AgentTesla zamiast przesyłki od TNT (IOC)

Przestępcy to zwykli ludzie, im też kończą się wakacje. Chwilę temu trafiła do nas nowa kampania, podszywająca się pod przesyłkę od firmy kurierskiej TNT. Przesyłki oczywiście tam nie ma, ale w „promocji” dostajemy Remote Access Trojana Agent Tesla.

Mail, o tytule „Powiadomienie o wysyłce TNT dla 01092033102” wygląda jak poniżej:

Link do informacji o domniemanej przesyłce prowadzi pod adres
hxxp://www.mediafire.com/file/ca3wq1uggpmxl5k/TNTPL+01092033102.7z/file

To nowa praktyka przestępców, hostujących złośliwy kod, czy serwery C&C pod adresami znanych serwisów chmurowych o generalnie dobrej reputacji.

Spod adresu pobierane jest archiwum o nazwie TNTPL 01092033102.7z

W środku znajduje się plik binarny o nazwie TNTPL 01092033102.exe

Prowadzi on pod adres smtp.1and1.es. Nie jest to oczywiście serwer Command&Control w znanej nam od zawsze formie – po prostu specyfika Tesli polega na wykorzystywaniu znanych serwerów pocztowych o dobrej reputacji.

Sumy kontrolne pliku binarnego to:

MD5 e00fa16c07b7ca2c9d1ded9b7be67823
SHA-256 2014f393604a5be732864b045ce5ae638feeaa958b59d3b91d23c4cade1b50d1