フォローする 
Detection stack
- AIDR
- Alert
- ETL
- Query
概要
Agent Teslaは、.NETベースのリモートアクセス型トロイの木馬で、マルウェア・アズ・ア・サービスモデルを通じて提供され、Windowsシステムを対象としています。これは、キーロギングやスクリーンショット撮影などの機能を通じて、認証情報、ブラウザに保存された情報、およびユーザーの通信を盗むように設計されています。このマルウェアは、SMTP、FTP、およびTorネットワークを通じてルーティングされるHTTPトラフィックを含む、いくつかの情報流出チャネルをサポートしています。
調査
この記事は、Agent Teslaが最初のスピアフィッシング配信から持続性の確立、最終的なデータ窃盗にいたるまでどのように動作するかを説明します。 SetWindowsHookEx APIをキーログに使用し、マルウェアがブラウザデータやメールクライアントの保存場所に焦点を当てていることも述べています。この分析では、マルウェアがTorブラウザを利用して情報流出トラフィックを隠す方法も示しています。
緩和策
組織は、.chmファイルやマクロが有効なドキュメントといった悪意のある添付ファイルをブロックするための強力なメールセキュリティ対策を展開するべきです。 .chm ファイルやマクロが有効なドキュメントなどの悪意のある添付ファイルをブロックし、Runキーおよび WinlogonShell 値における無許可のレジストリ変更を監視することも重要です。さらに、既知の情報流出方法をブロックし、異常なTor関連ネットワーク活動を監視することで、侵害の影響を減らすことができます。
対応策
Agent Teslaが検出された場合、さらなる情報流出を防ぐために、影響を受けたWindowsホストを直ちに隔離します。フィッシングメールや武器化された添付ファイルなどの感染源を特定するためにフォレンジック分析を実行してください。持続性メカニズムのためにレジストリの場所とスタートアップフォルダーをレビューし、マルウェアに関連する一時ファイルやアーティファクトを削除します。
攻撃フロー
シミュレーション実行
前提条件: テレメトリとベースラインの事前確認が通過していること。
理由: このセクションは、検出ルールをトリガーするよう設計された敵対者のテクニック (TTP)の正確な実行を詳細に示しています。コマンドとナラティブはTTPに直接関連し、検出ロジックが期待する正確なテレメトリを生成することを目的としています。抽象的または無関係な例は誤診を招く可能性があります。
-
攻撃の説明とコマンド: 敵対者は初期アクセスを獲得し、被害者のマシンへのアクセスを維持するための持続性を確立しようとしています。Agent Teslaをシミュレートするために、攻撃者は2つの異なるアクションを行います。
- 彼らは、以下を変更します
HKCUSoftwareMicrosoftWindowsCurrentVersionRunキーを変更し、ユーザーがログインするたびに悪意のあるペイロードを実行するようにします。 - 彼らは、標準の
WinlogonShellレジストリ値を変更し、標準のexplorer.exeを悪意のある実行可能ファイルに置き換えることで、ユーザーシェル環境全体をハイジャックします。これらのアクションは、標準と高影響の両方のレジストリ持続性を検出する能力をテストするために選ばれています。
- 彼らは、以下を変更します
-
リグレッションテストスクリプト:
# Agent Tesla持続性TTPsのシミュレーションスクリプト $maliciousPath = "C:WindowsTempagent_tesla_sim.exe" Write-Host "[*] ダミーペイロードを作成しています $maliciousPath" New-Item -Path $maliciousPath -ItemType File -Force Write-Host "[*] T1547.001をシミュレート: Runキーの変更" $runKey = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun" New-ItemProperty -Path $runKey -Name "AgentTeslaPersistence" -Value $maliciousPath -PropertyType String -Force Write-Host "[*] T1547.014をシミュレート: Winlogon Shellの変更" $winlogonKey = "HKCU:SoftwareMicrosoftWindows NTCurrentVersionWinlogon" New-ItemProperty -Path $winlogonKey -Name "Shell" -Value "explorer.exe, $maliciousPath" -PropertyType String -Force Write-Host "[+] シミュレーション完了. SIEMのアラートをチェックしてください。" -
クリーンアップコマンド:
# 持続性とダミーファイルを削除するためのクリーンアップスクリプト Write-Host "[*] レジストリキーをクリーンアップしています..." Remove-ItemProperty -Path "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun" -Name "AgentTeslaPersistence" -ErrorAction SilentlyContinue Remove-ItemProperty -Path "HKCU:SoftwareMicrosoftWindows NTCurrentVersionWinlogon" -Name "Shell" -ErrorAction SilentlyContinue Write-Host "[*] ダミーペイロードを削除しています..." Remove-Item -Path "C:WindowsTempagent_tesla_sim.exe" -Force -ErrorAction SilentlyContinue Write-Host "[+] クリーンアップ完了."