TrickBot

Eine Sammlung von Tools für die Arbeit mit TrickBot

ConfigDecrypter.py

Wird verwendet, um TrickBot-Konfigurationen zu entschlüsseln (im Installationsverzeichnis unter dem Namen config.conf zu finden)

Beispielaufruf: ConfigDecrypter.py -input config.conf -output config.txt

FileDownloader.py

Wird verwendet, um Dateien vom Command-and-Control-Server herunterzuladen

Damit es funktioniert, musst du servers.txt mit einer Liste aktueller Server füllen (TrickBot-Server sterben sehr schnell)

-o (--output) ist die Datei, in die gespeichert werden soll.

-f (--file) legt die herunterzuladende Datei fest. Hier ist eine Liste der verfügbaren Dateien:

• Module

  • systeminfo32 - sammelt Informationen über das infizierte System (32-Bit-Modul)
  • injectdll32 - injiziert in den Browser und führt Webinjects aus (32-Bit-Modul)
  • mailsearcher32 - durchsucht Dateien, um eine Liste von E-Mail-Adressen zu sammeln (32-Bit-Modul)
  • sharedll32 - ermöglicht der Malware die laterale Bewegung über Netzwerkfreigaben (32-Bit-Modul)

• Konfigurationsdateien

  • main - Hauptkonfiguration von TrickBot, die die aktuelle Serverliste enthält
  • dinj - dynamische Webinject-Konfiguration
  • sinj - statische Webinject-Konfiguration
  • dpost - Server, an den die dynamischen Webinjects abgefangene Anfragen senden
  • mailconf - Server, an den die gesammelte E-Mail-Liste gesendet wird