombre=Sergiu|fecha=28 de Septiembre de 2020|sitioweb=BleepingComputer|idioma=en}}</ref>


A pesar de los esfuerzos por extinguir a TrickBot, el [[FBI]] y otras dos agencias federales estadounidenses advirtieron el 29 de octubre de 2020 que tenían "información creíble sobre una amenaza cada vez mayor e inminente del cibercrimen [<nowiki/>[[ransomware]]] para hospitales y agencias proveedoras de atención médica de EE.UU." a medida que aumentaban los casos de COVID-19. Después de los ataques del mes anterior, cinco hospitales más habían sido atacados esa semana y cientos de hospitales más eran objetivos potenciales. Ryuk, sembrado a través de TrickBot, fue el método de ataque que utilizaron. <ref>{{Cita web|url=https://www.theguardian.com/society/2020/oct/28/us-healthcare-system-cyber-attacks-fbi|título=US hospital systems facing 'imminent' threat of cyber attacks, FBI warns|autor=Staff and agencies|fecha=19 de Octubre de 2020|sitioweb=The Guardian|idioma=en}}</ref>
A pesar de los esfuerzos por extinguir a TrickBot, el [[FBI]] y otras dos agencias federales estadounidenses advirtieron el 29 de octubre de 2020 que tenían "información creíble sobre una amenaza cada vez mayor e inminente del cibercrimen [<nowiki/>[[ransomware]]] para hospitales y agencias proveedoras de atención médica de EE.UU." a medida que aumentaban los casos de COVID-19. Después de los ataques del mes anterior, cinco hospitales más habían sido atacados esa semana y cientos de hospitales más eran objetivos potenciales. Ryuk, sembrado a través de TrickBot, fue el método de ataque que utilizaron.


== Arrestos ==
== Arrestos ==
Línea 23: Línea 23:
Desde finales de septiembre de 2020, la [[botnet]] TrickBot fue atacada por lo que se cree que fue [[Comando Cibernético de Estados Unidos|Cyber Command]], una rama del Departamento de Defensa de EE.UU. y varias empresas de seguridad. Se entregó un archivo para configurar a los sistemas infectados por TrickBot que cambió la dirección [[Botnet|del servidor de comando y control]] a ''127.0.0.1'' ([[localhost]], una dirección que no puede acceder a Internet). Igualmente, los esfuerzos comenzaron varios meses antes, con varias acciones disruptivas. El proyecto que hicieron, tiene como objetivo lograr hacer efectos a largo plazo, recopilando y analizando cuidadosamente datos de la botnet. Un número no revelado de servidores C2 también fueron desactivados mediante procedimientos legales para cortar su comunicación con los bots a nivel del proveedor de alojamiento. La acción comenzó después de que el Tribunal de Distrito de EE.UU. para el Distrito Este de [[Virginia]] aceptara la solicitud por parte de [[Microsoft]] sobre una orden judicial para detener la actividad de TrickBot. El esfuerzo técnico requerido es grande; Como parte del ataque, los sistemas automáticos de [[ESET]] examinaron más de 125.000 muestras sobre Trickbot, con más de 40.000 archivos para configurar al menos 28 complementos individuales utilizados por el malware para robar contraseñas, modificar el tráfico o autopropagarse.
Desde finales de septiembre de 2020, la [[botnet]] TrickBot fue atacada por lo que se cree que fue [[Comando Cibernético de Estados Unidos|Cyber Command]], una rama del Departamento de Defensa de EE.UU. y varias empresas de seguridad. Se entregó un archivo para configurar a los sistemas infectados por TrickBot que cambió la dirección [[Botnet|del servidor de comando y control]] a ''127.0.0.1'' ([[localhost]], una dirección que no puede acceder a Internet). Igualmente, los esfuerzos comenzaron varios meses antes, con varias acciones disruptivas. El proyecto que hicieron, tiene como objetivo lograr hacer efectos a largo plazo, recopilando y analizando cuidadosamente datos de la botnet. Un número no revelado de servidores C2 también fueron desactivados mediante procedimientos legales para cortar su comunicación con los bots a nivel del proveedor de alojamiento. La acción comenzó después de que el Tribunal de Distrito de EE.UU. para el Distrito Este de [[Virginia]] aceptara la solicitud por parte de [[Microsoft]] sobre una orden judicial para detener la actividad de TrickBot. El esfuerzo técnico requerido es grande; Como parte del ataque, los sistemas automáticos de [[ESET]] examinaron más de 125.000 muestras sobre Trickbot, con más de 40.000 archivos para configurar al menos 28 complementos individuales utilizados por el malware para robar contraseñas, modificar el tráfico o autopropagarse.


