搜索

[17004] 2021-07-09_AgentTesla商业木马来袭，印度地区首当其冲

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-07-09_AgentTesla商业木马来袭，印度地区首当其冲 A g e n t   T e s l a 商 业 木 马 来 袭 ， 印 度 地 区 首 当 其 冲 安 全 豹   F r e e B u f   2 0 2 1 - 0 7 - 0 9 一 一 .   概 述 概 述 A g e n t   T e s l a 源 于 2 0 1 4 年 的 一 款 键 盘 记 录 产 品 ， 演 变 至 今 ， 俨 然 成 为 了 黑 客 专 门 用 来 窃 密 的 工 具 软 件 。 随 着 地 下 市 场 的 需 求 增 加 以 及 攻 防 的 对 抗 升 级 ， A g e n t   T e s l a 覆 盖 面 愈 来 愈 广 ， 功 能 也 愈 来 愈 精 密 。 A g e n t T e s l a 变 种 所 窃 密 的 软 件 多 达 7 6 种 ， 无 论 是 浏 览 器 、 F T P 、 V P N 、 邮 箱 、 通 讯 软 件 、 下 载 工 具 、 数 据 库 无 一 幸 免 。 在 对 抗 层 面 ， 此 次 变 种 使 用 的 手 段 提 供 了 反 沙 箱 、 反 虚 拟 机 以 及 反 w i n d o w s   d e f e n d e r 的 相 关 功 能 ， 同 时 诱 饵 文 件 使 用 了 多 层 或 分 批 解 密 ， 大 大 增 加 了 分 析 难 度 。 A g e n t   T e s l a 作 为 一 款 老 牌 “ M A A S ” ( m a l w a r e - a s - a - s e r v i c e ) 恶 意 程 序 ， 在 过 去 的 7 年 间 ， 一 直 保 持 着 较 高 的 活 跃 度 。 近 两 年 ， 国 内 便 出 现 了 多 起 使 用 A g e n t   T e s l a 进 行 商 业 窃 密 的 攻 击 活 动 ： 友 商 披 露 的 “ 商 贸 信 ” 木 马 攻 击 以 及 伪 装 航 运 公 司 钓 鱼 邮 件 攻 击 等 。 此 次 被 金 山 毒 霸 “ 捕 风 ” 威 胁 感 知 系 统 捕 获 的 A g e n t   T e s l a 延 续 了 之 前 的 钓 鱼 邮 件 传 播 方 式 ， 诱 饵 名 称 为 M A R 3 0 _ r e c e i p t . x l s x ， 其 伪 装 为 “ 收 据 ” 文 档 ， 诱 骗 用 户 进 行 点 击 运 行 。 目 标 用 户 点 击 之 后 ， 此 木 马 通 过 触 发 漏 洞 C V E - 2 0 1 7 - 1 1 8 8 2 ， 首 先 从 远 程 C 2 下 载 载 体 o r g a . e x e ， 再 将 此 载 体 进 行 多 次 释 放 ， 最 终 执 行 p a y l o a d — — A g e n t   T e s l a 。 整 个 流 程 中 ， 攻 击 手 段 成 熟 ， 环 境 检 测 完 备 ， 是 一 款 名 副 其 实 的 R A T 木 马 。 在 对 受 害 者 访 问 的 链 接 进 行 整 合 时 ， 发 现 其 是 一 款 针 对 印 度 地 区 进 行 的 窃 密 活 动 。 下 图 为 整 个 恶 意 样 本 的 执 行 流 程 图 ： 二 二 .   恶 意 文 档 详 细 分 析 恶 意 文 档 详 细 分 析 触 发 漏 洞 触 发 漏 洞 C V E - 2 0 1 7 - 1 1 8 8 2 的 恶 意 的 恶 意 E x c e l E x c e l 文 件 打 开 如 下 图 ：
此 文 件 并 没 有 实 质 的 内 容 ， 但 是 已 经 触 发 了 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 ， 并 运 行 S h e l l C o d e 从 远 程 C 2 下 载 恶 意 载 体 。 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 为 非 常 经 典 的 栈 溢 出 漏 洞 ， 其 影 响 的 o f f i c e 版 本 直 至 M i c r o s o f t   O f f i c e   2 0 1 6 。 该 漏 洞 的 成 因 为 E Q N E D T 3 2 . E X E 进 程 在 读 入 包 含 M a t h T y p e 的 o l e 数 据 时 ， 并 没 有 对 拷 贝 的 公 式 字 体 名 称 长 度 进 行 校 验 ， 造 成 栈 缓 冲 区 溢 出 。 此 木 马 通 过 修 改 栈 上 函 数 的 返 回 地 址 ， 使 得 代 码 最 后 跳 转 到 栈 上 执 行 攻 击 者 构 造 的 恶 意 S h e l l C o d e 。 接 着 进 行 一 次 异 或 解 密 ， 并 跳 转 执 行 ：
此 S h e l l C o d e 的 主 要 功 能 为 从 C 2 地 址 “ h t t p : / / 5 4 . 1 7 9 . 2 0 9 . 8 2 / w i n d o w s / o r g a . e x e ” 下 载 A g e n t   T e s l a 的 加 壳 版 本 ， 并 将 其 保 存 至 C : U s e r s P u b l i c v b c . e x e ， 以 隐 藏 自 身 ， 最 终 启 动 此 恶 意 程 序 ， 对 用 户 电 脑 开 展 一 系 列 窃 密 活 动 。 深 入 分 析 深 入 分 析 o r g a . e x e
同 之 前 分 析 的 A g e n t   T e s l a 加 壳 程 序 类 似 ， o r g a . e x e 同 样 采 用 了 隐 写 术 ， 通 过 对 资 源 里 的 数 据 不 断 进 行 解 密 、 执 行 ， 从 而 释 放 最 终 的 A g e n t   T e s l a 本 体 。 ( 1 )   o r g a . e x e 两 次 解 密 资 源 ， 并 最 终 释 放 D e b u g g e r H i d d e n A t t r i b u t e . d l l 。 两 次 解 密 资 源 流 程 如 下 图 ： ( 2 )   释 放 的 D e b u g g e r H i d d e n A t t r i b u t e . d l l 为 使 用 R e a c t o r 加 壳 的 . N e t 程 序 。 此 d l l 执 行 之 后 ， 开 始 对 程 序 运 行 的 环 境 进 行 嗅 探 ， 包 括 反 沙 箱 监 测 、 反 虚 拟 机 监 测 、 为 W i n d o w s D e f e n d e r 添 加 排 除 路 径 ， 同 时 在 被 攻 击 主 机 上 创 建 计 划 任 务 ， 并 最 终 加 载 资 源 i x p Z 4 K （ A g e n t   T e s l a 本 体 ） 执 行 。
默 认 配 置 如 下 ， 并 未 开 启 完 全 ： ( 3 )   加 载 资 源 中 的 i x p Z 4 K （ A g e n t   T e s l a 主 体 ） 如 果 A g e n t   T e s l a 运 行 失 败 ， D H A . d l l 会 根 据 参 数 选 择 M S B u i l d . e x e 、 v b c . e x e 、 R e g S v c s . e x e 其 中 一 个 ， 创 建 傀 儡 进 程 ， 将 A g e n t   T e s l a 直 接 注 入 此 傀 儡 进 程 中 ， 并 执 行 。
A g e n t   T e s l a 分 析 分 析 A g e n t   T e s l a 主 要 包 括 以 下 行 为 ： 持 久 化 本 体 、 截 取 屏 幕 快 照 、 窃 取 应 用 用 户 凭 证 、 获 取 键 盘 记 录 ； ( 1 )   通 过 设 置 启 动 项 、 修 改 注 册 表 、 隐 藏 恶 意 程 序 来 进 行 自 身 的 持 久 化 ， 从 而 能 够 对 目 标 用 户 进 行 长 期 并 隐 蔽 的 窃 密 ； ( 2 )   窃 密 涉 及 的 应 用 多 达 7 6 种 ， 其 中 包 含 浏 览 器 4 1 种 、 E m a i l 相 关 1 4 种 、 F T P 相 关 8 种 、 V P N 相 关 3 种 、 即 时 通 讯 软 件 3 种 、 下 载 管 理 工 具 2 种 、 D N S 相 关 2 种 、 数 据 库 1 种 以 及 其 他 3 种 。
( 3 )   A g e n t   T e s l a 支 持 四 种 数 据 传 输 方 式 ， 分 别 为 ： 使 用 代 理 进 行 通 讯 （ 下 载 洋 葱 浏 览 器 匿 名 传 输 ） ； 发 送 e m a i l ； F T P 传 输 ； h t t p 协 议 传 输 。 下 图 为 A g e n t   T e s l a 发 送 屏 幕 快 照 使 用 的 四 种 传 输 方 式 ， 传 输 其 他 内 容 方 法 类 似 。 在 发 送 邮 件 的 过 程 中 ， 发 送 者 与 接 收 者 均 为 同 一 个 人 a r m y s c h e m e 3 @ y a n d e x . c o m 。 此 邮 箱 从 2 0 2 1 年 3 月 1 1 日 至 今 ， 已 经 窃 取 了 大 量 用 户 数 据 。 通 过 对 数 据 分 析 ， 攻 击 者 收 集 的 资 料 较 多 为 r e d i f f m a i l 邮 箱 ， 同 时 受 害 者 访 问 的 U R L 域 名 后 缀 较 多 为 ” . i n ” ， 推 测 此 次 钓 鱼 邮 件 投 放 的 地 区 主 要 为 印 度 。
三 三 .   结 论 结 论 尽 管 此 次 A g e n t   T e s l a 病 毒 攻 击 在 投 递 方 式 仍 旧 采 用 了 钓 鱼 邮 件 附 件 的 攻 击 方 式 ， 整 个 攻 击 的 技 术 手 段 也 并 未 做 过 多 的 变 化 ， 但 是 作 为 一 款 在 地 下 销 售 的 “ 商 业 ” 软 件 ， 不 排 除 在 以 后 的 攻 击 中 不 断 优 化 升 级 ， 从 而 攫 取 更 大 的 利 益 。 而 作 为 普 通 用 户 的 我 们 ， 在 面 对 来 历 不 明 的 邮 件 ， 一 定 不 要 轻 易 运 行 其 中 的 附 件 。 四 四 .   I O C S e c 0 5 0 d 0 7 4 a 4 7 2 0 b c 9 b b 5 f 8 4 9 7 7 6 c f 5 3 4 h t t p : / / 5 4 . 1 7 9 . 2 0 9 . 8 2 / w i n d o w s / o r g a . e x e 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理