搜索

[12569] 2018-04-09_间谍软件AgentTesla变种再现：通过特制Word文档诱导安装

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-04-09_间谍软件AgentTesla变种再现：通过特制Word文档诱导安装 间 谍 软 件 A g e n t   T e s l a 变 种 再 现 ： 通 过 特 制 W o r d 文 档 诱 导 安 装 k y l i n 1 4 1 5   F r e e B u f   2 0 1 8 - 0 4 - 0 9 近 期 近 期   F o r t i n e t   研 究 专 家 发 现 臭 名 昭 著 的 间 谍 软 件 研 究 专 家 发 现 臭 名 昭 著 的 间 谍 软 件   A g e n t   T e s l a   出 现 了 全 新 的 变 种 ， 而 变 种 传 播 是 通 过 特 制 的 出 现 了 全 新 的 变 种 ， 而 变 种 传 播 是 通 过 特 制 的 M i c r o s o f t   W o r d 文 件 进 行 的 。 文 件 进 行 的 。 A g e n t   T e s l a   是 一 种 用 来 收 集 系 统 键 击 记 录 、 剪 贴 板 内 容 、 屏 幕 截 图 、 身 份 凭 证 的 间 谍 软 件 ， 很 多 用 户 使 用 这 款 软 件 窥 探 受 害 者 。 为 了 实 现 这 些 功 能 ， 这 款 间 谍 软 件 在 主 函 数 中 创 建 了 不 同 的 线 程 和 定 时 函 数 。 专 家 首 先 在 去 年   6   月 份 就 发 现 了 这 款 恶 意 软 件 变 种 。 当 时 他 们 观 察 到 威 胁 样 本 中 ， 黑 客 通 过   V B A   宏 的 自 动 执 行 进 行 软 件 的 传 播 。 一 旦 用 户 启 用 了 文 档 中 包 含 的 宏 ， 间 谍 软 件 就 会 在 受 害 者 机 器 上 成 功 安 装 。 但 在 最 新 发 现 的 行 动 中 ， 黑 客 将 附 件 文 档 的 内 容 被 制 作 成 模 糊 的 样 子 ， 这 样 用 户 会 遵 循 文 档 上 的 说 明 ， 双 击 文 档 来 得 到 更 清 晰 的 视 图 。 而 如 果 用 户 照 做 了 ， 这 个 文 档 就 会 提 取 可 执 行 文 件 ， 在 本 地 系 统 的 临 时 文 件 中 运 行 。
这 个 可 执 行 文 件 名 为 “ P O M . e x e ” 。 运 行 的   P O M . e x e   即 开 始 了 恶 意 软 件 的 最 终 安 装 程 序 。 使 用 分 析 软 件 查 看 这 个 可 执 行 文 件 ， 可 以 看 到 黑 客 使 用 的 是   M S   V i s u a l   b a s i c   进 行 编 写 。 根 据 我 的 分 析 ， 这 是 一 种 安 装 程 序 。 运 行 时 ， 它 将 两 个 文 件 “ f i l e n a m e . e x e ” 和 “ f i l e n a m e . v b s ” 放 入 “ ％ t e m p ％ 子 文 件 夹 ” 中 。 然 后 在 执 行 文 件 “ f i l e n a m e . v b s ” 后 退 出 进 程 。 下 面 中 ， 就 是 “ f i l e n a m e . v b s ” 的 内 容 。 而 为 了 使 这 个 间 谍 软 件 在 系 统 启 动 的 时 候 就 开 始 自 动 运 行 ， 它 还 会 在 系 统 注 册 表 中 添 加 自 己 （ f i l e n a m e . v b s ） 。
目 前 看 来 ， 新 变 种 的   C ＆ C 服 务 器 提 交 数 据 的 方 式 已 经 改 变 。 研 究 员 表 示 ， 过 去 的 攻 击 行 动 中 使 用 的 都 是   H T T P P O S T   来 发 送 收 集 的 数 据 。 但 在 观 测 到 的 最 新 变 体 中 ， 它 会 使 用   S M T P S   将 收 集 到 的 数 据 发 送 到 攻 击 者 的 邮 箱 。 更 详 细 的   A g e n t   T e s l a   变 种 研 究 结 果 请 见   B l o g   原 文 。 * 参 考 资 料 ： 参 考 资 料 ： s e c u r i t y a f f a i r s ， ， k y l i n 编 译 ， 转 载 请 注 明 编 译 ， 转 载 请 注 明 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理