Los ataques perturbarían significativamente al TrickBot, pero tiene mecanismos alternativos para recuperar con dificultad, las computadoras eliminadas de la [[botnet]]. Se informó que hubo una interrupción a corto plazo, pero la botnet se recuperó rápidamente debido a que su infraestructura quedó totalmente intacta. <ref name="attack1">{{Cita web|url=https://www.bleepingcomputer.com/news/security/trickbot-botnet-targeted-in-takedown-operations-little-impact-seen/|título=TrickBot botnet targeted in takedown operations, little impact seen|autor=Ilascu|nombre=Ionut|fecha=12 de Octubre de 2020|sitioweb=BleepingComputer|idioma=en}}</ref> <ref name="microsoft20201013">{{Cita web|url=https://www.microsoft.com/security/blog/2020/10/12/trickbot-disrupted/|título=Trickbot disrupted|fechaacceso=2020-10-13|fecha=2020-10-12|sitioweb=Microsoft Security|idioma=en-US}}<cite class="citation web cs1" data-ve-ignore="true">[https://www.microsoft.com/security/blog/2020/10/12/trickbot-disrupted/ "Trickbot disrupted"]. ''Microsoft Security''. 2020-10-12<span class="reference-accessdate">. Retrieved <span class="nowrap">2020-10-13</span></span>.</cite></ref> <ref>{{Cita noticia|apellidos=Greene|nombre=Jay|título=Microsoft seeks to disrupt Russian criminal botnet it fears could seek to sow confusion in the presidential election|idioma=en-US|periódico=Washington Post|url=https://www.washingtonpost.com/technology/2020/10/12/microsoft-trickbot-ransomware/|fechaacceso=2020-10-13|issn=0190-8286}}</ref>
Los ataques perturbarían significativamente al TrickBot, pero tiene mecanismos alternativos para recuperar con dificultad, las computadoras eliminadas de la [[botnet]]. Se informó que hubo una interrupción a corto plazo, pero la botnet se recuperó rápidamente debido a que su infraestructura quedó totalmente intacta. <ref name="attack1">{{Cita web|url=https://www.bleepingcomputer.com/news/security/trickbot-botnet-targeted-in-takedown-operations-little-impact-seen/|título=TrickBot botnet targeted in takedown operations, little impact seen|autor=Ilascu|nombre=Ionut|fecha=12 de Octubre de 2020|sitioweb=BleepingComputer|idioma=en}}</ref> <ref>{{Cita noticia|apellidos=Greene|nombre=Jay|título=Microsoft seeks to disrupt Russian criminal botnet it fears could seek to sow confusion in the presidential election|idioma=en-US|periódico=Washington Post|url=https://www.washingtonpost.com/technology/2020/10/12/microsoft-trickbot-ransomware/|fechaacceso=2020-10-13|issn=0190-8286}}</ref>


