Аналіз шкідливого ПЗ Agent Tesla: дослідження можливостей крадіжки даних .NET RAT

SOC Prime Team

Стежити

Аналіз шкідливого ПЗ Agent Tesla: дослідження можливостей крадіжки даних .NET RAT

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Agent Tesla — це троян для віддаленого управління, заснований на .NET, який пропонується через модель шкідливого ПЗ як послуга і націлений на системи Windows. Він призначений для викрадення облікових даних, інформації, збереженої в браузерах, і користувацьких комунікацій через можливості, такі як кейлогінг і зняття знімків екрана. Шкідливе ПЗ підтримує кілька каналів ексфільтрації, включаючи SMTP, FTP і HTTP трафік, направлений через мережу Tor.

Дослідження

Стаття пояснює, як працює Agent Tesla від початкової доставки фішинговими атаками до стійкості та кінцевого викрадення даних. Вона підкреслює використання SetWindowsHookEx API для кейлогінгу та описує зосередженість шкідливого ПЗ на даних браузерів і зонах зберігання поштових клієнтів. Аналіз також показує, як шкідливе ПЗ використовує браузер Tor для маскування трафіку ексфільтрації.

Захист

Організації повинні розгорнути потужний контроль безпеки електронної пошти для блокування шкідливих вкладень, таких як .chm файли та документи з макросами. Важливо також здійснювати моніторинг несанкціонованих змін у реєстрі в ключах Run і WinlogonShell значеннях. Крім того, блокування відомих методів ексфільтрації та спостереження за нетиповою активністю в мережі Tor може зменшити значення компрометації.

Відповідь

Якщо Agent Tesla буде виявлено, негайно ізолюйте постраждалий хост Windows, щоб припинити подальшу ексфільтрацію. Проведіть судово-медичний аналіз для виявлення виходу початкової інфекції, наприклад, фішингового листа або атакованого вкладення. Перевірте розташування реєстру і папки автозавантаження на наявність механізмів стійкості і видаліть тимчасові файли або артефакти, пов’язані з шкідливим ПЗ.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class Definitions Section classDef technique fill:#99ccff %% Blue color for MITRE Techniques classDef malware fill:#ff9999 %% Red color for Malware classDef file fill:#cccccc %% Grey color for Files and Artifacts classDef action fill:#ccffcc %% Green color for Actions/Processes %% Initial Access Phase action_phishing["Technique – T1566.001 Phishing: Spearphishing Attachment Description: Emails containing malicious attachments such as .gz, .chm, or macro-enabled Word docs."] class action_phishing action file_payloads["Malicious Attachments Types: .gz archives, .chm files, or Word documents containing macros."] class file_payloads file action_phishing –>|delivers| file_payloads %% Execution and Loading Phase technique_obfuscation["T1027.009 Obfuscated Files or Information: Embedded Payloads Description: Obfuscated scripts used to download additional payloads."] class technique_obfuscation technique malware_agent_tesla["Malware – Agent Tesla Description: .NET-based information stealer loaded directly into system memory."] class malware_agent_tesla malware technique_reflective["T1620 Reflective Code Loading Description: Loading the final payload directly into system memory to avoid disk detection."] class technique_reflective technique file_payloads –>|triggers| technique_obfuscation technique_obfuscation –>|loads_via| technique_reflective technique_reflective –>|instantiates| malware_agent_tesla %% Reconnaissance Phase technique_sysinfo["T1082 System Information Discovery Description: Collecting username, computer name, and OS version."] class technique_sysinfo technique technique_hostinfo["T1592 Gather Victim Host Information Description: Collecting specific data regarding the victim host."] class technique_hostinfo technique malware_agent_tesla –>|performs| technique_sysinfo malware_agent_tesla –>|performs| technique_hostinfo %% Persistence Phase technique_registry["T1547.001 Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder Description: Modifying Windows Run registry keys, Winlogon Shell, and dropping binaries in Startup folder."] class technique_registry technique file_startup_bin["Persistence Binary Location: Dropped into the Startup folder."] class file_startup_bin file malware_agent_tesla –>|establishes| technique_registry technique_registry –>|drops| file_startup_bin %% Collection and Credential Access Phase technique_keylogging["T1056.001 Input Capture: Keylogging Description: Using SetWindowsHookEx API to log keystrokes."] class technique_keylogging technique file_log["Log File Path: %temp%log.tmp"] class file_log file technique_cookies["T1539 Steal Web Session Cookie Description: Parsing SQLite databases in browsers (Chrome, Firefox, Edge) to extract cookies."] class technique_cookies technique technique_forge["T1606.001 Forge Web Credentials: Web Cookies Description: Extracting passwords and session data."] class technique_forge technique technique_account_disc["T1087 Account Discovery Description: Extracting details from email clients (Outlook, Thunderbird) and FTP tools (FileZilla)."] class technique_account_disc technique malware_agent_tesla –>|executes| technique_keylogging technique_keylogging –>|writes_to| file_log malware_agent_tesla –>|targets| technique_cookies malware_agent_tesla –>|targets| technique_forge malware_agent_tesla –>|performs| technique_account_disc %% Exfiltration Phase technique_exfil_alt["T1048 Exfiltration Over Alternative Protocol Description: Sending stolen data via SMTP, FTP, or HTTP."] class technique_exfil_alt technique technique_auto_exfil["T1020 Automated Exfiltration Description: Using Tor to anonymize network traffic."] class technique_auto_exfil technique file_tor["Tor Browser Location

