Agent Tesla trickst IT-Sicherheit aus

Agent Tesla trickst IT-Sicherheit aus
Anzeige

Beitrag teilen

Sophos stellt heute einen neuen Report zur Malware Agent Tesla vor: “Agent Tesla Amps Up Information Stealing Attacks”. Darin beschreiben die IT-Security-Spezialisten, wie Angreifer mit neuen Techniken den Schutz am Endpoint ausschalten, bevor sie die Malware in das System einschleusen.

Agent Tesla ist ein weit verbreitetes Remote Access Tool (RAT), das seit 2014 bekannt ist und von Angreifern für den Datendiebstahl eingesetzt wird – jetzt sind neue Updates zu Details zu den Angriffen ans Licht gekommen. Die Macher bieten es in Dark-Web-Foren zum Verkauf an und aktualisieren es kontinuierlich. Cyberkriminelle verbreiten Agent Tesla in der Regel als Anhang über Spam-E-Mails.

Anzeige

Mehrstufiger Prozess dringt durch

Die Techniken zeichnen sich durch einen mehrstufigen Prozess aus, bei dem ein .NET-Downloader einzelne Malware-Bausteine von offiziellen Drittanbieter-Websites – etwa pastebin und hastebin – abgreift und anschließend die Bausteine zusammensetzt, um mit der komplettierten Malware ihr Unwesen zu treiben. Gleichzeitig versucht die Malware, den Code in Microsofts Anti-Malware Software Interface (AMSI) zu verändern – eine Windows-Funktion, die es Anwendungen und Diensten ermöglicht, sich in installierte Sicherheitsprodukte zu integrieren. Damit setzen die Cyberkriminellen den AMSI-aktivierten Endpunkt-Sicherheitsschutz außer Funktion, so dass die Malware ohne Hindernisse heruntergeladen, installiert und ausgeführt werden kann.

Report beschreibt Vorgehen

Der neue Report von Sophos beschreibt detailliert die beiden im Umlauf befindlichen Versionen von Agent Tesla. Beide verfügen über aktuelle Updates, wie z.B. die Anzahl der Anwendungen, die für den Diebstahl von Anmeldeinformationen anvisiert werden. Dazu gehören u.a. Webbrowser, E-Mail-Clients, Virtual Private Network-Clients und andere Software, die Benutzernamen und Kennwörter speichern. Zudem besteht die Möglichkeit, Tastatureingaben zu erfassen und Screenshots aufzuzeichnen.

Anzeige

Jetzt Newsletter abonnieren

Einmal im Monat die besten News von B2B CYBER SECURITY lesen



Mit Klick auf „Anmelden“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden. Weitere Informationen finde ich in unserer Datenschutzerklärung. Nach dem Anmelden erhalten Sie zuerst eine Bestätigungsmail, damit keine anderen Personen Ihnen etwas ungewolltes bestellen können.
Aufklappen für Details zu Ihrer Einwilligung
Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung. Sie können jederzeit den Newsletter wieder abbestellen. Einen entsprechenden Link finden Sie im Newsletter. Nach einer Abmeldung werden Ihre Daten in kürzester Zeit gelöscht. Eine Wiederherstellung ist nicht möglich. Falls Sie den Newsletter erneut haben möchten, ordern sie diesen einfach neu. Verfahren Sie auch so, wenn Sie eine andere E-Mail-Adresse für Ihren Newsletter nutzen möchten. Wenn Sie den auf der Website angebotenen Newsletter beziehen möchten, benötigen wir von Ihnen eine E-Mail-Adresse sowie Informationen, welche uns die Überprüfung gestatten, dass Sie der Inhaber der angegebenen E-Mail-Adresse und mit dem Empfang des Newsletters einverstanden sind. Weitere Daten werden nicht bzw. nur auf freiwilliger Basis erhoben. Für die Abwicklung der Newsletter nutzen wir Newsletterdiensteanbieter, die nachfolgend beschrieben werden.

