Jump to content

Мошенники используют PowerPoint-макросы для установки Agent Tesla


security147

Recommended Posts

Мошенники используют PowerPoint-макросы для установки Agent Tesla

13:59 / 14 Декабря, 2021 2021-12-14T14:59:48+03:00

Alexander Antipov

Организаторы вредоносной кампании рассылают корейским пользователям письма с вредоносами.

https://www.securitylab.ru/upload/iblock/3c8/3c86339bdb839596e594962eb22f0cb4.jpg

Новый вариант вредоносного ПО Agent Tesla использовался в ходе текущей фишинговой кампании. По словам специалистов из компании Fortinet, злоумышленники рассылают корейским пользователям электронные письма, якобы содержащие подробности «заказа». Письма содержат вредоносные документы Microsoft PowerPoint.

При открытии файл не представляет никаких слайдов, а вместо этого запускает автоматическую функцию VBA для выполнения HTML-ресурса на удаленном сайте. После выполнения экранированного кода VBScript киберпреступник может использовать ряд скриптов, включая PowerShell, для незаметной установки Agent Tesla.

Эксперты обнаружили следующие скрипты и описали их функции:

  • VBScript-embedded-in-HTML — обновляет вредоносное ПО каждые два часа (если возможно), добавляя команду командной строки в планировщик задач.

  • Автономный файл VBS — загружает новый VBS-файл в кодировке base64 и добавляет его в папку автозагрузки для обеспечения персистентности.

  • Второй автономный файл VBS — загружает Agent Tesla и создает PowerShell-код.

  • PowerShell-код — выполняется для вызова новой функции ClassLibrary3.Class1.Run (), которая выполняет очистку процесса, передавая полезную нагрузку Agent Tesla в памяти.

Вредоносная программа внедряется в легитимный исполняемый файл Microsoft .NET RegAsm.exe с помощью четырех функций Windows API. Внедряя файл в RegAsm.exe, Agent Tesla может работать на зараженной системе без файлов, поэтому шансы быть обнаруженными значительно снижаются.

Agent Tesla обладает функциями кейлоггера, может делать снимки экрана, способен похищать cookie-файлы браузера и сохраненные учетные данные, а также данные буфера обмена. Злоумышленник может выбрать, какие функции включить во время компиляции полезной нагрузки, тем самым выбирая между балансом мощности и скрытности.

В общей сложности Agent Tesla может получать данные из более чем 70 приложений. Когда дело доходит до отправки собранных данных, вредоносная программа может выполнить эту задачу четырьмя способами: HTTP Post, FTP-загрузка, SMTP и Telegram. Каждый отправленный пакет имеет номер, обозначающий его тип, и всего существует семь типов пакетов:

  • Пакет «0» — первый пакет, сообщающий злоумышленнику о запуске Agent Tesla.

  • Пакет «1» отправляется каждые 120 секунд и сообщает, что вредонос активен.

  • Пакет «2» отправляется каждые 60 секунд и содержит только данные «заголовка». Agent Tesla читает ответ и проверяет, содержит ли он uninstall. Если да, Agent Tesla удаляется из системы жертвы, включая все созданные файлы и ключи реестра, и завершает процесс.

  • Пакет «3» отправляет нажатия клавиш жертвы (данные кейлоггера) и украденные данные буфера обмена.

  • Пакет «4» отправляет созданные снимки экрана.

  • Пакет «5» отправляет учетные данные, украденные у программных клиентов.

  • Пакет «6» отправляет cookie-файлы в ZIP-архиве.


ИИ позволяет создать оружие будущего, а сотрудников госдепа США взломали, еще и кубинские хакеры влезли в КИИ. Смотрите наш новый ролик и участвуйте в конкурсах с крутыми призами!

Adblock test (Why?)

Link to comment

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

×
×
  • Create New...