TrickBot 是自 2016 年以来影响范围最大的银行木马之一，经过几年的发展，现在的 trickBot 可能已经脱离了简单的 " 银行木马 " 的范畴，它的模块化属性将恶意软件提升到了更高的水平。事实上，它可以被视为一种恶意植入，不仅能够入侵银行相关业务，还能为高级攻击者提供渗透公司网络的工具和机制。在过去，有数个威胁组织利用 trickBot 在核心服务器基础设施中接种 Ryuk 勒索软件，导致公司严重的业务中断。

在本文中，我们将分析 TrickBot 最新运作的一些变化情况，包括诱饵 Word 文档，还有一个由近万行高度混淆代码的的 dropper，以及滥用 ADS（Alternate Data Stream，供选数据流）的机制。

技术分析

表 1. 样本信息

诱饵文档用到的技巧其实是非常简单的：攻击者将恶意代码写入文档文本中，将字体设置为白色，只需更改字体颜色就可以看到一些密集显示的 JavaScript 代码。这段代码将在感染链的下一阶段执行，但在深入研究 JavaScript 代码之前，我们将先研究嵌入恶意文档中的宏代码。

图 1. Word 文档的内容

图 2. Word 文档的公开内容