La nuova variante del malware Agent Tesla utilizza tecniche di offuscamento basate su caratteri Unicode per eludere i controlli di sicurezza e sottrarre credenziali sensibili.
Il panorama delle minacce informatiche si arricchisce di una nuova, insidiosa variante del noto infostealer Agent Tesla. La versione 4 del malware, recentemente analizzata dai ricercatori di KnowBe4, introduce sofisticate tecniche di evasione progettate per superare le difese perimetrali e sottrarre credenziali da oltre 40 applicazioni diverse. La campagna osservata sfrutta tattiche di Business Email Compromise (BEC), camuffando comunicazioni malevole come thread di posta elettronica aziendale legittimi, spesso impersonando istituti bancari per indurre le vittime ad aprire documenti infetti.
L'elemento più innovativo di questa iterazione è l'utilizzo di caratteri Unicode, nello specifico emoji come cuori e gocce d'acqua, inseriti direttamente all'interno del codice sorgente del Jscript dropper. Questa strategia non è puramente estetica: l'inserimento di tali caratteri serve a disturbare i sistemi di rilevamento basati su firme, rendendo il codice estremamente "rumoroso" e difficile da analizzare per i motori di scansione tradizionali. L'obiettivo è quello di confondere sia gli analisti umani che gli algoritmi di rilevamento automatico, frammentando la struttura logica dello script.
Una volta attivato, il malware non si limita a infettare il sistema, ma adotta una strategia di esecuzione avanzata. Utilizzando il DonutLoader, il payload finale viene iniettato direttamente nella memoria del processo tramite reflective PE injection. Questo significa che il binario malevolo non viene mai scritto fisicamente sul disco rigido, rendendo inefficaci i comuni scanner basati su file.
Per proteggersi ulteriormente, Agent Tesla v4 implementa diverse contromisure:
Una volta stabilita la persistenza, il malware avvia una scansione capillare per sottrarre credenziali da browser web, client di messaggistica e repository di sistema Windows. Inoltre, integra funzionalità di keylogger e monitoraggio degli appunti per intercettare dati in tempo reale. I dati esfiltrati, corredati da un header contenente informazioni dettagliate sull'hardware e sul sistema, vengono inviati a un server FTP controllato dagli attaccanti in pochi secondi.
Nonostante la complessità della tecnica, i ricercatori sottolineano che la minaccia è mitigabile. Le regole YARA possono essere configurate per identificare la combinazione specifica tra la distribuzione di caratteri Unicode e le chiamate tipiche di WScript.Shell o CreateObject. Le aziende sono invitate ad aggiornare le proprie policy di sicurezza email e a monitorare attentamente le anomalie nelle chiamate di sistema per bloccare il dropper prima che possa completare la fase di iniezione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
