搜索

[15406] 2020-05-23_AgentTesla新变体分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-05-23_AgentTesla新变体分析 A g e n t T e s l a 新 变 体 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 5 - 2 3 A g e n t T e s l a 是 基 于 是 基 于 . N e t 的 恶 意 软 件 ， 可 从 受 害 机 器 窃 取 不 同 应 用 程 序 的 数 据 （ 例 如 浏 览 器 ， 的 恶 意 软 件 ， 可 从 受 害 机 器 窃 取 不 同 应 用 程 序 的 数 据 （ 例 如 浏 览 器 ， F T P 客 户 端 和 文 件 客 户 端 和 文 件 下 载 器 ） 。 攻 击 者 通 过 添 加 新 模 块 不 断 对 其 进 行 更 新 维 护 ， 该 恶 意 软 件 最 新 添 加 了 下 载 器 ） 。 攻 击 者 通 过 添 加 新 模 块 不 断 对 其 进 行 更 新 维 护 ， 该 恶 意 软 件 最 新 添 加 了 W i F i 配 置 文 件 窃 取 模 块 。 配 置 文 件 窃 取 模 块 。 A g e n t T e s l a 于 2 0 1 4 年 首 次 出 现 ， 此 后 一 直 出 现 在 各 种 恶 意 活 动 中 。 2 0 2 0 年 3 月 和 4 月 发 现 攻 击 者 通 过 垃 圾 邮 件 ， 用 各 种 文 件 格 式 传 播 恶 意 软 件 ， 例 如 Z I P ， C A B ， M S I ， I M G 文 件 和 O f f i c e 文 档 。 技 术 分 析 技 术 分 析 恶 意 软 件 变 体 是 用 . n e t 开 发 的 ， 可 嵌 入 图 像 之 中 ， 在 运 行 后 释 放 执 行 ： 该 可 执 行 文 件 （ R e Z e r 0 V 2 ） 含 有 加 密 资 源 。 在 反 调 试 ， 反 沙 箱 和 反 虚 拟 操 作 后 ， 可 执 行 文 件 解 密 并 注 入 ： 第 二 个 有 效 负 载 （ o w E K j M R Y k I f j P a z j p h I D d R o P e P V N o u l g d ） 是 A g e n t T e s l a 的 主 要 组 件 ， 它 从 浏 览 器 ， F T P 客 户 端 ， 无 线 配 置 等 文 件 中 窃 取 凭 据 ： 传 递 “   w l a n   s h o w p r o f i l e ” 参 数 创 建 “ n e t s h ” 。 然 后 用 正 则 表 达 式 “ A l l   U s e r   P r o f i l e   :     ( ? . ) ” 提 取 可 用 的 W i F i 名 称 ：
执 行 以 下 命 令 以 提 取 凭 据 ： “ n e t s h   w l a n   s h o w   p r o f i l e   P R P F I L E N A M E   k e y = c l e a r ” ： 字 符 串 加 密 字 符 串 加 密 恶 意 软 件 使 用 的 所 有 字 符 串 通 过 R i j n d a e 均 已 加 密 ， 加 密 解 密 过 程 如 下 ： 在 上 图 中 ， “   1 1 9 2 1 6 ” 被 解 密 为 “   w l a n   s h o w   p r o f i l e   n a m e   = ” ， “   1 1 9 1 9 6 ” 被 解 密 为 “   k e y   =   c l e a r ” 。 除 了 W i F i 配 置 文 件 外 ， 恶 意 软 件 还 收 集 其 他 系 统 信 息 ， 包 括 F T P 客 户 端 ， 浏 览 器 ， P C 信 息 （ 用 户 名 ， 计 算 机 名 ， 操 作 系 统 名 称 ， C P U 体 系 结 构 ， R A M ） 。
收 集 的 信 息 以 h t m l 格 式 写 在 S M T P 邮 件 正 文 ： 如 果 最 终 列 表 中 的 元 素 少 于 三 个 ， 则 不 会 生 成 S M T P 邮 件 。 如 果 符 合 检 查 条 件 ， 消 息 会 通 过 s m t p . y a n d e x . c o m 发 送 ：
下 图 显 示 了 恶 意 软 件 工 作 的 整 个 过 程 ： 总 结 总 结 A g e n t T e s l a 变 体 添 加 了 W i F i 窃 取 功 能 ， 攻 击 者 可 能 正 在 考 虑 将 W i F i 作 为 新 的 传 播 机 制 ， 或 是 使 用 W i F i 配 置 文 件 为 下 一 步 攻 击 做 准 备 。 I O C s
A g e n t T e s l a   s a m p l e s 9 1 b 7 1 1 8 1 2 8 6 7 b 3 9 5 3 7 a 2 c d 8 1 b b 1 a b 1 0 3 1 5 a c 3 2 1 a 1 c 6 8 e 3 1 6 b f 4 f a 8 4 b a d b c 0 9 b d d 4 a 4 3 b 0 b 8 a 6 8 d b 6 5 b 0 0 f a d 9 9 5 1 9 5 3 9 e 2 a 0 5 a 3 8 9 2 f 0 3 b 8 6 9 d 5 8 e e 1 5 f d f 5 a a 0 4 4 2 7 9 3 9 b 7 0 9 2 8 b 2 8 5 6 5 5 c 8 6 3 f a 2 6 e f d e d 9 6 b f a c e 9 d b 4 6 f 3 5 b a 3 9 d 2 a 1 2 9 5 4 2 4 c 0 7 b F i r s t   p a y l o a d 2 4 9 a 5 0 3 2 6 3 7 1 7 0 5 1 d 6 2 a 6 d 6 5 a 5 0 4 0 c f 4 0 8 5 1 7 d d 2 2 f 9 0 2 1 e 5 f 8 9 7 8 a 8 1 9 b 1 8 0 6 3 b S e c o n d   p a y l o a d 6 3 3 9 3 b 1 1 4 e b e 2 e 1 8 d 8 8 8 d 9 8 2 c 5 e e 1 1 5 6 3 a 1 9 3 d 9 d a 3 0 8 3 d 8 4 a 6 1 1 3 8 4 b c 7 4 8 b 1 b 0 * 参 考 来 源 ： 参 考 来 源 ： m a l w a r e b y t e s ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理