Agent Tesla商业木马变种正通过钓鱼邮件传播

腾讯安全资讯 2020-06-19 11:31:41

711306

导语：腾讯安全威胁情报中心检测到有 Agent Tesla商业木马变种正在通过钓鱼邮件传播。

一、背景

腾讯安全威胁情报中心检测到有 Agent Tesla商业木马变种正在通过钓鱼邮件传播。攻击者伪装成某国大型航运公司发送以货运单据为主题的钓鱼邮件，并在附件中加入由木马打包而成的压缩程序。使用C#编译的木马外壳首先从资源文件中读取和加载Load程序PhotoDirector.dll，攻击者采用隐写技术，将木马执行程序隐藏在图片资源中，从图片资源中读取、解密得到Agent Tesla木马的exe可执行程序。

Agent Tesla为一款知名的商业窃密木马，木马执行后，会从资源中解密出现核心窃密程序，窃取中毒电脑的机密信息，包括：键盘记录，截屏，剪贴板记录，以及摄像头图像，还会从电脑上提取还原多种登录信息缓存，包括浏览器中保存的各网站登录帐号和密码，邮件客户端中保存的用户名密码，FTP工具、下载器中保存的密码等等。将窃取的数据通过Web Panel的方式回传至C&C服务器。一切完成之后，木马会删除自身，清理入侵痕迹。

二、样本分析

伪装成某国航运公司发送的以货运单据为主题的钓鱼邮件，附件名为“BL Draft Copy-shipping DocumentsEXCEL.XLS.xlsx.gz.zip”。

图片 25.png

伪造的发件邮箱tassgroup.com属于TRANS ASIA GROUP公司，该公司是南亚某国一家集造船、航运、集装箱、物流等业务为一体的集团公司。

图片 26.png

附件解压得到exe程序“BL Draft Copy-shipping DocumentsEXCEL.XLS.xlsx.gz.exe”，是木马外壳程序，采样C#编写。

图片 27.png

外壳程序被命名为BlackJack。

图片 10.png

Main函数进入Form1，完成初始化后调用BCAS类中BCAS()函数，代码被插入大量无效指令。

图片 11.png

在无效指令之后调用AIJISAJIS()，进行资源文件的解密和加载。

图片 12.png

BlackJack共有两个资源文件，一个是二进制文件资源“PhotoDirector_2”，

另一个是图片文件资源“cxpjNoVVdqvwNYmThlfPxwKQGrxcLPY”。

图片 14.png

首先将二进制文件作为PhotoDirector.dll加载到内存，该dll采样C#编写，主要功能是从母体的中获得图片资源，从图片中解密出数据，利用自定义的异或算法处理数据后得到Agent Tesla家族的exe文件，并在内存中加载执行。

图片 20.png

获取图片中数据的代码为：首先遍历图片中的每个像素点，对每个像素点的RGB数据依次排列。

图片 13.png

图片 17.png

然后对读取到的数据利用自定义异或算法进行解密。

图片 18.png

解密得到Agent Tesla木马ReZer0V2.exe，木马同样采样C#编写，其字符串经过混淆，仍然有两个资源文件，一个二进制文件“qfwH1”，一个XML文件XML。

图片 23.png

拷贝自身到%Romaing%\XLwdDWHDKFdwB.exe目录下，并利用资源中的XML文件安装执行木马的计划任务Updates\XLwdDWHDKFdwB，在系统每次登陆时执行一次：

图片 22.png

从“qfwH1”资源中解密出C++编译的核心窃密exe文件，解密算法和上述异或算法相同，然后加载该exe到内存执行。

图片 24.png

窃密exe枚举注册表SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall获取系统安装的软件信息：

图片 1.png

从注册表中读取FTP服务地址、用户名和密码信息：

Software\Far\Plugins\FTP\Hosts
Software\Far2\Plugins\FTP\Hosts
Software\Far Manager\Plugins\FTP\Hosts
Software\Far\SavedDialogHistory\FTPHost
Software\Far2\SavedDialogHistory\FTPHost
Software\Far Manager\SavedDialogHistory\FTPHost

图片 2.png