警惕利用Office漏洞传播商业间谍软件AgentTesla

作者:深圳市网安计算机安全检测技术有限公司 | 国际 2019/06/03 10:38:16 393
文章来源:https://www.freebuf.com/articles/system/204550.html

背景概述

        AgentTesla原本是一款在2014年发布的简单的键盘记录器,近年来其开发团队为其不断增加了许多新功能,并进行出售。AgentTesla现已成为一个商业化的间谍软件,可通过控制端生成满足功能需求的木马程序。

        AgentTesla最常见的传播方式是钓鱼邮件,邮件附件中通常会携带恶意文档,通过宏或漏洞利用下载运行恶意程序。近日,深信服安全团队采集到利用CVE-2017-11882传播AgentTesla窃取信息的恶意样本,并对其攻击过程进行了详细分析。

详细分析

CVE-2017-11882

        1.使用工具监控文件行为,查看到运行文档后系统拉起了eqnedt32.exe进程,并且通过抓包捕获到下载EXE文件的流量,由此判断是利用CVE-2017-11882执行恶意代码:

01.png

        2.通过附加调试器,在Kernel32!WinExec下断点,查看寄存器值,找到运行了”C:\Users\root\AppData\Roaming\Adobe.exe”的命令,与捕获到的流量信息相结合判断,恶意代码应是下载文件保存到本地然后运行,推断使用了URLDownloadToFile相关API:

02.png

        3.附加调试器对网络相关API下断调试,但程序并没有断下,于是在eqnedt32.exe造成溢出的函数处下断,单步调试到ret覆盖的返回地址,执行恶意代码:

03.png

        4.恶意代码先对内存进行解密操作,图中是解密前后对比,可以直观的看到所使用的字符串信息,通过动态获取API地址,调用URLDownloadToFileW下载文件,再通过WinExec运行:

04.png

05.png

AgentTesla

        1.AgentTesla是用.Net框架编写的键盘记录器,使用反编译工具查看代码,自定义函数名都进行了混淆,但使用的API和关键字符串仍然是明文的,可以看到进行键击记录的代码:

06.png

        2.除了键盘记录以外,还会通过读取注册表键值来获取主机信息:

07.png

        3.使用DES算法加密所要发送的数据:

08.png

        4.有三种可选的方式将窃取到的数据上传至远程C&C端:

通过FTP上传:

alt

通过SMTP上传:

10.png

通过HTTP上传:

11.png

        5.AgentTesla的资源中内嵌了一个DLL文件,名为IELibrary.dll,是一个用于实现浏览器操作的DLL文件,在AgentTesla中定义了需要窃取信息的浏览器及网络套件名称,这是在使用控制端生成恶意程序时的可选项:

12.png

        6. IELibrary.dll主要针对浏览器进行信息收集和操作,包括历史记录的增删查:

13.png

窃取密码及cookie:

14.png

解决方案

病毒检测查杀

1、深信服为广大用户免费提供查杀工具,可下载如下工具,进行检测查杀。

64位系统下载链接:

http://edr.sangfor.com.cn/tool/SfabAntiBot_X64.7z

32位系统下载链接:

http://edr.sangfor.com.cn/tool/SfabAntiBot_X86.7z

病毒防御

1、不从不明网站下载软件,不要点击来源不明的邮件附件,不随意启用宏;

2、下载补丁修补CVE-2017-11882:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882

3、开启Windows Update功能,定期对系统进行自动更新

        最后,建议企业对全网进行一次安全检查和杀毒扫描,加强防护工作。推荐使用深信服安全感知+防火墙+EDR,对内网进行感知、查杀和防护。


推荐关注

指导单位
广东省公安厅网络警察总队 广东省信息安全等级保护协调小组办公室