CleverReach

Diese Website nutzt CleverReach für den Versand von Newslettern. Anbieter ist die CleverReach GmbH & Co. KG, Schafjückenweg 2, 26180 Rastede, Deutschland (nachfolgend „CleverReach“). CleverReach ist ein Dienst, mit dem der Newsletterversand organisiert und analysiert werden kann. Die von Ihnen zwecks Newsletterbezug eingegebenen Daten (z. B. E-Mail-Adresse) werden auf den Servern von CleverReach in Deutschland bzw. Irland gespeichert. Unsere mit CleverReach versandten Newsletter ermöglichen uns die Analyse des Verhaltens der Newsletterempfänger. Hierbei kann u. a. analysiert werden, wie viele Empfänger die Newsletternachricht geöffnet haben und wie oft welcher Link im Newsletter angeklickt wurde. Mit Hilfe des sogenannten Conversion-Trackings kann außerdem analysiert werden, ob nach Anklicken des Links im Newsletter eine vorab definierte Aktion (z. B. Kauf eines Produkts auf dieser Website) erfolgt ist. Weitere Informationen zur Datenanalyse durch CleverReach-Newsletter erhalten Sie unter: https://www.cleverreach.com/de/funktionen/reporting-und-tracking/. Die Datenverarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese Einwilligung jederzeit widerrufen, indem Sie den Newsletter abbestellen. Die Rechtmäßigkeit der bereits erfolgten Datenverarbeitungsvorgänge bleibt vom Widerruf unberührt. Wenn Sie keine Analyse durch CleverReach wollen, müssen Sie den Newsletter abbestellen. Hierfür stellen wir in jeder Newsletternachricht einen entsprechenden Link zur Verfügung. Die von Ihnen zum Zwecke des Newsletter-Bezugs bei uns hinterlegten Daten werden von uns bis zu Ihrer Austragung aus dem Newsletter bei uns bzw. dem Newsletterdiensteanbieter gespeichert und nach der Abbestellung des Newsletters aus der Newsletterverteilerliste gelöscht. Daten, die zu anderen Zwecken bei uns gespeichert wurden, bleiben hiervon unberührt. Nach Ihrer Austragung aus der Newsletterverteilerliste wird Ihre E-Mail-Adresse bei uns bzw. dem Newsletterdiensteanbieter ggf. in einer Blacklist gespeichert, sofern dies zur Verhinderung künftiger Mailings erforderlich ist. Die Daten aus der Blacklist werden nur für diesen Zweck verwendet und nicht mit anderen Daten zusammengeführt. Dies dient sowohl Ihrem Interesse als auch unserem Interesse an der Einhaltung der gesetzlichen Vorgaben beim Versand von Newslettern (berechtigtes Interesse im Sinne des Art. 6 Abs. 1 lit. f DSGVO). Die Speicherung in der Blacklist ist zeitlich nicht befristet. Sie können der Speicherung widersprechen, sofern Ihre Interessen unser berechtigtes Interesse überwiegen. Näheres entnehmen Sie den Datenschutzbestimmungen von CleverReach unter: https://www.cleverreach.com/de/datenschutz/.

Auftragsverarbeitung

Wir haben einen Vertrag über Auftragsverarbeitung (AVV) zur Nutzung des oben genannten Dienstes geschlossen. Hierbei handelt es sich um einen datenschutzrechtlich vorgeschriebenen Vertrag, der gewährleistet, dass dieser die personenbezogenen Daten unserer Websitebesucher nur nach unseren Weisungen und unter Einhaltung der DSGVO verarbeitet.

Die Unterschiede zwischen den beiden Versionen zeigen, wie Angreifer das RAT in letzter Zeit weiterentwickelt haben und nun mehrere Techniken für die Umgehung der Security und der Verschleierung einsetzen. Dazu gehören Optionen zur Installation und Nutzung des anonymisierenden Netzwerk-Clients Tor, die Telegram-Messaging-API für die Command-and-Control-Kommunikation (C2) sowie das Anvisieren von Microsofts AMSI.

