专栏首页FreeBuf间谍软件Agent Tesla变种再现:通过特制Word文档诱导安装

间谍软件Agent Tesla变种再现:通过特制Word文档诱导安装

近期 Fortinet 研究专家发现臭名昭著的间谍软件 Agent Tesla 出现了全新的变种,而变种传播是通过特制的 Microsoft Word文件进行的。

Agent Tesla 是一种用来收集系统键击记录、剪贴板内容、屏幕截图、身份凭证的间谍软件,很多用户使用这款软件窥探受害者。为了实现这些功能,这款间谍软件在主函数中创建了不同的线程和定时函数。

专家首先在去年 6 月份就发现了这款恶意软件变种。当时他们观察到威胁样本中,黑客通过 VBA 宏的自动执行进行软件的传播。一旦用户启用了文档中包含的宏,间谍软件就会在受害者机器上成功安装。

但在最新发现的行动中,黑客将附件文档的内容被制作成模糊的样子,这样用户会遵循文档上的说明,双击文档来得到更清晰的视图。

而如果用户照做了,这个文档就会提取可执行文件,在本地系统的临时文件中运行。

这个可执行文件名为“POM.exe”。运行的 POM.exe 即开始了恶意软件的最终安装程序。

使用分析软件查看这个可执行文件,可以看到黑客使用的是 MS Visual basic 进行编写。

根据我的分析,这是一种安装程序。 运行时,它将两个文件“filename.exe”和“filename.vbs”放入“%temp%\子文件夹”中。 然后在执行文件“filename.vbs”后退出进程。下面中,就是“filename.vbs”的内容。

而为了使这个间谍软件在系统启动的时候就开始自动运行,它还会在系统注册表中添加自己(filename.vbs)。

目前看来,新变种的 C&C服务器提交数据的方式已经改变。研究员表示,过去的攻击行动中使用的都是 HTTP POST 来发送收集的数据。但在观测到的最新变体中,它会使用 SMTPS 将收集到的数据发送到攻击者的邮箱。

更详细的 Agent Tesla 变种研究结果请见 Blog 原文。

本文分享自微信公众号 - FreeBuf(freebuf)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2018-04-09

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 维基解密公开CIA机密文档追踪工具Scribbles源码(别名为“Snowden Stopper”)

    既今年三月初开始,维基解密披露了一系列CIA Vault7 文档。4月28日维基解密再度公开了该系列中名为 Scribbles 的相关文件及其源代码。Scrib...

    FB客服
  • CVE 2017-0199漏洞利用的新姿势

    近日从客户处捕获一枚邮件附件中的可疑word样本,以下是扫描结果,检测率貌似不高。 ? ? 手动分析吧。 文件md5:0b16b255918264667a9f0...

    FB客服
  • 一个Hancitor恶意邮件活动Word文档样本的分析

    最近,基于word文档的电子邮件攻击愈发猛烈。邮箱收到一封电子邮件,包含如下的WORD附件。文档打开后,显示如下图。内容就是一幅图片,提示要查看具体的传真内容要...

    FB客服
  • Bayesian Personalized Ranking 算法解析及Python实现

    最早主要是利用词频、逆文档频率和文档长度这几个因子来人工拟合排序公式。因为考虑因素不多,由人工进行公式拟合是完全可行的,此时机器学习并不能派上很大用场,因为机器...

    Bo_hemian
  • 如何写一篇产品文档

    笔者有着多年的toC开发、运维开发和运维工作经验,也曾开发很多内部运营系统,更多是从功能角度出发满足业务运维的需求很少提供完整规范的产品文档,关于开发的运营系统...

    研究僧
  • 认识 MongoDB 一篇文章就够了

    MongoDB是一个基于分布式文件存储的数据库。由C++语言编写。旨在为WEB应用提供可扩展的高性能数据存储解决方案。

    烂猪皮
  • 软件推荐(SpaceSniffer) -- 磁盘空间分析工具

    今天是软件专场的倒数第87场,跟大家分享的是可以查看硬盘中文件和文件夹的分布情况的软件--SpaceSniffer。简单地说就是例如你想知道你的C盘里的东西的分...

    丰臣正一
  • 01-工具 面板 视图

    网页分为两步: 1.从设计稿中切出网页素材 比如说:按钮 logo 图片 背景等 2.编写代码,按效果图实现静态页面

    河湾欢儿
  • PDF有锁,不让复制?不让编辑?甚至不让打印?再见!

    多年以来,PDF凭借着超级级级级级级级级好的兼容性,称霸了电子文档的世界,你不用担心自己辛辛苦苦做的Word、PPT、Excel发给别人看却成了乱七八糟的排版,...

    课代表
  • 技术干货 | 搜索引擎之倒排索引解读

    互联网时代,信息纷繁海量,人们通过搜索引擎直达“心中所想”已是常态。那么搜索引擎到底是如何高效查找目标内容呢?本文主要介绍搜索引擎里一个比较重要的结构——倒排索...

    达观数据

扫码关注云+社区

领取腾讯云代金券