Análise do Malware Agent Tesla: Dentro das Capacidades de Roubo de Dados do RAT .NET

SOC Prime Team

Seguir

Análise do Malware Agent Tesla: Dentro das Capacidades de Roubo de Dados do RAT .NET

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Agent Tesla é um trojan de acesso remoto baseado em .NET oferecido através de um modelo de malware-como-serviço e destinado a sistemas Windows. Ele é projetado para roubar credenciais, informações armazenadas no navegador e comunicações do usuário por meio de capacidades como keylogging e captura de tela. O malware suporta vários canais de exfiltração, incluindo tráfego SMTP, FTP e HTTP roteados através da rede Tor.

Investigação

O artigo explica como o Agent Tesla opera desde a entrega inicial através de spear-phishing até a persistência e eventual roubo de dados. Destaca o uso da SetWindowsHookEx API para keylogging e descreve o foco do malware em dados de navegadores e locais de armazenamento de clientes de email. A análise também mostra como o malware usa o navegador Tor para ajudar a ocultar o tráfego de exfiltração.

Mitigação

As organizações devem implementar controles de segurança de email fortes para bloquear anexos maliciosos, como arquivos .chm e documentos habilitados para macro. Monitorar alterações não autorizadas no registro nas chaves Run e valores WinlogonShell também é importante. Além disso, bloquear métodos conhecidos de exfiltração e observar atividades de rede incomuns relacionadas ao Tor pode ajudar a reduzir o impacto do comprometimento.

Resposta

Se o Agent Tesla for detectado, isole imediatamente o host Windows afetado para interromper mais exfiltrações. Realize uma análise forense para identificar a fonte original da infecção, como um e-mail de phishing ou anexo armadilhado. Revise locais do registro e pastas de inicialização em busca de mecanismos de persistência, e remova arquivos temporários ou artefatos associados ao malware.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class Definitions Section classDef technique fill:#99ccff %% Blue color for MITRE Techniques classDef malware fill:#ff9999 %% Red color for Malware classDef file fill:#cccccc %% Grey color for Files and Artifacts classDef action fill:#ccffcc %% Green color for Actions/Processes %% Initial Access Phase action_phishing["Technique – T1566.001 Phishing: Spearphishing Attachment Description: Emails containing malicious attachments such as .gz, .chm, or macro-enabled Word docs."] class action_phishing action file_payloads["Malicious Attachments Types: .gz archives, .chm files, or Word documents containing macros."] class file_payloads file action_phishing –>|delivers| file_payloads %% Execution and Loading Phase technique_obfuscation["T1027.009 Obfuscated Files or Information: Embedded Payloads Description: Obfuscated scripts used to download additional payloads."] class technique_obfuscation technique malware_agent_tesla["Malware – Agent Tesla Description: .NET-based information stealer loaded directly into system memory."] class malware_agent_tesla malware technique_reflective["T1620 Reflective Code Loading Description: Loading the final payload directly into system memory to avoid disk detection."] class technique_reflective technique file_payloads –>|triggers| technique_obfuscation technique_obfuscation –>|loads_via| technique_reflective technique_reflective –>|instantiates| malware_agent_tesla %% Reconnaissance Phase technique_sysinfo["T1082 System Information Discovery Description: Collecting username, computer name, and OS version."] class technique_sysinfo technique technique_hostinfo["T1592 Gather Victim Host Information Description: Collecting specific data regarding the victim host."] class technique_hostinfo technique malware_agent_tesla –>|performs| technique_sysinfo malware_agent_tesla –>|performs| technique_hostinfo %% Persistence Phase technique_registry["T1547.001 Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder Description: Modifying Windows Run registry keys, Winlogon Shell, and dropping binaries in Startup folder."] class technique_registry technique file_startup_bin["Persistence Binary Location: Dropped into the Startup folder."] class file_startup_bin file malware_agent_tesla –>|establishes| technique_registry technique_registry –>|drops| file_startup_bin %% Collection and Credential Access Phase technique_keylogging["T1056.001 Input Capture: Keylogging Description: Using SetWindowsHookEx API to log keystrokes."] class technique_keylogging technique file_log["Log File Path: %temp%log.tmp"] class file_log file technique_cookies["T1539 Steal Web Session Cookie Description: Parsing SQLite databases in browsers (Chrome, Firefox, Edge) to extract cookies."] class technique_cookies technique technique_forge["T1606.001 Forge Web Credentials: Web Cookies Description: Extracting passwords and session data."] class technique_forge technique technique_account_disc["T1087 Account Discovery Description: Extracting details from email clients (Outlook, Thunderbird) and FTP tools (FileZilla)."] class technique_account_disc technique malware_agent_tesla –>|executes| technique_keylogging technique_keylogging –>|writes_to| file_log malware_agent_tesla –>|targets| technique_cookies malware_agent_tesla –>|targets| technique_forge malware_agent_tesla –>|performs| technique_account_disc %% Exfiltration Phase technique_exfil_alt["T1048 Exfiltration Over Alternative Protocol Description: Sending stolen data via SMTP, FTP, or HTTP."] class technique_exfil_alt technique technique_auto_exfil["T1020 Automated Exfiltration Description: Using Tor to anonymize network traffic."] class technique_auto_exfil technique file_tor["Tor Browser Location

