病毒预报  第七百五十七期

国家计算机病毒应急处理中心通过对互联网的监测发现一例TrickBot银行木马新变种。相比较过去出现过的TrickBot银行木马，该新变种攻击过程中无任何文件落地，包括载荷下载、窃密、屏幕截图在内的所用功能都由一段PowerShell命令完成。

TrickBot银行木马最早出现于2016年底，主要通过挂马网页、钓鱼文档传播，进入受害者计算机后窃取计算机中邮箱密码、浏览器中存储的网站凭证等敏感数据，注入浏览器窃取网银帐户密码，盗取受害者资产。过去的TrickBot银行木马一般通过带有恶意宏的Office文档启动PowerShell应用程序下载载荷到本地执行，这么做会导致载荷文件落地，一旦载荷文件被杀毒软件查杀攻击即宣告失败。

TrickBot新变种简化了攻击流程，去掉了载荷释放这一步骤，所用功能都由一段PowerShell命令行执行。这样攻击流程中无文件落地，降低了被杀毒软件查杀的风险。

针对该恶意木马程序所造成的危害，建议用户加强以下防护措施:一是银行木马大部分通过垃圾邮件传播，一般以Request order、Confirm Invoice这类与订单、付款单相关的字样作为邮件标题，若收到这类标题的邮件时先确定发件人身份，再决定是否打开邮件中的附件查看。二是TrickBot银行木马一般通过宏执行恶意功能，而宏是默认禁用的。当接收到未知来源的Office文档时，千万不要启用宏。

联系方式：
国家计算机病毒应急处理中心
计算机病毒防治产品检验中心