Trojanac Agent Tesla u novoj spam kampanji: Ne otvarajte prilog u ovim emailovima

Anti-spam, 30.09.2022, 12:00 PM

Istraživači iz kompanije Kaspersky upozorili su na novu spam kampanju, u okviru koje se masovno šalju emailovi sa prilogom u kome je sakriven malver Agent Tesla. Kampanja je usmerena na zaposlene u kompanijama, a ono što je neuobičajeno je da su oni koji stoje iza nje bili vrlo pažljivi kada je reč o detaljima tako da ovi emailovi lako mogu prevariti potencijalne žrtve jer izgledaju kao poslovni emailovi sa dokumentima u prilogu. Cilj napadača je da prevare primaoca da otvori prilog i pokrene malver.

Sajber kriminalci koriste prave kompanije kao pokriće: emailovi sadrže prave logotipe i potpise legitimnog izgleda.

„Njihov engleski je daleko od savršenog, pa se pretvaraju da su stanovnici zemalja u kojima se ne govori engleski (Bugarske ili Malezije, na primer), da bi izazvali manje sumnje“, kažu istraživači.

Oni su primetili da se u ovoj kampanji koriste imena mnogih kompanija, pa se i tekst poruka menja u skladu sa tim. Ponekad od zaposlenih u firmi traže cene za određene proizvode navedene u priloženoj arhivi, drugi put pitaju da li je navedeni proizvod na lageru. Istraživači kažu da to verovatno nisu sve verzije teksta koje sajber kriminalci koriste da namame žrtve. Ideja je da se žrtva ubedi da proveri za koju vrstu robe je zainteresovan lažni klijent.

„Sajber kriminalci su uložili mnogo truda u pripremnu fazu, što nije tipično za ovakve masovne kampanje slanja pošte. Ranije smo videli da se takve tehnike koriste samo u ciljanim napadima“, kažu istraživači.

Jedini alarm sa tačke gledišta žrtve je adresa pošiljaoca koja se retko poklapa sa imenom kompanije, dok se ime pošiljaoca razlikuje od imena u potpisu, što nije uobičajeno za legitimne poslovne adrese. U primeru koji navodi Kaspersky, pošta se šalje sa adrese „newsletter@“, što može biti u redu za marketinšku poštu, ali „apsolutno nije normalno za pismo sa zahtevom za cene za ponudu“.

Agent Tesla je prilično star malver koji krade poverljive informacije i šalje ih operaterima napada. Pre svega, traži akreditive koji se čuvaju u različitim programima: pretraživačima, e-mail klijentima, FTP/SCP klijentima, bazama podataka, alatima za daljinsku administraciju, VPN aplikacijama i nekoliko mesindžera. Međutim, Agent Tesla je takođe sposoban da krade podatke iz clipboarda, snima pritiske tastera i pravi snimke ekrana.

Sve prikupljene informacije malver šalje napadačima putem elektronske pošte. Međutim, neke verzije malvera mogu da prenose podatke i preko Telegrama, ili ih otpremaju na veb sajt ili FTP server.

U idealnom slučaju, ovakvi malveri treba da budu zaustavljeni u ranoj fazi, kada email stigne do korporativnog mail servera. Iako malver ne može uvek da se uoči golim okom i na prvi pogled, skeneri pošte su obično sposobni za takve zadatke. Zbog toga je preporuka istraživača zaštita servera odgovarajućim bezbednosnim rešenjem, ali i računara zaposlenih, kao i njihova edukacija.

Photo by Maksim Goncharenok from Pexels