TrickBot

Uma coleção de ferramentas para trabalhar com o TrickBot

ConfigDecrypter.py

Usado para descriptografar as configurações do TrickBot (encontradas no diretório de instalação sob o nome config.conf)

Exemplo de uso: ConfigDecrypter.py -input config.conf -output config.txt

FileDownloader.py

Usado para baixar arquivos do servidor de comando e controle

Para que funcione, você precisará preencher servers.txt com uma lista de servidores recentes (os servidores do TrickBot morrem muito rapidamente)

-o (--output) é o arquivo onde salvar.

-f (--file) especifica o arquivo a ser baixado, aqui está uma lista de arquivos disponíveis:

• Módulos

  • systeminfo32 - coleta informações sobre o sistema infectado (módulo de 32 bits)
  • injectdll32 - injeta no navegador e executa webinjects (módulo de 32 bits)
  • mailsearcher32 - pesquisa em arquivos para coletar uma lista de endereços de e-mail (módulo de 32 bits)
  • sharedll32 - permite que o malware se mova lateralmente via compartilhamentos de rede (módulo de 32 bits)

• Arquivos de Configuração

  • main - configuração principal do TrickBot que inclui a lista de servidores mais recentes
  • dinj - configuração dinâmica de webinject
  • sinj - configuração estática de webinject
  • dpost - servidor para o qual os webinjects dinâmicos enviarão as requisições interceptadas
  • mailconf - servidor para o qual enviar a lista de e-mails coletados