【安全资讯】针对韩国用户的网络钓鱼活动

猎影实验室 2021-12-13 07:11:21 1757人浏览

引言

Agent Tesla 是一种基于 .Net 的恶意软件,其核心功能是从受害者机器上收集敏感信息。近日,研究人员发现了传播Agent Tesla新变种的钓鱼活动,邮件正文的内容用韩文编写,要求受害者查看附件中的ppt文件以确认采购订单。

 

 

简况

钓鱼邮件中包含伪装成PPT的附件,一旦受害者打开附件,就会运行恶意宏。开发人员在交付 Agent Tesla 的过程中使用了多种脚本,包括 VBScript-embedded-in-HTML、独立的 VBScript 和 PowerShell。钓鱼邮件如下图:

 

 

Agent Tesla提供了许多功能,如键盘记录器、获取剪贴板数据、窃取浏览器 cookie 和保存的软件凭据,以及捕获受害者设备的屏幕截图。 攻击者可以通过Agent Tesla安装程序选择要启用的功能,安装程序根据选择编译 Agent Tesla 有效载荷文件。Agent Tesla 在其 Main()(窃取凭据)、Timer(键盘记录器、窃取剪贴板数据、截取屏幕截图)和 Thread(从浏览器窃取 cookie)函数中启动这些任务。

 

 

在 Agent Tesla 的这个变体中,攻击者只允许窃取凭据和 cookie。目标软件客户端数量超过70个,包括Web浏览器、电子邮件客户端、IM客户端、VPN/FTP/下载器/数据库客户端和Windows凭据。被盗凭据被保存在全局列表变量中,然后被格式化并发送给攻击者。受影响的客户端如下图:

将窃取的数据传输给攻击者的方法包括:

  • FTP 数据(将文件中的窃取数据上传到攻击者提供的 FTP 服务器);
  • HTTP Post(将数据作为帖子正文发送到攻击者提供的 URL);
  • SMTP(将窃取的数据发送到攻击者的电子邮件);
  • Telegram(使用 Telegram bot API“sendDocument()”将文件发送到指定的聊天或频道)。

 

 

在此次活动中,攻击者选择了 HTTP Post方法。一旦 Agent Tesla 需要向攻击者发送数据,就会使用 DES 算法对窃取的数据进行加密,并使用 base64 算法对结果进行编码,作为 HTTP Post 请求中的正文发送的数据。

 

总结

此次钓鱼活动针对韩国用户传播Agent Tesla新变种,影响的客户端高达70多种,可以窃取用户的凭据和cookie,并通过 HTTP Post 方法将窃取的数据发送给攻击者。

失陷指标(IOC)4
钓鱼攻击 Agent Tesla 韩国 其他
    0条评论
    0
    0
    分享
    安全星图平台专注于威胁情报的收集、处理、分析、应用,定期提供高质量的威胁情报。