Agent Tesla商业木马来袭，印度地区首当其冲

一. 概述

Agent Tesla源于2014年的一款键盘记录产品，演变至今，俨然成为了黑客专门用来窃密的工具软件。随着地下市场的需求增加以及攻防的对抗升级，Agent Tesla覆盖面愈来愈广，功能也愈来愈精密。AgentTesla变种所窃密的软件多达76种，无论是浏览器、FTP、VPN、邮箱、通讯软件、下载工具、数据库无一幸免。在对抗层面，此次变种使用的手段提供了反沙箱、反虚拟机以及反windows defender的相关功能，同时诱饵文件使用了多层或分批解密，大大增加了分析难度。

Agent Tesla作为一款老牌“MAAS”(malware-as-a-service)恶意程序，在过去的7年间，一直保持着较高的活跃度。近两年，国内便出现了多起使用Agent Tesla进行商业窃密的攻击活动：友商披露的“商贸信”木马攻击以及伪装航运公司钓鱼邮件攻击等。

此次被金山毒霸“捕风”威胁感知系统捕获的Agent Tesla延续了之前的钓鱼邮件传播方式，诱饵名称为MAR30_receipt.xlsx，其伪装为“收据”文档，诱骗用户进行点击运行。目标用户点击之后，此木马通过触发漏洞CVE-2017-11882，首先从远程C2下载载体orga.exe，再将此载体进行多次释放，最终执行payload——Agent Tesla。整个流程中，攻击手段成熟，环境检测完备，是一款名副其实的RAT木马。在对受害者访问的链接进行整合时，发现其是一款针对印度地区进行的窃密活动。下图为整个恶意样本的执行流程图：

二. 恶意文档详细分析

触发漏洞CVE-2017-11882的恶意Excel

Excel文件打开如下图：

此文件并没有实质的内容，但是已经触发了CVE-2017-11882漏洞，并运行ShellCode从远程C2下载恶意载体。CVE-2017-11882漏洞为非常经典的栈溢出漏洞，其影响的office版本直至Microsoft Office 2016。该漏洞的成因为EQNEDT32.EXE进程在读入包含MathType的ole数据时，并没有对拷贝的公式字体名称长度进行校验，造成栈缓冲区溢出。此木马通过修改栈上函数的返回地址，使得代码最后跳转到栈上执行攻击者构造的恶意ShellCode。

接着进行一次异或解密，并跳转执行：

此ShellCode的主要功能为从C2地址”http://54.179.209.82/windows/orga.exe”下载Agent Tesla的加壳版本，并将其保存至C:\Users\Public\vbc.exe，以隐藏自身，最终启动此恶意程序，对用户电脑开展一系列窃密活动。

深入分析orga.exe

同之前分析的Agent Tesla加壳程序类似，orga.exe同样采用了隐写术，通过对资源里的数据不断进行解密、执行，从而释放最终的Agent Tesla本体。

(1) orga.exe两次解密资源，并最终释放DebuggerHiddenAttribute.dll。

两次解密资源流程如下图：

(2) 释放的DebuggerHiddenAttribute.dll为使用Reactor加壳的.Net程序。此dll执行之后，开始对程序运行的环境进行嗅探，包括反沙箱监测、反虚拟机监测、为WindowsDefender添加排除路径，同时在被攻击主机上创建计划任务，并最终加载资源ixpZ4K（Agent Tesla本体）执行。

默认配置如下，并未开启完全：

(3) 加载资源中的ixpZ4K（Agent Tesla主体）

如果Agent Tesla运行失败，DHA.dll会根据参数选择MSBuild.exe、vbc.exe、RegSvcs.exe其中一个，创建傀儡进程，将Agent Tesla直接注入此傀儡进程中，并执行。