"Agent Tesla" trickst IT-Sicherheit mit neuen Techniken aus

Lesezeit
1 Minute
Bis jetzt gelesen

"Agent Tesla" trickst IT-Sicherheit mit neuen Techniken aus

03.02.2021 - 09:10
Veröffentlicht in:
Sophos stellt einen neuen Report zur Malware Agent Tesla vor: "Agent Tesla Amps Up Information Stealing Attacks". Darin beschreiben die IT-Security-Spezialisten, wie Angreifer mit neuen Techniken den Schutz am Endpoint ausschalten, bevor sie die Malware in das System einschleusen.
Agent Tesla ist ein weit verbreitetes Remote Access Tool (RAT), das seit 2014 bekannt ist und von Angreifern für den Datendiebstahl eingesetzt wird – jetzt sind neue Updates zu Details zu den Angriffen ans Licht gekommen. Die Macher bieten es in Dark-Web-Foren zum Verkauf an und aktualisieren es kontinuierlich. Cyberkriminelle verbreiten Agent Tesla in der Regel als Anhang über Spam-E-Mails.

Die Techniken zeichnen sich durch einen mehrstufigen Prozess aus, bei dem ein .NET-Downloader einzelne Malware-Bausteine von offiziellen Drittanbieter-Websites – etwa pastebin und hastebin – abgreift und anschließend die Bausteine zusammensetzt, um mit der komplettierten Malware ihr Unwesen zu treiben. Gleichzeitig versucht die Malware, den Code in Microsofts Anti-Malware Software Interface (AMSI) zu verändern – eine Windows-Funktion, die es Anwendungen und Diensten ermöglicht, sich in installierte Sicherheitsprodukte zu integrieren. Damit setzen die Cyberkriminellen den AMSI-aktivierten Endpunkt-Sicherheitsschutz außer Funktion, so dass die Malware ohne Hindernisse heruntergeladen, installiert und ausgeführt werden kann.

Der neue Report von Sophos [1] beschreibt detailliert die beiden im Umlauf befindlichen Versionen von Agent Tesla. Beide verfügen über aktuelle Updates, wie z.B. die Anzahl der Anwendungen, die für den Diebstahl von Anmeldeinformationen anvisiert werden. Dazu gehören u.a. Webbrowser, E-Mail-Clients, Virtual Private Network-Clients und andere Software, die Benutzernamen und Kennwörter speichern. Zudem besteht die Möglichkeit, Tastatureingaben zu erfassen und Screenshots aufzuzeichnen.

Die Unterschiede zwischen den beiden Versionen zeigen, wie Angreifer das RAT in letzter Zeit weiterentwickelt haben und nun mehrere Techniken für die Umgehung der Security und der Verschleierung einsetzen. Dazu gehören Optionen zur Installation und Nutzung des anonymisierenden Netzwerk-Clients Tor, die Telegram-Messaging-API für die Command-and-Control-Kommunikation (C2) sowie das Anvisieren von Microsofts AMSI.

"Agent-Tesla-Malware ist seit mehr als sieben Jahren aktiv, dennoch bleibt sie eine der häufigsten Bedrohungen für Windows-Nutzer. Sie zählt zu den Top-Malware-Familien, die im Jahr 2020 per E-Mail verbreitet wurden. Im Dezember machte Agent Tesla rund 20 Prozent der schädlichen E-Mail-Attacken aus, die von Sophos-Scannern abgefangen wurden", sagt Michael Veit, Technology Evangelist bei Sophos. "Eine Vielzahl von Angreifern nutzt die Malware, um Benutzeranmeldedaten und andere Informationen durch Screenshots, Tastaturprotokollierung und Clipboard-Capture zu stehlen."

dr

[1] https://news.sophos.com/en-us/2021/02/02/agent-tesla-amps-up-information-stealing-attacks/

Tags

Ähnliche Beiträge

Exchange ungeschützt im Visier Lars Nitsch Di., 26.03.2024 - 13:09
Mindestens 17.000 Instanzen von Microsoft-Exchange-Servern in Deutschland sind durch eine oder mehrere kritische Schwachstellen verwundbar. Hinzu kommt eine Dunkelziffer an Exchange-Servern in vergleichbarer Größe, die potenziell verwundbar sind. Das geht aus einer aktuellen Untersuchung des Bundesamts für Sicherheit in der Informationstechnik hervor.
Mehr Transparenz bei Benutzeraktivitäten Lars Nitsch Mo., 25.03.2024 - 09:41
BeyondTrust hat Version 24.1 von "Endpoint Privilege Management für Windows & Mac" veröffentlicht. Die Enterprise-Software zur Durchsetzung von Least-Privilege-Strategien und granularer Applikationskontrolle soll im aktuellen Release mit neuen Funktionen für höhere Benutzerfreundlichkeit und optimierte Arbeitsabläufe sorgen.
Keeper Security mit Updates für mehr administrative Kontrolle Lars Nitsch Fr., 22.03.2024 - 08:51
Keeper Security, Anbieter von Zero-Trust- und Zero-Knowledge-Software zum Schutz von Anmeldedaten, privilegiertem Zugang und Remote-Verbindungen hat die Benutzeroberfläche seiner Admin-Konsole optimiert und das Onboarding überarbeitet. Die Updates stellen eine direkte Reaktion auf die Rückmeldungen der Benutzer-Community dar.