Die Sicherheitsexperten von SentinelLabs warnen vor einem neuem Hacking-Tool der russischen Crimewave-Organisation TrickBot. Wie jüngste Untersuchungen des Forschungslabors von SentinelOne zeigen, zeichnet sich die PowerShell-basierte Backdoor namens PowerTrick durch eine außerordentliche Verschleierung, Hartnäckigkeit und Auskundschaftungsfähigkeiten aus.
Anders als beim Einsatz größerer quelloffener Systeme wie etwa PowerShell Empire, ist das PowerTrick-Tool äußerst offensiv und flexibel und ermöglicht es den Angreifern, möglichst lange ungestört zu agieren und sich spontan auszubreiten.
Ziel der PowerTrick-Backdoor sei es, auch effektive Sicherheitskontrollen und Beschränkungen zu umgehen, sich denen Gegebenheiten moderner Security-Maßnahmen erfolgreich anzupassen und auf diese Weise auch die am besten abgesicherten und Air Gap-geschützten Netzwerke zu bezwingen.
Dass das Tool dabei so erfolgreich ist und in vielen Fällen unentdeckt bleibt, liegt laut SentinelLabs vor allem daran, dass TrickBot – genau wie andere Angriffswerkzeuge der TrickBot-Gruppe – nur für gezielte Nachbearbeitungszwecke wie z.B. laterale Bewegungen und damit nur für eine kurze Zeitspanne zum Einsatz kommt.
Die Sicherheitsexperten von SentinelLabs haben nun nachgebildete Befehls- und Kontrollfelder entwickelt und stellen diese auch anderen Institutionen zur Verfügung, um Detection-Tests im Zusammenhang mit PowerTrick durchzuführen.
Erst vor kurzem war es den Spezialisten von SentinelLabs gelungen, eine Zusammenarbeit von TrickBot mit der nordkoreanischen Advanced Persistent Threat (APT)-Gruppe Lazarus aufzudecken. Bindeglied zwischen den beiden gefährlichen Cybercrime-Akteuren ist demnach das als „Anchor Project“ bekannte TrickBot-Toolset.