Agent Tesla malware ble spredt via Microsoft Word-dokumenter i fjor, og nå kom det tilbake til å hjemsøke oss. Den siste varianten av spionprogramvaren ber ofrene om å dobbeltklikke på et blått ikon for å muliggjøre et tydeligere syn i et Word-dokument.

Hvis brukeren er uforsiktig nok til å klikke på den, vil dette resultere i ekstraksjon av en.exe-fil fra det innebygde objektet i systemets midlertidige mappe og deretter kjøre den. Dette er bare et eksempel på hvordan denne skadelige programvaren fungerer.

Malware er skrevet i MS Visual Basic

Malware er skrevet på MS Visual Basic-språket, og det ble analysert av Xiaopeng Zhang som la ut den detaljerte analysen på bloggen sin 5. april.

Den kjørbare filen som ble funnet av ham ble kalt POM.exe, og det er et slags installasjonsprogram. Da dette kjørte, slapp det to filer med navnet filename.exe og filename.vbs i undermappen% temp%. For å få den til å kjøres automatisk ved oppstart, legger filen seg til systemregisteret som et oppstartprogram, og den kjører% temp% filename.exe.

Den skadelige programvaren oppretter en suspendert barneprosess

Når filename.exe starter, vil dette føre til at det opprettes en suspendert barneprosess med den samme som for å beskytte seg selv.

Etter dette vil den trekke ut en ny PE-fil fra sin egen ressurs for å overskrive barneprosessens minne. Deretter kommer gjenopptakelsen av utførelsen av barneprosessen.