Kampanye phishing baru telah diamati memanfaatkan malware loader baru untuk mengirimkan pencuri informasi dan keylogger yang disebut Agen Tesla.

Trustwave SpiderLabs mengatakan pihaknya mengidentifikasi email phishing yang memuat rantai serangan ini pada 8 Maret 2024. Pesan tersebut menyamar sebagai pemberitahuan pembayaran bank, mendesak pengguna untuk membuka lampiran file arsip.

Arsip (“Bank Handlowy w Warszawie – dowód wpłaty_pdf.tar.gz”) menyembunyikan pemuat berbahaya yang mengaktifkan prosedur untuk menyebarkan Agen Tesla pada host yang disusupi. “Pemuat ini kemudian memanfaatkan perilaku polimorfik dengan metode dekripsi yang kompleks,” kata peneliti keamanan Bernard Bautista

“Loader ini juga menunjukkan kemampuan untuk melewati pertahanan antivirus dan mengambil muatannya menggunakan URL tertentu dan agen pengguna yang memanfaatkan proxy untuk semakin mengaburkan lalu lintas.” Taktik menyematkan malware ke dalam file yang tampaknya tidak berbahaya adalah taktik yang telah berulang kali digunakan oleh pelaku ancaman untuk mengelabui korban yang tidak menaruh curiga agar memicu rangkaian infeksi.

Pemuat yang digunakan dalam serangan itu ditulis dalam .NET, dengan Trustwave menemukan dua varian berbeda yang masing-masing menggunakan rutinitas dekripsi berbeda untuk mengakses konfigurasinya dan pada akhirnya mengambil muatan Agen Tesla yang dikodekan XOR dari server jarak jauh.

Dalam upaya menghindari deteksi, pemuat juga dirancang untuk melewati Windows Antimalware Scan Interface (AMSI), yang menawarkan kemampuan perangkat lunak keamanan untuk memindai file, memori, dan data lainnya untuk mencari ancaman.

Hal ini dicapai dengan “menambal fungsi AmsiScanBuffer untuk menghindari pemindaian malware pada konten dalam memori,” jelas Bautista.

Fase terakhir melibatkan decoding dan mengeksekusi Agen Tesla dalam memori, memungkinkan pelaku ancaman untuk secara diam-diam mengambil data sensitif melalui SMTP menggunakan akun email yang telah disusupi dan terkait dengan pemasok sistem keamanan yang sah di Turki (“merve@temikan[.]com[.]tr “).

Pendekatan ini, kata Trustwave memberikan lapisan anonimitas yang membuatnya lebih sulit untuk melacak serangan kembali ke musuh, belum lagi upaya untuk menyiapkan saluran eksfiltrasi khusus.

“[Pemuat] menggunakan metode seperti patching untuk melewati deteksi Antimalware Scan Interface (AMSI) dan memuat muatan secara dinamis, memastikan eksekusi tersembunyi dan meminimalkan jejak pada disk,” kata Bautista. “Pemuat ini menandai evolusi penting dalam taktik penerapan Agen Tesla.