Kolejna kampania Agent Tesla

Agent Tesla to jedno z najpopularniejszych zagrożeń w polskim internecie. Ten trojan zdalnego dostępu dystrybuowany w załącznikach maili, podszywających się pod oryginalną korespondencję.

O Agent Tesla dość regularnie (szczegółową analizę znajdziesz w artykule z Raportu CERT Orange Polska na naszej stronie). Metoda dostarczenia Agent Tesla do ofiary jest niemal za każdym razem taka sama. Do potencjalnej ofiary trafia e-mail od firmy, z którą współpracuje, nierzadko będący kontynuacją dotychczasowej konwersacji. Skąd taki nadawca? Przestępca musiał wcześniej uzyskać dostęp do prawdziwej korespondencji.

Do wiadomości dołączony jest załącznik, zaś treść maila sugeruje konieczność jego pilnego otwarcia. W zaobserwowanej przez CERT Orange Polska próbce atakujący podszywa się pod firmę Prosperplast 1.

Według nagłówka maila faktycznym nadawcą miałby być hotel w Rumunii:

Received: from localhost (localhost.localdomain [127.0.0.1])
            by mail.cocor.ro (Postfix) with ESMTP id 3C921468BB3E;           
Mon,  7 Oct 2024 12:25:22 +0300 (EEST)X-Virus-Scanned: Debian amavisd-new at mail.cocor.ro

Received: from webmail.cocor.ro (mail.cocor.ro [92.81.223.230])
            (Authenticated sender: office@cocorspahotel.ro)
            by mail.cocor.ro (Postfix) with ESMTPSA id AF218468BAB7;
            Mon,  7 Oct 2024 12:21:43 +0300 (EEST)

MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary="=_79da1880954f5770bc15f4ec3feee201"
Date: Mon, 07 Oct 2024 02:21:43 -0700
From: =?UTF-8?Q?[PERSONALIA]Prosperplast_1_Sp=2E_z_?=
=?UTF-8?Q?o=2Eo=2E=29?= rezervari@cocorspahotel.ro
To: [PERSONALIA]@elektrodzwig.pl
Subject: =?UTF-8?Q?ZAM=C3=93WIENIE=20NR=2E=32=34=31=30=30=37=31=31=36=38?=
=?UTF-8?Q?=33=37=35=35?=
Organization: Prosperplast 1 Sp. z o.o.
Message-ID: c1eacb8af243ed68beb9526ba1bf9419@cocorspahotel.ro
X-Sender: rezervari@cocorspahotel.ro
User-Agent: Roundcube Webmail/0.9.2

W innych próbkach faktycznymi nadawcami były też inne rumuńskie adresy: nextprofil.ro oraz restaurant-classic.ro.

Indicators of Compromise

Załączony plik: ZAMÓWIENIE_NR.24100711683755.exe (6b63bdc24b2e1162073514f7934a4f9c)
Serwer Command&Control: fxp://ftp.rusticpensiune[.]ro.