Agent Tesla je malware ze skupiny trojských koní, zaměřený na krádež citlivých informací (tzv. infostealer). Byl poprvé detekován v roce 2014 a od té doby patří mezi nejrozšířenější nástroje používané při kybernetických útocích proti uživatelům operačního systému Windows. Malware je napsán v jazyce .NET, což mu umožňuje snadný běh v prostředí Windows a zároveň ztěžuje jeho analýzu.
Charakteristika Agent Tesla je komerčně dostupný nástroj (tzv. Malware-as-a-Service), který bývá prodáván na podzemních fórech a darknetu. Jeho obliba mezi útočníky spočívá v jednoduchém použití, širokých možnostech konfigurace a silné schopnosti exfiltrace dat.
Funkce a schopnosti Mezi hlavní schopnosti Agenta Tesly patří:
Krádež přihlašovacích údajů: Extrahuje uložené údaje z webových prohlížečů (Chrome, Firefox), e-mailových klientů (Outlook, Thunderbird), FTP klientů (FileZilla) a dalších aplikací. Keylogging a clipboard monitoring: Sleduje stisky kláves (keylogger) a kopírovaný text ve schránce (clipboard stealer). Snímání obrazovky: Pořizuje pravidelné screenshoty aktivní plochy nebo konkrétních oken a odesílá je útočníkovi. Čtení e-mailů a chatovacích zpráv: Některé verze umožňují získat obsah e-mailové a chatové komunikace. Stahování a odesílání souborů: Podporuje vzdálené nahrávání a stahování souborů, čímž útočník získává přímý přístup k systému oběti. Síťové šíření: V pokročilých verzích je schopen laterálního pohybu v síti, například pomocí protokolu SMB nebo zneužitím přístupových údajů. Antianalytické techniky: Používá techniky detekce virtualizace, sandboxingu a debuggování pro ztížení analýzy.
Komunikační protokoly Agent Tesla používá různé komunikační kanály k odesílání dat na server C2 (Command and Control):
SMTP – zasílání dat e-mailem, často na kompromitované nebo veřejné schránky (např. seznam.cz, mail.ru), HTTP/HTTPS – POST požadavky obsahující exfiltrovaná data, často v Base64 nebo jinak zakódované podobě, FTP – upload dat na vzdálené servery.
Distribuce Agent Tesla je nejčastěji šířen prostřednictvím:
Phishingových e-mailů – s přílohami ve formátu .doc, .xls, .pdf, .zip, .rar nebo přímo spustitelnými soubory (.exe), Makro skriptů – v souborech Microsoft Office s povolenými makry (VBA), PowerShellových skriptů – spuštěných přes inicializační skripty nebo shellcode, Exploit kitů a kompromitovaných webových stránek.
IOC (Indicators of Compromise)
Podezřelé připojení na neznámé SMTP, FTP nebo HTTP servery Výskyt .NET binárních souborů ve složkách s dočasnými soubory Záznamy o přístupu ke schránce, klávesnici a prohlížeči Hash vzorků (SHA-256), např.: 7d2df14c0226085989605548632bd52166fdce3984b7b73a38cadd140c36fe37
Ochrana a detekce Detekce Agent Tesly je možná pomocí:
Antivirových a antimalwarových programů s heuristickou analýzou Síťového monitoringu (IDS/IPS), který sleduje podezřelé odchozí spojení Behaviorální analýzy na úrovni endpointu (EDR)
Reference
Kategorie:Malware