El gobierno de EE.UU. consideró que el ransomware era una gran amenaza para las [[Elecciones de los Estados Unidos de 2020|elecciones estadounidenses de 2020]], ya que los ataques pueden robar o cifrar información de los votantes y resultados electorales, y afectar los sistemas electorales haciendo que gane uno u otro, o que directamente se interfiera todo. <ref name="attack1">{{Cita web|url=https://www.bleepingcomputer.com/news/security/trickbot-botnet-targeted-in-takedown-operations-little-impact-seen/|título=TrickBot botnet targeted in takedown operations, little impact seen|autor=Ilascu|nombre=Ionut|fecha=12 October 2020|sitioweb=BleepingComputer}}<cite class="citation web cs1" data-ve-ignore="true" id="CITEREFIlascu2020">Ilascu, Ionut (12 October 2020). [https://www.bleepingcomputer.com/news/security/trickbot-botnet-targeted-in-takedown-operations-little-impact-seen/ "TrickBot botnet targeted in takedown operations, little impact seen"]. ''BleepingComputer''.</cite></ref>
El gobierno de EE.UU. consideró que el ransomware era una gran amenaza para las [[Elecciones de los Estados Unidos de 2020|elecciones estadounidenses de 2020]], ya que los ataques pueden robar o cifrar información de los votantes y resultados electorales, y afectar los sistemas electorales haciendo que gane uno u otro, o que directamente se interfiera todo. <ref name="attack1">{{Cita web|url=https://www.bleepingcomputer.com/news/security/trickbot-botnet-targeted-in-takedown-operations-little-impact-seen/|título=TrickBot botnet targeted in takedown operations, little impact seen|autor=Ilascu|nombre=Ionut|fecha=12 October 2020|sitioweb=BleepingComputer}}<cite class="citation web cs1" data-ve-ignore="true" id="CITEREFIlascu2020">Ilascu, Ionut (12 October 2020). [https://www.bleepingcomputer.com/news/security/trickbot-botnet-targeted-in-takedown-operations-little-impact-seen/ "TrickBot botnet targeted in takedown operations, little impact seen"]. ''BleepingComputer''.</cite></ref>

Revisión del 03:00 8 sep 2023

Un wikipedista está trabajando actualmente en este artículo o sección. Es posible que a causa de ello haya lagunas de contenido o deficiencias de formato.
Si quieres, puedes ayudar y editar, pero antes de realizar correcciones mayores contáctalo en su página de discusión o en la del artículo para poder coordinar la redacción.
Este aviso fue puesto el 8 de septiembre de 2023.

TrickBot es un malware informático, un troyano para Microsoft Windows y otros sistemas operativos,[1]​ y un grupo cibercriminal está detrás de esto. Su función principal era originalmente el robo de datos bancarios y otras credenciales, pero sus operadores han ampliado sus capacidades para hacer un ecosistema de malware modular completo. La organización cibercriminal TrickBot es bastante grande y está bien organizada, con supuestas conexiones con servicios de inteligencia rusos. [2]​

Capacidades

Trickbot se informó por primera vez en octubre de 2016. Se propaga mediante métodos que incluyen programas ejecutables, archivos en carpetas, phishing por correo electrónico, Google Docs, y denuncias falsas sobre acoso sexual.[3]​

El sitio web Bleeping Computer ha seguido la evolución de TrickBot desde sus inicios como troyano bancario. Sus artículos tratan sobre: cómo atacan PayPal y la gestión de relaciones con los clientes empresariales (CRM; junio de 2017), la adición de un gusano informático que se propaga automáticamente (julio de 2017), coinbase.com, compatibilidad con DKIM para evitar los filtros de correo electrónico, robar el historial de problemas de Windows, robar cookies (julio de 2019), control de software de seguridad como Microsoft Defender para evitar su detección y eliminación (julio de 2019), robar códigos PIN de Verizon Wireless, T-Mobile y Sprint al inyectar códigos al acceder a un sitio web (agosto de 2019); robar Claves OpenSSH y OpenVPN (noviembre de 2019), propagar malware a través de una red (enero de 2020), omitir UAC de Windows 10 y robar credenciales de Active Directory (enero de 2020), usar correos electrónicos y hacer noticias falsas de la COVID-19 (desde marzo de 2020), omitir laautenticación de dos factores de dispositivos móviles Android, comprobación de que si se está ejecutando en una máquina virtual (por expertos en antimalware; julio de 2020), infectando sistemas Linux (julio de 2020). [4]​