„Agent Tesla”-Malware ist seit mehr als sieben Jahren aktiv, dennoch bleibt sie eine der häufigsten Bedrohungen für Windows-Nutzer. Sie zählt zu den Top-Malware-Familien, die im Jahr 2020 per E-Mail verbreitet wurden. Im Dezember machte Agent Tesla rund 20 Prozent der schädlichen E-Mail-Attacken aus, die von Sophos-Scannern abgefangen wurden“, sagt Michael Veit, Technology Evangelist bei Sophos. „Eine Vielzahl von Angreifern nutzt die Malware, um Benutzeranmeldedaten und andere Informationen durch Screenshots, Tastaturprotokollierung und Clipboard-Capture zu stehlen.“

Sophos empfiehlt IT-Administratoren folgendes

  • Installation einer intelligenten Sicherheitslösung, die verdächtige E-Mails und deren Anhänge prüft, erkennt und blockieren kann, bevor sie die Anwender erreichen.
  • Schaffung von wirksamen Authentifizierungsstandards, um zu überprüfen, ob E-Mails das sind, was sie vorgeben zu sein.
    Schulung der Mitarbeiter, damit sie die Warnzeichen verdächtiger E-Mails erkennen und wissen, was zu tun ist, wenn sie auf eine verdächtige E-Mail stoßen.
  • Anwender dafür sensibilisieren, E-Mails zu prüfen, ob sie von der Adresse und der Person stammen, für die sie sich ausgeben.
    Benutzer darauf hinweisen, niemals Attachments zu öffnen oder auf Links in E-Mails von unbekannten Absendern zu klicken.

Der Sophos Endpoint-Schutz Intercept X erkennt die Installer-Malware von Agent Tesla und den RAT mit Hilfe von Machine-Learning-Technologie sowie auch durch die Signaturen Troj/Tesla-BE und Troj/Tesla-AW.

Mehr dazu bei Sophos.com

 


Über Sophos

Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.


 

Passende Artikel zum Thema

Neuer Trojaner Pikabot

Die bösartige Backdoor Pikabot ist modular aufgebaut und verfügt über einen Loader und eine Kernkomponente, die den Großteil der Funktionen ➡ Weiterlesen

AOK – MOVEit-Hack: CLOP Gruppe stellt Ultimatum bis 14. Juni 

Vor wenigen Tagen wurde bekannt, dass die von der AOK genutzte Datentransfer-Software MOVEit eine eklatante Schwachstelle hatte. Das BSI registrierte ➡ Weiterlesen

Identity Access Management – sieben Mythen

Wichtige Geschäftsvorgänge finden durch Remote Work und Cloud-Dienste immer häufiger außerhalb des Unternehmensnetzwerks statt. Durch diese Veränderung der Sicherheitsgrenzen werden ➡ Weiterlesen

Firefly schützt Maschinenidentitäten in Cloud-nativen Workloads

Venafi, der Erfinder und führende Anbieter von Maschinenidentitäts-Management, stellt Firefly vor. Die Lösung unterstützt hochgradig verteilte Cloud-native Umgebungen. Als Teil ➡ Weiterlesen

Neue Studie: Web-Shells sind Top-Einfallsvektor

Die Zahl von Angriffen über Web-Shells ist in den ersten drei Monaten 2023 überdurchschnittlich stark angestiegen. Das zeigt der Cisco ➡ Weiterlesen

QR-Code Phishing-Sicherheitstest-Tool

KnowBe4 bietet ab sofort ein ergänzendes QR-Code-Phishing-Sicherheitstest-Tool an, das Benutzer identifiziert, die Opfer von QR-Code-Phishing-Angriffen werden. Das kostenlose Tool (QR ➡ Weiterlesen

iPhones: Geheime Malware entdeckt – Such-Tool steht bereit

Kaspersky hat vor wenigen Tagen auf firmeninternen iPhones eine hochentwickelte Malware entdeckt. Die als Operation-Triangulation getaufte Kampagne ist anscheinend noch ➡ Weiterlesen

Ransomware-Report: LockBit zielt auf macOS

LockBit, die aktuell aktivste Ransomware-Gruppe, weitete seine Aktivitäten im April auf macOS-Geräte aus. Weiterhin werden Schwachstellen der Druckersoftware PaperCut aktiv ➡ Weiterlesen