Контакты
Подписка 2024
ITSEC 2024
Персональные данные в 2025 году: новые требования и инструменты. 16 октября, Москва, Форум ITSEC 2024
Регистрируйтесь и приходите!

Мошенники используют PowerPoint-макросы для установки Agent Tesla

15/12/21

hack64-Dec-15-2021-09-05-15-20-AMНовый вариант вредоносного ПО Agent Tesla использовался в ходе текущей фишинговой кампании. По словам специалистов из компании Fortinet, злоумышленники рассылают корейским пользователям электронные письма, якобы содержащие подробности «заказа». Письма содержат вредоносные документы Microsoft PowerPoint.

При открытии файл не представляет никаких слайдов, а вместо этого запускает автоматическую функцию VBA для выполнения HTML-ресурса на удаленном сайте. После выполнения экранированного кода VBScript киберпреступник может использовать ряд скриптов, включая PowerShell, для незаметной установки Agent Tesla.

Эксперты обнаружили следующие скрипты и описали их функции:

  • VBScript-embedded-in-HTML — обновляет вредоносное ПО каждые два часа (если возможно), добавляя команду командной строки в планировщик задач.
  • Автономный файл VBS — загружает новый VBS-файл в кодировке base64 и добавляет его в папку автозагрузки для обеспечения персистентности.
  • Второй автономный файл VBS — загружает Agent Tesla и создает PowerShell-код.
  • PowerShell-код — выполняется для вызова новой функции ClassLibrary3.Class1.Run (), которая выполняет очистку процесса, передавая полезную нагрузку Agent Tesla в памяти.

Вредоносная программа внедряется в легитимный исполняемый файл Microsoft .NET RegAsm.exe с помощью четырех функций Windows API. Внедряя файл в RegAsm.exe, Agent Tesla может работать на зараженной системе без файлов, поэтому шансы быть обнаруженными значительно снижаются.

Agent Tesla обладает функциями кейлоггера, может делать снимки экрана, способен похищать cookie-файлы браузера и сохраненные учетные данные, а также данные буфера обмена. Злоумышленник может выбрать, какие функции включить во время компиляции полезной нагрузки, тем самым выбирая между балансом мощности и скрытности.

В общей сложности Agent Tesla может получать данные из более чем 70 приложений. Когда дело доходит до отправки собранных данных, вредоносная программа может выполнить эту задачу четырьмя способами: HTTP Post, FTP-загрузка, SMTP и Telegram. Каждый отправленный пакет имеет номер, обозначающий его тип, и всего существует семь типов пакетов:

  • Пакет «0» — первый пакет, сообщающий злоумышленнику о запуске Agent Tesla.
  • Пакет «1» отправляется каждые 120 секунд и сообщает, что вредонос активен.
  • Пакет «2» отправляется каждые 60 секунд и содержит только данные «заголовка». Agent Tesla читает ответ и проверяет, содержит ли он uninstall. Если да, Agent Tesla удаляется из системы жертвы, включая все созданные файлы и ключи реестра, и завершает процесс.
  • Пакет «3» отправляет нажатия клавиш жертвы (данные кейлоггера) и украденные данные буфера обмена.
  • Пакет «4» отправляет созданные снимки экрана.
  • Пакет «5» отправляет учетные данные, украденные у программных клиентов.
  • Пакет «6» отправляет cookie-файлы в ZIP-архиве.
Темы:УгрозыфишингЮжная КореяFortinetPowerPoint
Безопасная разработка
Москва | 15 октября 2024 | Доверенные решения для защиты российских ОС на базе Linux и миграции
Регистрируйтесь и приходите на Форум ITSEC 2024
Статьи по темеСтатьи по теме

  • Кто зарабатывает на вэйлинге в России?
    Алексей Гусев, старший советник председателя правления банка “ЦентроКредит”, преподаватель РТУ РУДН и НИЯУ МИФИ
    Вэйлинг – специализированный и таргетированный вариант привычного фишинга, нацеленный на VIP-клиентов, относится к не столь распространенному и потому редко упоминаемому виду. Однако в последнее время хакеры начинают обращать на него внимание, а его методики используются в качестве базы для более сложного таргетированного фишинга.
  • 5 атак нового поколения, актуальных в 2023 году
    Александра Соколова, редактор Cloud Networks
    Технологии развиваются беспрецедентными темпами, и, как следствие, растет арсенал инструментов, доступных киберпреступникам для проведения сложных атак.
  • Расширения для браузеров: удобный инструмент или ворота для хакеров?
    Ксения Рысаева, Руководитель группы аналитики Центра противодействия киберугрозам Innostage CyberART
    Расширения для браузеров и недостаточное внимание к ним со стороны администраторов усиливают риски возникновения угроз для компаний
  • Своя атмосфера: что давно пора сделать для защиты электронной почты
    Илья Померанцев, продуктовый аналитик департамента сетевой безопасности Group-IB
    Рассмотрим три реальные атаки через корпоративную почту, обнаруженные и остановленные нашей системой Group-IB Threat Hunting Framework
  • Примеры фишинга через электронную почту: Как распознать фишинговое письмо
    Антон Тихонов, Технический менеджер направления McAfee
    Готовая инструкция, как распознать фишинговое письмо: простые советы

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Защита АСУ ТП и КИИ: готовимся к 2025 году
Обсуждаем на ITSEC 2024!

Еще темы...

More...