TrickBot puede proporcionar otro malware con acceso-como-un-servicio a los sistemas infectados, incluidos Ryuk (enero de 2019) y Conti ransomware; Se sabe que el troyano de spam Emotet instala a TrickBot (julio de 2020). [4]​

En 2021, los investigadores de IBM informaron que TrickBot había mejorado con características como un algoritmo creativo de nomenclatura mutex y un nuevo mecanismo de persistencia actualizado. [5]​

Infecciones

El 27 de septiembre de 2020, los hospitales y sistemas de salud de EE.UU. fueron cerrados por un ciberataque utilizando el ransomware Ryuk. Se cree que el troyano Emotet inició la infección de la botnet enviando archivos adjuntos, en correos electrónicos maliciosos durante 2020. Después de un tiempo, instalaría TrickBot, que luego proporcionaría acceso a Ryuk. [6]​

A pesar de los esfuerzos por extinguir a TrickBot, el FBI y otras dos agencias federales estadounidenses advirtieron el 29 de octubre de 2020 que tenían "información creíble sobre una amenaza cada vez mayor e inminente del cibercrimen [ransomware] para hospitales y agencias proveedoras de atención médica de EE.UU." a medida que aumentaban los casos de COVID-19. Después de los ataques del mes anterior, cinco hospitales más habían sido atacados esa semana y cientos de hospitales más eran objetivos potenciales. Ryuk, sembrado a través de TrickBot, fue el método de ataque que utilizaron.

Arrestos

En agosto de 2020, el Departamento de Justicia emitió órdenes de arresto contra los actores que ejecutaban la botnet de Trickbot. [7]​ En enero de 2021, un administrador de la distribución del virus Trickbot, Emotet, fue arrestado en Ucrania. [7]​ En febrero de 2021, Max (también conocido como Alla Witte o Alla Klimova [Алла Климова]), una desarrolladora de la plataforma Trickbot y componentes de ransomware, fue arrestada. [7]​ [8]​ [9]​

Represalias

Desde finales de septiembre de 2020, la botnet TrickBot fue atacada por lo que se cree que fue Cyber Command, una rama del Departamento de Defensa de EE.UU. y varias empresas de seguridad. Se entregó un archivo para configurar a los sistemas infectados por TrickBot que cambió la dirección del servidor de comando y control a 127.0.0.1 (localhost, una dirección que no puede acceder a Internet). Igualmente, los esfuerzos comenzaron varios meses antes, con varias acciones disruptivas. El proyecto que hicieron, tiene como objetivo lograr hacer efectos a largo plazo, recopilando y analizando cuidadosamente datos de la botnet. Un número no revelado de servidores C2 también fueron desactivados mediante procedimientos legales para cortar su comunicación con los bots a nivel del proveedor de alojamiento. La acción comenzó después de que el Tribunal de Distrito de EE.UU. para el Distrito Este de Virginia aceptara la solicitud por parte de Microsoft sobre una orden judicial para detener la actividad de TrickBot. El esfuerzo técnico requerido es grande; Como parte del ataque, los sistemas automáticos de ESET examinaron más de 125.000 muestras sobre Trickbot, con más de 40.000 archivos para configurar al menos 28 complementos individuales utilizados por el malware para robar contraseñas, modificar el tráfico o autopropagarse.

