Zaloguj się do usług
bezpieczeństwa
28 sierpnia 2020
AgentTesla zamiast przesyłki od TNT (IOC)

Przestępcy to zwykli ludzie, im też kończą się wakacje. Chwilę temu trafiła do nas nowa kampania, podszywająca się pod przesyłkę od firmy kurierskiej TNT. Przesyłki oczywiście tam nie ma, ale w "promocji" dostajemy Remote Access Trojana Agent Tesla.

Mail, o tytule "Powiadomienie o wysyłce TNT dla 01092033102" wygląda jak poniżej:

Link do informacji o domniemanej przesyłce prowadzi pod adres
hxxp://www.mediafire.com/file/ca3wq1uggpmxl5k/TNTPL+01092033102.7z/file

To nowa praktyka przestępców, hostujących złośliwy kod, czy serwery C&C pod adresami znanych serwisów chmurowych o generalnie dobrej reputacji.

Spod adresu pobierane jest archiwum o nazwie TNTPL 01092033102.7z

W środku znajduje się plik binarny o nazwie TNTPL 01092033102.exe

Prowadzi on pod adres smtp.1and1.es. Nie jest to oczywiście serwer Command&Control w znanej nam od zawsze formie - po prostu specyfika Tesli polega na wykorzystywaniu znanych serwerów pocztowych o dobrej reputacji.

Sumy kontrolne pliku binarnego to:

MD5 e00fa16c07b7ca2c9d1ded9b7be67823
SHA-256 2014f393604a5be732864b045ce5ae638feeaa958b59d3b91d23c4cade1b50d1


Ostatnie aktualności

Dowiedziałeś się o zagrożeniu?

Poinformuj nas!

Zgłoś incydent

Załącz plik

(jeśli zgłaszasz przypadek phishingu, zapisz mail (przesuń go z programu pocztowego na pulpit komputera lub wybierz opcję plik/zapisz jako), a następnie załącz)

Nie jestem człowiekiem
Jeśli zgłoszenie dotyczy bezpieczeństwa dzieci, zgłoś je również pod http://www.dyzurnet.pl