Il malware dell'agente Tesla si è diffuso attraverso i documenti di Microsoft Word l'anno scorso e ora è tornato a perseguitarci. L'ultima variante dello spyware chiede alle vittime di fare doppio clic su un'icona blu per consentire una visione più chiara in un documento di Word.

Se l'utente è abbastanza distratto da fare clic su di esso, ciò comporterà l'estrazione di un file.exe dall'oggetto incorporato nella cartella temporanea del sistema e quindi eseguirlo. Questo è solo un esempio di come funziona questo malware.

Il malware è scritto in MS Visual Basic

Il malware è scritto nel linguaggio MS Visual Basic ed è stato analizzato da Xiaopeng Zhang che ha pubblicato l'analisi dettagliata sul suo blog il 5 aprile.

Il file eseguibile trovato da lui si chiamava POM.exe ed è una sorta di programma di installazione. Quando è stato eseguito, ha eliminato due file denominati nomefile.exe e nomefile.vbs nella sottocartella% temp%. Per farlo funzionare automaticamente all'avvio, il file si aggiunge al registro di sistema come programma di avvio ed esegue% temp% nomefile.exe.

Il malware crea un processo figlio sospeso

All'avvio di nomefile.exe, ciò porterà alla creazione di un processo figlio sospeso con lo stesso che per proteggersi.

Successivamente, estrarrà un nuovo file PE dalla propria risorsa per sovrascrivere la memoria del processo figlio. Quindi, viene la ripresa dell'esecuzione del processo figlio.