graph TB %% Class Definitions Section classDef technique fill:#99ccff %% Blue color for MITRE Techniques classDef malware fill:#ff9999 %% Red color for Malware classDef file fill:#cccccc %% Grey color for Files and Artifacts classDef action fill:#ccffcc %% Green color for Actions/Processes %% Initial Access Phase action_phishing[“Técnica – T1566.001 Phishing: Anexo de Spearphishing Descrição: Emails contendo anexos maliciosos como .gz, .chm, ou documentos do Word habilitados para macro.”] class action_phishing action file_payloads[“Anexos Maliciosos Tipos: Arquivos .gz, .chm ou documentos do Word contendo macros.”] class file_payloads file action_phishing –>|entrega| file_payloads %% Execution and Loading Phase technique_obfuscation[“T1027.009 Arquivos ou Informações Ofuscadas: Cargas Embutidas Descrição: Scripts ofuscados usados para baixar cargas adicionais.”] class technique_obfuscation technique malware_agent_tesla[“Malware – Agent Tesla Descrição: Ladrão de informações baseado em .NET carregado diretamente na memória do sistema.”] class malware_agent_tesla malware technique_reflective[“T1620 Carregamento de Código Reflexivo Descrição: Carregamento da carga final diretamente na memória do sistema para evitar detecção no disco.”] class technique_reflective technique file_payloads –>|aciona| technique_obfuscation technique_obfuscation –>|carrega_por| technique_reflective technique_reflective –>|instancia| malware_agent_tesla %% Reconnaissance Phase technique_sysinfo[“T1082 Descoberta de Informações do Sistema Descrição: Coletando nome de usuário, nome do computador, e versão do sistema operacional.”] class technique_sysinfo technique technique_hostinfo[“T1592 Coleta de Informações do Host da Vítima Descrição: Coletando dados específicos sobre o host da vítima.”] class technique_hostinfo technique malware_agent_tesla –>|executa| technique_sysinfo malware_agent_tesla –>|executa| technique_hostinfo %% Persistence Phase technique_registry[“T1547.001 Execução de Boot ou Logon Autostart: Chaves de Execução do Registro / Pasta de Inicialização Descrição: Modificação de chaves de execução do registro Windows, Winlogon Shell e drop de binários na pasta de Inicialização.”] class technique_registry technique file_startup_bin[“Binário de Persistência Localização: Inserido na pasta de Inicialização.”] class file_startup_bin file malware_agent_tesla –>|estabelece| technique_registry technique_registry –>|insere| file_startup_bin %% Collection and Credential Access Phase technique_keylogging[“T1056.001 Captura de Entrada: Keylogging Descrição: Usando a API SetWindowsHookEx para registrar as teclas digitadas.”] class technique_keylogging technique file_log[“Arquivo de Log Caminho: %temp%log.tmp”] class file_log file technique_cookies[“T1539 Roubo de Cookie de Sessão Web Descrição: Parsing de bancos de dados SQLite em navegadores (Chrome, Firefox, Edge) para extrair cookies.”] class technique_cookies technique technique_forge[“T1606.001 Forjar Credenciais Web: Cookies Web Descrição: Extraindo senhas e dados de sessão.”] class technique_forge technique technique_account_disc[“T1087 Descoberta de Conta Descrição: Extraindo detalhes de clientes de email (Outlook, Thunderbird) e ferramentas FTP (FileZilla).”] class technique_account_disc technique malware_agent_tesla –>|executa| technique_keylogging technique_keylogging –>|escreve_em| file_log malware_agent_tesla –>|alvo| technique_cookies malware_agent_tesla –>|alvo| technique_forge malware_agent_tesla –>|executa| technique_account_disc %% Exfiltration Phase technique_exfil_alt[“T1048 Exfiltração via Protocolo Alternativo Descrição: Envio de dados roubados via SMTP, FTP, ou HTTP.”] class technique_exfil_alt technique technique_auto_exfil[“T1020 Exfiltração Automatizada Descrição: Usando Tor para anonimizar o tráfego de rede.”] class technique_auto_exfil technique file_tor[“Navegador Tor Localização: %appdata%tor.zip”] class file_tor file malware_agent_tesla –>|exfiltra_por| technique_exfil_alt malware_agent_tesla –>|utiliza| technique_auto_exfil technique_auto_exfil –>|baixar| file_tor

