มัลแวร์ Agent Tesla แพร่กระจายผ่านเอกสาร Microsoft Word เมื่อปีที่แล้วและตอนนี้กลับมาหลอกหลอนเรา สปายแวร์รุ่นล่าสุดขอให้ผู้ที่ตกเป็นเหยื่อดับเบิลคลิกที่ไอคอนสีน้ำเงินเพื่อเปิดใช้งานมุมมองที่ชัดเจนยิ่งขึ้นในเอกสาร Word

หากผู้ใช้เลินเล่อพอที่จะคลิกมันจะส่งผลให้เกิดการแตกไฟล์. exe จากวัตถุฝังตัวลงในโฟลเดอร์ชั่วคราวของระบบแล้วเรียกใช้ นี่เป็นเพียงตัวอย่างของการทำงานของมัลแวร์

มัลแวร์เขียนใน MS Visual Basic

มัลแวร์เขียนด้วยภาษา MS Visual Basic และวิเคราะห์โดย Xiaopeng Zhang ผู้โพสต์การวิเคราะห์อย่างละเอียดในบล็อกของเขาเมื่อวันที่ 5 เมษายน

ไฟล์เรียกทำงานที่พบโดยเขาถูกเรียกว่า POM.exe และเป็นโปรแกรมติดตั้งประเภทหนึ่ง เมื่อสิ่งนี้วิ่งมันจะลดสองไฟล์ชื่อ filename.exe และ filename.vbs ลงในโฟลเดอร์ย่อย% temp% เพื่อให้มันทำงานโดยอัตโนมัติเมื่อเริ่มต้นไฟล์จะเพิ่มตัวเองลงในรีจิสทรีของระบบเป็นโปรแกรมเริ่มต้นและจะเรียกใช้% temp% filename.exe

มัลแวร์สร้างกระบวนการลูกที่ถูกระงับ

เมื่อ filename.exe เริ่มต้นสิ่งนี้จะนำไปสู่การสร้างกระบวนการลูกที่ถูกระงับด้วยวิธีการเดียวกันเพื่อป้องกันตัวเอง

หลังจากนี้มันจะแยกไฟล์ PE ใหม่จากทรัพยากรของตนเองเพื่อเขียนทับหน่วยความจำของกระบวนการลูก จากนั้นการดำเนินการของโพรเซสลูกกลับมาทำงานอีกครั้ง