Los ataques perturbarían significativamente al TrickBot, pero tiene mecanismos alternativos para recuperar con dificultad, las computadoras eliminadas de la botnet. Se informó que hubo una interrupción a corto plazo, pero la botnet se recuperó rápidamente debido a que su infraestructura quedó totalmente intacta. [10]​ [11]​

El gobierno de EE.UU. consideró que el ransomware era una gran amenaza para las elecciones estadounidenses de 2020, ya que los ataques pueden robar o cifrar información de los votantes y resultados electorales, y afectar los sistemas electorales haciendo que gane uno u otro, o que directamente se interfiera todo. [10]​

El 20 de octubre de 2020, un mensaje de seguridad en el sitio web de Bleeping Computer informó que la operación TrickBot estaba "a punto de cerrarse por completo luego de los esfuerzos de una alianza con los proveedores de ciberseguridad y alojamiento contra los servidores de comando y control de la botnet", después de las relativamente ineficaces acciones disruptivas a principios de mes. Una coalición encabezada por la Unidad de Delitos Digitales (UDD o DCU, en inglés) de Microsoft tuvo un gran impacto, aunque TrickBot siguió infectando muchos más ordenadores. El 18 de octubre, Microsoft declaró que el 94% de la infraestructura operativa crítica de Trickbot (120 de 128 servidores) había sido totalmente exterminada/eliminada. Algunos servidores de Trickbot permanecieron activos en Brasil, Colombia, Indonesia y Kirguistán. Se requiere una acción constante, tanto técnica como legal, para evitar que Trickbot vuelva a surgir debido a que su arquitectura es única. Aunque no habían pruebas de que TrickBot tuviera como objetivo potencial o no, las elecciones estadounidenses del 3 de noviembre de 2020, continuaron intensos esfuerzos hasta aquella fecha. [12]​

Referencias

  1. ↑ «Advisory: Trickbot». www.ncsc.gov.uk (en inglés). Consultado el 13 de octubre de 2020. 
  2. ↑ Robert McMillan (28 de mayo de 2022). «Secret World of Pro-Russia Hacking Group Exposed in Leak». The Wall Street Journal (en inglés). 
  3. ↑ Gatlan, Sergiu (11 de noviembre de 2019). «TrickBot Malware Uses Fake Sexual Harassment Complaints as Bait». BleepingComputer (en inglés). 
  4. ↑ a b «Articles tagged with TrickBot». Bleeping Computer (en inglés). Consultado el 29 de octubre de 2020. «A list of Bleeping Computer articles about TrickBot, with descriptive titles, starting in 2016».  Error en la cita: Etiqueta <ref> no válida; el nombre «bplist» está definido varias veces con contenidos diferentes
  5. ↑ «Is It Impossible To Take Down TrickBot Permanently?». The Hack Report (en inglés estadounidense). 2 de febrero de 2021. Consultado el 14 de abril de 2021. 
  6. ↑ Gatlan, Sergiu (28 de septiembre de 2020). «UHS hospitals hit by reported country-wide Ryuk ransomware attack». BleepingComputer (en inglés). 
  7. ↑ a b c «Trickbot Gang Arrest – Story of Alla Witte». Hold Security (en inglés). Archivado desde el original el 8 de junio de 2021. Consultado el 2 de julio de 2022. 
  8. ↑ Seals, Tara (8 de julio de 2022). «TrickBot Coder Faces Decades in Prison». threat post (en inglés). Archivado desde el original el June 8, 2021. Consultado el 2 de julio de 2022. 
  9. ↑ «Latvian National Charged for Alleged Role in Transnational Cybercrime Organization». justice.gov (en inglés). 4 de junio de 2021. Archivado desde el original el 08/06/2022. 
  10. ↑ a b Ilascu, Ionut (12 de octubre de 2020). «TrickBot botnet targeted in takedown operations, little impact seen». BleepingComputer (en inglés).  Error en la cita: Etiqueta <ref> no válida; el nombre «attack1» está definido varias veces con contenidos diferentes
  11. ↑ Greene, Jay. «Microsoft seeks to disrupt Russian criminal botnet it fears could seek to sow confusion in the presidential election». Washington Post (en inglés estadounidense). ISSN 0190-8286. Consultado el 13 de octubre de 2020. 
  12. ↑ Ilascu, Ionut (20 de octubre de 2020). «TrickBot malware under siege from all sides, and it's working». BleepingComputer (en inglés). 
Obtenido de «https://es.wikipedia.org/w/index.php?title=TrickBot&oldid=153608587»