графік TB %% Розділ визначення класів classDef technique fill:#99ccff %% Синій колір для MITRE Технік classDef malware fill:#ff9999 %% Червоний колір для Шкідливого ПЗ classDef file fill:#cccccc %% Сірий колір для Файлів та Артефактів classDef action fill:#ccffcc %% Зелений колір для Дій/Процесів %% Фаза початкового доступу action_phishing[“Техніка – T1566.001 Фішинг: Фішинг з вкладенням Опис: Листи, що містять шкідливі вкладення такі як .gz, .chm або документи Word з макросами.”] class action_phishing action file_payloads[“Шкідливі Вкладення Типи: .gz архіви, .chm файли, або документи Word що містять макроси.”] class file_payloads file action_phishing –>|доставляє| file_payloads %% Фаза виконання та завантаження technique_obfuscation[“T1027.009 Обфусцьовані файли чи інформація: Вбудовані завантаження Опис: Обфусцьовані скрипти, що використовуються для завантаження додаткових завантажень.”] class technique_obfuscation technique malware_agent_tesla[“Шкідливе ПЗ – Agent Tesla Опис: Інформаційний крадій на основі .NET завантажений безпосередньо в оперативну пам’ять системи.”] class malware_agent_tesla malware technique_reflective[“T1620 Рефлективне завантаження коду Опис: Завантаження кінцевого завантажувача безпосередньо в оперативну пам’ять, щоб уникнути виявлення на диску.”] class technique_reflective technique file_payloads –>|тригерує| technique_obfuscation technique_obfuscation –>|завантажує через| technique_reflective technique_reflective –>|івантажує| malware_agent_tesla %% Фаза розвідки technique_sysinfo[“T1082 Виявлення системної інформації Опис: Збір імені користувача, імені комп’ютера, та версії ОС.”] class technique_sysinfo technique technique_hostinfo[“T1592 Збір інформації про хост жертви Опис: Збір конкретних даних про хост жертви.”] class technique_hostinfo technique malware_agent_tesla –>|виконує| technique_sysinfo malware_agent_tesla –>|виконує| technique_hostinfo %% Фаза стійкості technique_registry[“T1547.001 Запуск в автозавантаженні: Ключі Реєстру та Папка Автозавантаження Опис: Зміна ключів реєстру Windows Run, Winlogon Shell та збереження бінарних файлів у папці Автозавантаження.”] class technique_registry technique file_startup_bin[“Бінарний файл для стійкості Розташування: Збережено у папці Автозавантаження.”] class file_startup_bin file malware_agent_tesla –>|встановлює| technique_registry technique_registry –>|зберігає| file_startup_bin %% Фаза збору та доступу до облікових даних technique_keylogging[“T1056.001 Захоплення вводу: Кейлогінг Опис: Використання API SetWindowsHookEx для фіксації натискань клавіш.”] class technique_keylogging technique file_log[“Файл журналу Шлях: %temp%log.tmp”] class file_log file technique_cookies[“T1539 Викрадення файлів cookie веб-сеансів Опис: Парсинг баз даних SQLite у браузерах (Chrome, Firefox, Edge) для вилучення cookie.”] class technique_cookies technique technique_forge[“T1606.001 Підробка веб-облікових даних: Веб-файли cookie Опис: Вилучення паролів та даних сесії.”] class technique_forge technique technique_account_disc[“T1087 Виявлення облікових записів Опис: Вилучення деталей з поштових клієнтів (Outlook, Thunderbird) та FTP-інструментів (FileZilla).”] class technique_account_disc technique malware_agent_tesla –>|виконує| technique_keylogging technique_keylogging –>|пише у| file_log malware_agent_tesla –>|цілить у| technique_cookies malware_agent_tesla –>|цілить у| technique_forge malware_agent_tesla –>|виконує| technique_account_disc %% Фаза ексфільтрації technique_exfil_alt[“T1048 Ексфільтрація через альтернативний протокол Опис: Надсилання вкрадених даних через SMTP, FTP або HTTP.”] class technique_exfil_alt technique technique_auto_exfil[“T1020 Автоматизована ексфільтрація Опис: Використання Tor для анонімізації мережевого трафіку.”] class technique_auto_exfil technique file_tor[“Tor Браузер Розташування: %appdata%tor.zip”] class file_tor file malware_agent_tesla –>|ексфільтрує через| technique_exfil_alt malware_agent_tesla –>|використовує| technique_auto_exfil technique_auto_exfil –>|завантажує| file_tor

