2023-01-05(星期四)-恶意垃圾邮件导致agenttesla变体感染，可能是originlogger

前言

参考1
参考2

OriginLogger是一个开源的日志记录器，用于在应用程序中记录和管理日志信息。它提供了一种简单而灵活的方式来记录各种级别的日志，包括调试信息、警告和错误消息等。
AgentTesla病毒主要通过钓鱼邮件进行传播，钓鱼邮件内容多会伪装成装运建议、财务报表或预付款通知单等，邮件附件中包含AgentTesla病毒。当用户被诱导点击运行病毒后，病毒即会窃取用户终端上的隐私数据并上传C&C服务器。

在这里插入图片描述

感染链:

接收邮件->下载iso附件里->使用iso里的exe文件（这里的exe文件应该就是AgentTesla病毒）->？?->AgentTesla病毒将所获取的信息上传到c2服务器
bin文件我不知道是搞毛的，感觉exe文件后面一步应该是跟bin文件有关系，就打了？？两个问号
看了wp知道，exe加载编码后的二进制文件，接着二进制文件解码，用于生成代理telsa流量

在这里插入图片描述

wp：

email --> attached .iso file --> contains .exe file --> .exe loads encoded binary --> binary decoded & used to generate Agent Telsa-style traffic

来自malspam的邮件信息:

在这里插入图片描述
显示了一个付款账单，一个iso附件

wp:

Received: from multisped.com.mk (multisped.com.mk [185.250.254.32]); Thu, 5 Jan 2023 04:18:36 +0000 (UTC)
From: JPMorgan Chase Bank N.A goran.apostolov@multisped.com.mk
Subject: BANK PAYMENT NOTIFICATION
Attachment name: Payment Copy_Chase Bank_Pdf.iso

感染流量:

先查看域名，这些域名，只有三个可以搜出
在这里插入图片描述

1

在这里插入图片描述

2

在这里插入图片描述

3

在这里插入图片描述

wp：

45.56.99.101 port 80 - savory.com.bd - GET /sav/Ztvfo.png
port 443 - api.ipify.org - HTTPS traffic, IP address by the infected Windows host, not inherently malicious
204.11.58.28 port 587 - mail.transgear.in - unencrypted SMTP traffic generated by Agent Tesla variant

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/796092.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！