2019年2月7日，CrowdStrike Intelligence发现了一个对WIZARD SPIDER歹意安排的TrickBot歹意软件进行分发的新活动，此次活动来自LUNAR SPIDER歹意安排，其特别之处在于，这是迄今为止初次在LUNAR SPIDER的活动中发现此类TrickBot模块的变体。
WIZARD SPIDER是TrickBot银行歹意软件的俄罗斯运营商，迄今为止一向处于不断发展的阶段，GRIM SPIDER疑似为WIZARD SPIDER要挟安排的所属小组。而LUNAR SPIDER歹意安排则是东欧产品银行歹意软件的开发和运营商，其名下的歹意软件BokBot（又叫IcedID）于2019年4月初次呈现。BokBot歹意软件经过运用webinjects和歹意软件分发功用，让LUNAR SPIDER在凭据偷盗和电信诈骗上大展拳脚。
2019年7月，CrowdStrike Intelligence初次确认了触及BokBot和TrickBot的活动。在这些活动中，受BokBot感染的机器发出了下载和履行TrickBot有效载荷的指令。自那时起，BokBot和TrickBot之间的联系便一向时断时续，而最近的这次活动或许标志着两者联系进入了一个更为“密切”的阶段。
TrickBot的分发
2019年2月7日，LUNAR SPIDER的BokBot（项目ID C610DF9A）被观测到从http://tfulf[.]host/ sw9hjxzq.exe处下载并履行了一个加载器，该定制的加载器随后从http://185.68.93[.]30/sin.png处下载了一个TrickBot加载器。此样本的配置文件标明它是TrickBot的1000351版别而且归于组标（gtag）为sin2的组。前缀为sin的组标是从前前缀为mom的组标的继任，与此次LUNAR SPIDER活动相关。
完好的TrickBot配置文件，包含指令和操控（C2）服务器，如下所示。
     1000351
     sin2
    
          185.246.64[.]237:443
          68.119.85[.]138:449
          65.184.200[.]184:449
          185.62.188[.]30:443
          96.36.253[.]146:449
          92.38.135[.]33:443
          24.247.181[.]155:449
          31.131.22[.]212:443
          208.79.106[.]155:449
          192.227.204[.]224:443
          124.29.213[.]74:449
          46.100.14[.]215:449
          190.109.178[.]222:449
          103.47.168[.]172:449
          208.79.110[.]201:449
          204.14.154[.]126:449
          103.47.168[.]72:449
          103.47.168[.]91:449
          46.21.249[.]220:443
          107.146.147[.]235:449
          185.62.188[.]30:443
          68.111.123[.]100:449
          103.47.169[.]27:449
          24.247.182[.]240:449
          36.91.74[.]138:449
          125.209.82[.]158:449
          76.107.90[.]235:449
          47.224.98[.]123:449
          185.222.202[.]79:443
          24.247.182[.]253:449
          216.17.92[.]138:449
          199.21.106[.]189:449
          208.79.106[.]213:449
          24.247.182[.]253:449
          136.25.2[.]43:449
          181.129.93[.]226:449
          170.79.176[.]242:449
    
    
         
         
         
    
修正后的TrickBot模块
此次活动遵从了从前的方式，使用BokBot帮忙传达TrickBot。不过，最风趣的部分是定制加载器是嵌入式base64编码的可移植可履行（PE）文件，如图1所示。

图1. Base64编码的PE文件
嵌入的PE文件由定制加载器提取，然后解码并履行。剖析标明，解码后的PE文件实际上是TrickBot横向移动模块shareDll的修正版别。一般，TrickBot模块以动态链接库(DLL)的方式下载，并供给一组名为Start、Control和Release的导出标准集。然后此DLL将被注入到一个TrickBot模块化结构内的子svcho .exe进程中。可是，在没有此结构的情况下，BokBot分发的shareDll模块是一个PE文件。

[1] [2]  黑客接单网