TrickBot è una famiglia di malware Windows modulare progettata per la persistenza, la distribuzione di payload e il controllo remoto. “Modulare” significa che l'infezione iniziale può scaricare in seguito componenti aggiuntivi, consentendo agli operatori di aggiungere funzionalità come il furto di credenziali, il movimento laterale o l'esecuzione di comandi senza modificare ogni volta il malware principale.
È importante perché il suo comportamento può confondersi con l'amministrazione normale. TrickBot sfrutta comunemente funzionalità di Windows come attività pianificate o meccanismi simili a servizi per sopravvivere ai riavvii, e può instradare il traffico di comando e controllo attraverso canali meno evidenti come DNS. Questo rende più difficile il rilevamento se i difensori controllano solo HTTP o attività evidenti di dropper eseguibili. Difese efficaci includono il monitoraggio delle modifiche alle attività pianificate, l'ispezione delle anomalie DNS, la registrazione dell'attività dei processi sugli endpoint e la caccia a processi figli insoliti o a pattern di rete che indicano che un implant modulare sta scaricando altro codice.