Потік Атак

Виявлення

Підозрілі Бінарії / Скрипти у Розташуваннях Автозавантаження (через подію файлу)

Команда SOC Prime

25 червня 2026

Перегляд

Можливі Точки Стійкості [ASEP – Програми/NTUSER Hive] (через подію реєстру)

Команда SOC Prime

25 червня 2026

Перегляд

Виявлення кейлогінгу та стійкості Agent Tesla [створення процесу Windows]

Правила AI SOC Prime

25 червня 2026

Перегляд

Стійкість Agent Tesla через зміну ключа Run і Winlogon Shell [подія реєстру Windows]

Правила AI SOC Prime

25 червня 2026

Перегляд

Виконання моделювання

Передумова: Перевірка телеметрії та базової лінії повинна бути пройдена.

Обґрунтування: Цей розділ детально описує точне виконання технік ворога (TTP), призначених для запуску правила виявлення. Команди та розповідь МАЮТЬ безпосередньо відображати ідентифіковані TTPs і націлюватися на генерацію точної телеметрії, очікуваної логікою виявлення. Абстрактні чи не пов’язані приклади ведуть до неправильного діагнозу.

Опис Атаки та Команди: Нападник отримав початковий доступ і прагне встановити стійкість для підтримки доступу до машини жертви. Щоб змоделювати Agent Tesla, атакуючий виконує два різних дії:
1. Вони змінюють HKCUSoftwareMicrosoftWindowsCurrentVersionRun ключ для виконання шкідливого завантаження кожного разу, коли користувач входить.
2. Вони намагаються більш агресивну техніку, змінюючи WinlogonShell значення реєстру, замінюючи стандартний explorer.exe на шкідливий виконувальний файл, щоб захопити всю оболонку користувача. Ці дії обираються для тестування здатності виявлення уловлювати як стандартну, так і високоімпактну стійкість реєстру.

Скрипт для Регресійного Тесту:

# Скрипт моделювання для TTPs стійкості Agent Tesla

$maliciousPath = "C:WindowsTempagent_tesla_sim.exe"
Write-Host "[*] Створення підробного завантаження за адресою $maliciousPath"
New-Item -Path $maliciousPath -ItemType File -Force

Write-Host "[*] Моделювання T1547.001: Змінення ключа Run"
$runKey = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
New-ItemProperty -Path $runKey -Name "AgentTeslaPersistence" -Value $maliciousPath -PropertyType String -Force

Write-Host "[*] Моделювання T1547.014: Змінення оболонки Winlogon"
$winlogonKey = "HKCU:SoftwareMicrosoftWindows NTCurrentVersionWinlogon"
New-ItemProperty -Path $winlogonKey -Name "Shell" -Value "explorer.exe, $maliciousPath" -PropertyType String -Force

Write-Host "[+] Моделювання завершено. Перевірте SIEM на наявність тривог."

Команди очищення:

# Скрипт очищення для видалення стійкості та підробних файлів
Write-Host "[*] Очищення ключів реєстру..."
Remove-ItemProperty -Path "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun" -Name "AgentTeslaPersistence" -ErrorAction SilentlyContinue
Remove-ItemProperty -Path "HKCU:SoftwareMicrosoftWindows NTCurrentVersionWinlogon" -Name "Shell" -ErrorAction SilentlyContinue

Write-Host "[*] Видалення підробного завантаження..."
Remove-Item -Path "C:WindowsTempagent_tesla_sim.exe" -Force -ErrorAction SilentlyContinue

Write-Host "[+] Очищення завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно