Мошенники используют PowerPoint-макросы для установки Agent Tesla

Новый вариант вредоносного ПО Agent Tesla использовался в ходе текущей фишинговой кампании. По словам специалистов из компании Fortinet, злоумышленники рассылают корейским пользователям электронные письма, якобы содержащие подробности «заказа». Письма содержат вредоносные документы Microsoft PowerPoint.

При открытии файл не представляет никаких слайдов, а вместо этого запускает автоматическую функцию VBA для выполнения HTML-ресурса на удаленном сайте. После выполнения экранированного кода VBScript киберпреступник может использовать ряд скриптов, включая PowerShell, для незаметной установки Agent Tesla.

Эксперты обнаружили следующие скрипты и описали их функции:

• VBScript-embedded-in-HTML — обновляет вредоносное ПО каждые два часа (если возможно), добавляя команду командной строки в планировщик задач.
• Автономный файл VBS — загружает новый VBS-файл в кодировке base64 и добавляет его в папку автозагрузки для обеспечения персистентности.
• Второй автономный файл VBS — загружает Agent Tesla и создает PowerShell-код.
• PowerShell-код — выполняется для вызова новой функции ClassLibrary3.Class1.Run (), которая выполняет очистку процесса, передавая полезную нагрузку Agent Tesla в памяти.

Вредоносная программа внедряется в легитимный исполняемый файл Microsoft .NET RegAsm.exe с помощью четырех функций Windows API. Внедряя файл в RegAsm.exe, Agent Tesla может работать на зараженной системе без файлов, поэтому шансы быть обнаруженными значительно снижаются.

Agent Tesla обладает функциями кейлоггера, может делать снимки экрана, способен похищать cookie-файлы браузера и сохраненные учетные данные, а также данные буфера обмена. Злоумышленник может выбрать, какие функции включить во время компиляции полезной нагрузки, тем самым выбирая между балансом мощности и скрытности.

В общей сложности Agent Tesla может получать данные из более чем 70 приложений. Когда дело доходит до отправки собранных данных, вредоносная программа может выполнить эту задачу четырьмя способами: HTTP Post, FTP-загрузка, SMTP и Telegram. Каждый отправленный пакет имеет номер, обозначающий его тип, и всего существует семь типов пакетов:

• Пакет «0» — первый пакет, сообщающий злоумышленнику о запуске Agent Tesla.
• Пакет «1» отправляется каждые 120 секунд и сообщает, что вредонос активен.
• Пакет «2» отправляется каждые 60 секунд и содержит только данные «заголовка». Agent Tesla читает ответ и проверяет, содержит ли он uninstall. Если да, Agent Tesla удаляется из системы жертвы, включая все созданные файлы и ключи реестра, и завершает процесс.
• Пакет «3» отправляет нажатия клавиш жертвы (данные кейлоггера) и украденные данные буфера обмена.
• Пакет «4» отправляет созданные снимки экрана.
• Пакет «5» отправляет учетные данные, украденные у программных клиентов.
• Пакет «6» отправляет cookie-файлы в ZIP-архиве.