揭秘 Agent Tesla 的隐蔽感染链

📌 一句话摘要

本文详细解析 Agent Tesla 恶意软件通过钓鱼邮件触发多阶段隐蔽感染链的技术细节，涵盖脚本加载器、进程注入、反分析与数据外传等环节。

📝 详细摘要

文章基于安全研究报告，系统梳理了 Agent Tesla 的现代攻击链。首先指出攻击手段从利用 Office 漏洞转向高度混淆的脚本加载器，以绕过已修复的旧漏洞。随后分阶段拆解感染流程：钓鱼邮件诱饵 → 解压后触发混淆批处理脚本 → 静默启动 PowerShell 在内存中拉取恶意代码 → 通过进程镂空技术将恶意载荷注入 charmap.exe 等可信进程 → 利用反调试、反沙箱和反 VM 检测技术规避分析 → 最终通过 SMTP、FTP 或 Telegram 等合法协议外传窃取的浏览器凭据、键盘记录和屏幕截图。文章最后给出防御建议，强调需要 EDR 方案与员工培训相结合。

💡 主要观点

- Agent Tesla 的攻击手段已从利用 Office 漏洞转向脚本加载器。 旧漏洞（如 CVE-2017-11882）多已修复，现代攻击者改用高度混淆的批处理脚本和 PowerShell，利用系统原生工具实现初始入侵，绕过安全防护。

无文件技术是规避传统杀毒软件的关键。 恶意代码直接在内存中执行，不在硬盘留下可识别痕迹，极大缩短了防御者的检测响应时间。

进程镂空技术用于绕过应用程序白名单和防火墙。 通过创建挂起的合法进程（如 charmap.exe），卸载其原始代码后注入恶意载荷，使恶意软件难以被标准安全软件察觉。

内置反分析能力显著提升了恶意软件的隐蔽性。 VB.NET 载荷包含反调试、反沙箱 DLL 检查和反 VM 检测，一旦发现分析环境特征即终止执行，远超普通凭据窃取程序。

数据外传模块高度可配置，使用合法协议伪装流量。 窃取的浏览器凭据、键盘记录和屏幕截图通过 SMTP、FTP 或 Telegram 等协议外传，伪装成正常网络流量，增加检测难度。

💬 文章金句

- 看似普通的附件背后，隐藏着精心设计的攻击链，包括隐蔽脚本执行、基于 PowerShell 的有效载荷投递、内存加载恶意软件、进程注入以及旨在长期潜伏的数据窃取技术。

• 受害者打开看似无害的文件时，背后高度混淆的批处理脚本已悄然启动 PowerShell，进而直接在内存中拉取并执行额外恶意代码。

📊 文章信息

AI 初评：80

来源：FreeBuf

作者：FreeBuf

分类：软件编程

语言：中文

阅读时间：7 分钟

字数：1591

标签： 安全, 恶意软件分析, 威胁情报, 端点安全, 网络钓鱼

阅读完整文章