Fluxo de Ataque

Detecções

Binário / Scripts Suspeitos na Localização de Autostart (via file_event)

Equipe da SOC Prime

25 Jun 2026

Ver

Possíveis Pontos de Persistência [ASEPs – Software/NTUSER Hive] (via registry_event)

Equipe da SOC Prime

25 Jun 2026

Ver

Detecção de Keylogging e Persistência do Agent Tesla [Criação de Processo no Windows]

Regras de IA da SOC Prime

25 Jun 2026

Ver

Persistência do Agent Tesla via Modificação de Chave de Execução e Winlogon Shell [Evento de Registro do Windows]

Regras de IA da SOC Prime

25 Jun 2026

Ver

Execução de Simulação

Pré-requisito: A Verificação de Pré-voo de Telemetria & Baseline deve ter sido aprovada.

Justificativa: Esta seção detalha a execução precisa da técnica adversária (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVE refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

Narrativa do Ataque & Comandos: O adversário ganhou acesso inicial e busca estabelecer a persistência para manter o acesso à máquina da vítima. Para simular o Agent Tesla, o atacante executa duas ações distintas:
1. Eles modificam a chave HKCUSoftwareMicrosoftWindowsCurrentVersionRun para executar uma carga maliciosa toda vez que o usuário faz login.
2. Eles tentam uma técnica mais agressiva ao modificar o valor do registro WinlogonShell , substituindo o explorer.exe padrão por um executável malicioso para sequestrar todo o ambiente de shell do usuário. Essas ações são escolhidas para testar a capacidade de detecção de capturar tanto a persistência no registro padrão quanto a de alto impacto.

Script de Teste de Regressão:

# Script de simulação para TTPs de Persistência do Agent Tesla

$maliciousPath = "C:WindowsTempagent_tesla_sim.exe"
Write-Host "[*] Criando carga falsa em $maliciousPath"
New-Item -Path $maliciousPath -ItemType File -Force

Write-Host "[*] Simulando T1547.001: Modificação de Chave de Execução"
$runKey = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
New-ItemProperty -Path $runKey -Name "AgentTeslaPersistence" -Value $maliciousPath -PropertyType String -Force

Write-Host "[*] Simulando T1547.014: Modificação do Winlogon Shell"
$winlogonKey = "HKCU:SoftwareMicrosoftWindows NTCurrentVersionWinlogon"
New-ItemProperty -Path $winlogonKey -Name "Shell" -Value "explorer.exe, $maliciousPath" -PropertyType String -Force

Write-Host "[+] Simulação completa. Verifique SIEM para alertas."

Comandos de Limpeza:

# Script de limpeza para remover persistência e arquivos falsos
Write-Host "[*] Limpando chaves de registro..."
Remove-ItemProperty -Path "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun" -Name "AgentTeslaPersistence" -ErrorAction SilentlyContinue
Remove-ItemProperty -Path "HKCU:SoftwareMicrosoftWindows NTCurrentVersionWinlogon" -Name "Shell" -ErrorAction SilentlyContinue

Write-Host "[*] Excluindo carga falsa..."
Remove-Item -Path "C:WindowsTempagent_tesla_sim.exe" -Force -ErrorAction SilentlyContinue

Write-Host "[+] Limpeza completa."

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente