Análisis de Malware Agent Tesla: Dentro de las Capacidades de Robo de Datos del RAT .NET

SOC Prime Team

Seguir

Análisis de Malware Agent Tesla: Dentro de las Capacidades de Robo de Datos del RAT .NET

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

Agent Tesla es un troyano de acceso remoto basado en .NET ofrecido a través de un modelo de malware como servicio y dirigido a sistemas Windows. Está diseñado para robar credenciales, información almacenada en navegadores y comunicaciones de usuario mediante capacidades como la captura de teclas y capturas de pantalla. El malware admite varios canales de exfiltración, incluidos el tráfico SMTP, FTP y HTTP enrutado a través de la red Tor.

Investigación

El artículo explica cómo opera Agent Tesla desde la entrega inicial mediante spear-phishing hasta la persistencia y el eventual robo de datos. Resalta el uso de la API SetWindowsHookEx para la captura de teclas y describe el enfoque del malware en los datos del navegador y las ubicaciones de almacenamiento de clientes de correo electrónico. El análisis también muestra cómo el malware utiliza el navegador Tor para ayudar a ocultar el tráfico de exfiltración.

Mitigación

Las organizaciones deben implementar controles de seguridad de correo electrónico robustos para bloquear archivos adjuntos maliciosos como archivos .chm y documentos con macros habilitadas. También es importante monitorear cambios no autorizados en el registro en claves Run y valores WinlogonShell . Además, bloquear métodos conocidos de exfiltración y observar actividades inusuales relacionadas con Tor en la red puede ayudar a reducir el impacto del compromiso.

Respuesta

Si se detecta Agent Tesla, aísle inmediatamente el host de Windows afectado para detener la exfiltración. Realice un análisis forense para identificar la fuente original de infección, como un correo electrónico de phishing o un archivo adjunto armado. Revise ubicaciones del registro y carpetas de inicio en busca de mecanismos de persistencia, y elimine archivos temporales o artefactos asociados con el malware.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class Definitions Section classDef technique fill:#99ccff %% Blue color for MITRE Techniques classDef malware fill:#ff9999 %% Red color for Malware classDef file fill:#cccccc %% Grey color for Files and Artifacts classDef action fill:#ccffcc %% Green color for Actions/Processes %% Initial Access Phase action_phishing["Technique – T1566.001 Phishing: Spearphishing Attachment Description: Emails containing malicious attachments such as .gz, .chm, or macro-enabled Word docs."] class action_phishing action file_payloads["Malicious Attachments Types: .gz archives, .chm files, or Word documents containing macros."] class file_payloads file action_phishing –>|delivers| file_payloads %% Execution and Loading Phase technique_obfuscation["T1027.009 Obfuscated Files or Information: Embedded Payloads Description: Obfuscated scripts used to download additional payloads."] class technique_obfuscation technique malware_agent_tesla["Malware – Agent Tesla Description: .NET-based information stealer loaded directly into system memory."] class malware_agent_tesla malware technique_reflective["T1620 Reflective Code Loading Description: Loading the final payload directly into system memory to avoid disk detection."] class technique_reflective technique file_payloads –>|triggers| technique_obfuscation technique_obfuscation –>|loads_via| technique_reflective technique_reflective –>|instantiates| malware_agent_tesla %% Reconnaissance Phase technique_sysinfo["T1082 System Information Discovery Description: Collecting username, computer name, and OS version."] class technique_sysinfo technique technique_hostinfo["T1592 Gather Victim Host Information Description: Collecting specific data regarding the victim host."] class technique_hostinfo technique malware_agent_tesla –>|performs| technique_sysinfo malware_agent_tesla –>|performs| technique_hostinfo %% Persistence Phase technique_registry["T1547.001 Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder Description: Modifying Windows Run registry keys, Winlogon Shell, and dropping binaries in Startup folder."] class technique_registry technique file_startup_bin["Persistence Binary Location: Dropped into the Startup folder."] class file_startup_bin file malware_agent_tesla –>|establishes| technique_registry technique_registry –>|drops| file_startup_bin %% Collection and Credential Access Phase technique_keylogging["T1056.001 Input Capture: Keylogging Description: Using SetWindowsHookEx API to log keystrokes."] class technique_keylogging technique file_log["Log File Path: %temp%log.tmp"] class file_log file technique_cookies["T1539 Steal Web Session Cookie Description: Parsing SQLite databases in browsers (Chrome, Firefox, Edge) to extract cookies."] class technique_cookies technique technique_forge["T1606.001 Forge Web Credentials: Web Cookies Description: Extracting passwords and session data."] class technique_forge technique technique_account_disc["T1087 Account Discovery Description: Extracting details from email clients (Outlook, Thunderbird) and FTP tools (FileZilla)."] class technique_account_disc technique malware_agent_tesla –>|executes| technique_keylogging technique_keylogging –>|writes_to| file_log malware_agent_tesla –>|targets| technique_cookies malware_agent_tesla –>|targets| technique_forge malware_agent_tesla –>|performs| technique_account_disc %% Exfiltration Phase technique_exfil_alt["T1048 Exfiltration Over Alternative Protocol Description: Sending stolen data via SMTP, FTP, or HTTP."] class technique_exfil_alt technique technique_auto_exfil["T1020 Automated Exfiltration Description: Using Tor to anonymize network traffic."] class technique_auto_exfil technique file_tor["Tor Browser Location

graph TB %% Class Definitions Section classDef technique fill:#99ccff %% Blue color for MITRE Techniques classDef malware fill:#ff9999 %% Red color for Malware classDef file fill:#cccccc %% Grey color for Files and Artifacts classDef action fill:#ccffcc %% Green color for Actions/Processes %% Initial Access Phase action_phishing[«Técnica – T1566.001 Phishing: Adjuntos de spearphishing Descripción: Correos electrónicos que contienen adjuntos maliciosos como .gz, .chm, o documentos de Word con macros. »] class action_phishing action file_payloads[«Adjuntos Maliciosos Tipos: Archivos .gz, .chm, o documentos de Word que contienen macros.»] class file_payloads file action_phishing –>|entrega| file_payloads %% Execution and Loading Phase technique_obfuscation[«T1027.009 Archivos o Información Ofuscada: Cargas Útiles Embebidas Descripción: Scripts ofuscados usados para descargar cargas útiles adicionales.»] class technique_obfuscation technique malware_agent_tesla[«Malware – Agent Tesla Descripción: Ladrón de información basado en .NET cargado directamente en la memoria del sistema.»] class malware_agent_tesla malware technique_reflective[«T1620 Carga de Código Reflectante Descripción: Carga la carga útil final directamente en la memoria del sistema para evitar la detección en disco.»] class technique_reflective technique file_payloads –>|desencadena| technique_obfuscation technique_obfuscation –>|carga_via| technique_reflective technique_reflective –>|instancia| malware_agent_tesla %% Reconnaissance Phase technique_sysinfo[«T1082 Descubrimiento de Información del Sistema Descripción: Recolecta nombre de usuario, nombre de computadora, y versión del sistema operativo.»] class technique_sysinfo technique technique_hostinfo[«T1592 Recolectar Información del Host de la Víctima Descripción: Recolecta datos específicos sobre el host de la víctima.»] class technique_hostinfo technique malware_agent_tesla –>|realiza| technique_sysinfo malware_agent_tesla –>|realiza| technique_hostinfo %% Persistence Phase technique_registry[«T1547.001 Ejecución de Autostart en Arranque o Inicio de Sesión: Claves de Registro Run / Carpeta de Inicio Descripción: Modificación de claves de registro de Ejecución en Windows,
Winlogon Shell, y lanzado de binarios en la carpeta de inicio.»] class technique_registry technique file_startup_bin[«Binario de Persistencia Ubicación: Dejados en la carpeta de inicio.»] class file_startup_bin file malware_agent_tesla –>|establece| technique_registry technique_registry –>|deja| file_startup_bin %% Collection and Credential Access Phase technique_keylogging[«T1056.001 Captura de Entrada: Keylogging Descripción: Uso de la API SetWindowsHookEx para registrar pulsaciones de teclas.»] class technique_keylogging technique file_log[«Archivo de Registro Ruta: %temp%log.tmp»] class file_log file technique_cookies[«T1539 Robo de Cookies de Sesión Web Descripción: Analiza bases de datos SQLite en navegadores (Chrome, Firefox, Edge) para extraer cookies.»] class technique_cookies technique technique_forge[«T1606.001 Falsificación de Credenciales Web: Cookies Web Descripción: Extracción de contraseñas y datos de sesión.»] class technique_forge technique technique_account_disc[«T1087 Descubrimiento de Cuentas Descripción: Extracción de detalles de clientes de correo electrónico (Outlook, Thunderbird) y herramientas FTP (FileZilla).»] class technique_account_disc technique malware_agent_tesla –>|ejecuta| technique_keylogging technique_keylogging –>|escribe_a| file_log malware_agent_tesla –>|apunta_a| technique_cookies malware_agent_tesla –>|apunta_a| technique_forge malware_agent_tesla –>|realiza| technique_account_disc %% Exfiltration Phase technique_exfil_alt[«T1048 Exfiltración a través de Protocolo Alternativo Descripción: Envío de datos robados a través de SMTP, FTP, o HTTP.»] class technique_exfil_alt technique technique_auto_exfil[«T1020 Exfiltración Automatizada Descripción: Uso de Tor para anonimizar el tráfico de red.»] class technique_auto_exfil technique file_tor[«Navegador Tor Ubicación: %appdata%tor.zip»] class file_tor file malware_agent_tesla –>|exfiltra_vía| technique_exfil_alt malware_agent_tesla –>|utiliza| technique_auto_exfil technique_auto_exfil –>|descarga| file_tor

Flujo de Ataque

Detecciones

Binarios/Scripts sospechosos en ubicación de autoarranque (vía evento de archivo)

Equipo de SOC Prime

25 de junio de 2026

Ver

Puntos de Persistencia Posibles [ASEPs – Hive de Software/NTUSER] (vía evento de registro)

Equipo de SOC Prime

25 de junio de 2026

Ver

Detección de Keylogging y Persistencia de Agent Tesla [Creación de Procesos de Windows]

Reglas AI de SOC Prime

25 de junio de 2026

Ver

Persistencia de Agent Tesla vía Modificación de Run Key y Winlogon Shell [Evento de Registro de Windows]

Reglas AI de SOC Prime

25 de junio de 2026

Ver

Ejecución de Simulación

Requisito previo: El Chequeo Preliminar de Línea de Base y Telemetría debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica de adversarios (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente las TTPs identificadas y deben generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un diagnóstico erróneo.

Narrativa del Ataque y Comandos: El adversario ha ganado acceso inicial y busca establecer persistencia para mantener el acceso a la máquina de la víctima. Para simular Agent Tesla, el atacante realiza dos acciones distintas:
1. Modifican la clave HKCUSoftwareMicrosoftWindowsCurrentVersionRun para ejecutar una carga útil maliciosa cada vez que el usuario inicie sesión.
2. Intentan una técnica más agresiva al modificar el valor de registro WinlogonShell , reemplazando el explorer.exe estándar con un ejecutable malicioso para secuestrar todo el entorno de shell del usuario. Estas acciones se eligen para probar la capacidad de detección de capturar tanto la persistencia estándar como la de alto impacto del registro.

Script de Prueba de Regresión:

# Script de simulación para TTPs de Persistencia de Agent Tesla

$maliciousPath = "C:WindowsTempagent_tesla_sim.exe"
Write-Host "[*] Creando carga útil de prueba en $maliciousPath"
New-Item -Path $maliciousPath -ItemType File -Force

Write-Host "[*] Simulando T1547.001: Modificación de clave de ejecución"
$runKey = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
New-ItemProperty -Path $runKey -Name "AgentTeslaPersistence" -Value $maliciousPath -PropertyType String -Force

Write-Host "[*] Simulando T1547.014: Modificación del Shell de Winlogon"
$winlogonKey = "HKCU:SoftwareMicrosoftWindows NTCurrentVersionWinlogon"
New-ItemProperty -Path $winlogonKey -Name "Shell" -Value "explorer.exe, $maliciousPath" -PropertyType String -Force

Write-Host "[+] Simulación completa. Revise SIEM para alertas."

Comandos de Limpieza:

# Script de limpieza para eliminar persistencia y archivos de prueba
Write-Host "[*] Limpieza de claves de registro..."
Remove-ItemProperty -Path "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun" -Name "AgentTeslaPersistence" -ErrorAction SilentlyContinue
Remove-ItemProperty -Path "HKCU:SoftwareMicrosoftWindows NTCurrentVersionWinlogon" -Name "Shell" -ErrorAction SilentlyContinue

Write-Host "[*] Eliminando carga útil de prueba..."
Remove-Item -Path "C:WindowsTempagent_tesla_sim.exe" -Force -ErrorAction SilentlyContinue

Write-Host "[+] Limpieza completa."

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis