ຜົນຕອບແທນລົ້ມເຫລວ: ປ່ອຍໃຫ້ AgentTesla ລ້າງນໍ້າສະອາດ. ພາກທີ 3

ດ້ວຍບົດຄວາມນີ້ພວກເຮົາເຮັດສໍາເລັດຊຸດຂອງສິ່ງພິມທີ່ອຸທິດໃຫ້ກັບການວິເຄາະຂອງຊອບແວທີ່ເປັນອັນຕະລາຍ. IN ສ່ວນທໍາອິດ ພວກເຮົາໄດ້ເຮັດການວິເຄາະລາຍລະອຽດຂອງໄຟລ໌ທີ່ຕິດເຊື້ອທີ່ບໍລິສັດເອີຣົບໄດ້ຮັບທາງໄປສະນີແລະຄົ້ນພົບ spyware AgentTesla ຢູ່ທີ່ນັ້ນ. ໃນ ສ່ວນທີສອງ ໄດ້ອະທິບາຍຜົນຂອງການວິເຄາະເທື່ອລະຂັ້ນຕອນຂອງໂມດູນ AgentTesla ຕົ້ນຕໍ.

ມື້ນີ້ Ilya Pomerantsev, ຜູ້ຊ່ຽວຊານໃນການວິເຄາະ malware ຢູ່ CERT Group-IB, ຈະເວົ້າກ່ຽວກັບຂັ້ນຕອນທໍາອິດຂອງການວິເຄາະ malware - ການ unpacking semi-automatic ຂອງ AgentTesla ຕົວຢ່າງໂດຍໃຊ້ຕົວຢ່າງຂອງສາມ mini-cases ຈາກການປະຕິບັດຂອງຜູ້ຊ່ຽວຊານ CERT Group-IB.

ໂດຍປົກກະຕິ, ຂັ້ນຕອນທໍາອິດໃນການວິເຄາະ malware ແມ່ນການກໍາຈັດການປົກປ້ອງໃນຮູບແບບຂອງ packer, cryptor, protector ຫຼື loader. ໃນກໍລະນີຫຼາຍທີ່ສຸດ, ບັນຫານີ້ສາມາດແກ້ໄຂໄດ້ໂດຍການແລ່ນ malware ແລະດໍາເນີນການ dump, ແຕ່ມີສະຖານະການທີ່ວິທີການນີ້ບໍ່ເຫມາະສົມ. ຕົວຢ່າງ, ຖ້າມັນແວເປັນຕົວເຂົ້າລະຫັດ, ຖ້າມັນປົກປ້ອງພື້ນທີ່ຫນ່ວຍຄວາມຈໍາຂອງມັນຈາກການຖືກຖິ້ມ, ຖ້າລະຫັດມີກົນໄກການກວດພົບເຄື່ອງ virtual, ຫຼືຖ້າ malware reboots ທັນທີຫຼັງຈາກເລີ່ມຕົ້ນ. ໃນກໍລະນີດັ່ງກ່າວ, ອັນທີ່ເອີ້ນວ່າ "ເຄິ່ງອັດຕະໂນມັດ" unpacking ຖືກນໍາໃຊ້, ນັ້ນແມ່ນ, ນັກຄົ້ນຄວ້າໄດ້ຄວບຄຸມຂະບວນການທັງຫມົດແລະສາມາດແຊກແຊງໄດ້ທຸກເວລາ. ໃຫ້ພິຈາລະນາຂັ້ນຕອນນີ້ໂດຍໃຊ້ສາມຕົວຢ່າງຂອງຄອບຄົວ AgentTesla ເປັນຕົວຢ່າງ. ນີ້ເປັນ malware ທີ່ຂ້ອນຂ້າງເປັນອັນຕະລາຍຖ້າຫາກວ່າທ່ານປິດການເຂົ້າເຖິງເຄືອຂ່າຍຂອງຕົນ.

ຕົວຢ່າງທີ 1

ໄຟລ໌ຕົ້ນສະບັບແມ່ນເອກະສານ MS Word ທີ່ຂຸດຄົ້ນຊ່ອງໂຫວ່ CVE-2017-11882.

ດັ່ງນັ້ນ, payload ໄດ້ຖືກດາວໂຫຼດແລະເປີດຕົວ.

ການວິເຄາະຕົ້ນໄມ້ຂະບວນການແລະເຄື່ອງຫມາຍພຶດຕິກໍາສະແດງໃຫ້ເຫັນການສັກຢາເຂົ້າໄປໃນຂະບວນການ RegAsm.exe.

ມີເຄື່ອງໝາຍພຶດຕິກຳທີ່ມີລັກສະນະຂອງ AgentTesla.

ຕົວຢ່າງທີ່ດາວໂຫຼດມາແມ່ນອັນທີ່ປະຕິບັດໄດ້ ສຸດທິ- ໄຟລ​໌​ທີ່​ໄດ້​ຮັບ​ການ​ປ້ອງ​ກັນ​ໂດຍ​ຜູ້​ປົກ​ປ້ອງ​ .NET Reactor.

ໃຫ້ເປີດມັນຢູ່ໃນຜົນປະໂຫຍດ dnSpy x86 ແລະຍ້າຍໄປຫາຈຸດເຂົ້າ.

ໂດຍໄປທີ່ຫນ້າທີ່ DateTimeOffset, ພວກເຮົາຈະຊອກຫາລະຫັດເບື້ອງຕົ້ນສໍາລັບການໃຫມ່ ສຸດທິ- ໂມດູນ. ໃຫ້ຂອງ ຈຸດຢຸດ ໃນເສັ້ນທີ່ພວກເຮົາສົນໃຈແລະດໍາເນີນການໄຟລ໌.

ໃນຫນຶ່ງຂອງ buffers ກັບຄືນມາທ່ານສາມາດເບິ່ງລາຍເຊັນ MZ (0x4D 0x5A). ໃຫ້ບັນທຶກມັນ.

ໄຟລ໌ປະຕິບັດການຖິ້ມຂີ້ເຫຍື້ອແມ່ນຫ້ອງສະຫມຸດແບບເຄື່ອນໄຫວທີ່ເປັນຕົວໂຫລດ, i.e. ສະກັດ payload ຈາກພາກສ່ວນຊັບພະຍາກອນແລະເປີດຕົວມັນ.

ໃນຂະນະດຽວກັນ, ຊັບພະຍາກອນທີ່ຈໍາເປັນຂອງຕົນເອງບໍ່ມີຢູ່ໃນບ່ອນຖິ້ມຂີ້ເຫຍື້ອ. ພວກເຂົາຢູ່ໃນຕົວຢ່າງຂອງພໍ່ແມ່.

ປະໂຫຍດ dnSpy ມີສອງຫນ້າທີ່ທີ່ເປັນປະໂຫຍດທີ່ສຸດທີ່ຈະຊ່ວຍໃຫ້ພວກເຮົາສ້າງ "Frankenstein" ຢ່າງໄວວາຈາກສອງໄຟລ໌ທີ່ກ່ຽວຂ້ອງ.

1. ອັນທໍາອິດອະນຸຍາດໃຫ້ທ່ານ "ວາງ" ຫ້ອງສະຫມຸດແບບເຄື່ອນໄຫວເຂົ້າໄປໃນຕົວຢ່າງຂອງພໍ່ແມ່.

   

2. ອັນທີສອງແມ່ນການຂຽນຄືນລະຫັດຟັງຊັນຢູ່ໃນຈຸດເຂົ້າເພື່ອໂທຫາວິທີການທີ່ຕ້ອງການຂອງຫ້ອງສະຫມຸດແບບເຄື່ອນໄຫວທີ່ໃສ່.

   

ພວກເຮົາຊ່ວຍປະຢັດ "Frankenstein", ຂອງພວກເຮົາ ຈຸດຢຸດ ໃນເສັ້ນສົ່ງຄືນ buffer ກັບຊັບພະຍາກອນທີ່ຖອດລະຫັດ, ແລະຜະລິດ dump ໂດຍການປຽບທຽບກັບຂັ້ນຕອນທີ່ຜ່ານມາ.

ການຖິ້ມຂີ້ເຫຍື້ອທີສອງແມ່ນຂຽນໃນ VB.NET ໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ທີ່ຖືກປົກປ້ອງໂດຍຜູ້ປົກປ້ອງທີ່ຄຸ້ນເຄີຍກັບພວກເຮົາ ConfuserEx.

ຫຼັງຈາກຖອນຕົວປ້ອງກັນອອກ, ພວກເຮົາໃຊ້ກົດລະບຽບ YARA ທີ່ຂຽນໄວ້ກ່ອນຫນ້ານີ້ແລະໃຫ້ແນ່ໃຈວ່າມັນແວທີ່ບໍ່ໄດ້ຫຸ້ມຫໍ່ແມ່ນ AgentTesla ແທ້ໆ.

ຕົວຢ່າງທີ 2

ໄຟລ໌ຕົ້ນສະບັບແມ່ນເອກະສານ MS Excel. ມະຫາພາກທີ່ສ້າງຂຶ້ນໃນຕົວເຮັດໃຫ້ລະຫັດອັນຕະລາຍ.

ດັ່ງນັ້ນ, ສະຄຣິບ PowerShell ຖືກເປີດໃຊ້.

ສະຄຣິບຖອດລະຫັດ C# ແລະໂອນການຄວບຄຸມໄປຫາມັນ. ລະຫັດຕົວມັນເອງແມ່ນ bootloader, ດັ່ງທີ່ຍັງສາມາດເຫັນໄດ້ຈາກບົດລາຍງານ sandbox.

payload ແມ່ນປະຕິບັດໄດ້ ສຸດທິ- ໄຟລ໌.

ການເປີດໄຟລ໌ໃນ dnSpy x86, ທ່ານ​ສາ​ມາດ​ເຫັນ​ໄດ້​ວ່າ​ມັນ​ແມ່ນ​ເຮັດ​ໃຫ້​ບໍ່​ພໍ​ໃຈ​. ການກໍາຈັດຄວາມຫຍາບຄາຍໂດຍໃຊ້ປະໂຫຍດ de4dot ແລະກັບຄືນໄປຫາການວິເຄາະ.

ເມື່ອກວດເບິ່ງລະຫັດ, ທ່ານອາດຈະຄົ້ນພົບຫນ້າທີ່ຕໍ່ໄປນີ້:

ສາຍທີ່ເຂົ້າລະຫັດແມ່ນໂດດເດັ່ນ ຈຸດເຂົ້າ и ຂໍ. ພວກເຮົາວາງ ຈຸດຢຸດ ໄປຫາແຖວທໍາອິດ, ແລ່ນແລະບັນທຶກຄ່າ buffer byte_0.

ການຖິ້ມຂີ້ເຫຍື້ອແມ່ນເປັນຄໍາຮ້ອງສະຫມັກອີກເທື່ອຫນຶ່ງ ສຸດທິ ແລະຖືກປົກປ້ອງ ConfuserEx.

ພວກ​ເຮົາ​ເອົາ​ຄວາມ​ຫຍຸ້ງ​ຍາກ​ອອກ​ໂດຍ​ນໍາ​ໃຊ້​ de4dot ແລະອັບໂຫລດໃສ່ dnSpy. ຈາກຄໍາອະທິບາຍໄຟລ໌ພວກເຮົາເຂົ້າໃຈວ່າພວກເຮົາປະເຊີນກັບ ເຄື່ອງໂຫລດ CyaX-Sharp.

loader ນີ້ມີຫນ້າທີ່ຕ້ານການວິເຄາະຢ່າງກວ້າງຂວາງ.

ຟັງຊັນນີ້ລວມມີການຂ້າມຜ່ານລະບົບປ້ອງກັນ Windows ທີ່ມີໃນຕົວ, ປິດການໃຊ້ງານ Windows Defender, ເຊັ່ນດຽວກັນກັບ sandbox ແລະກົນໄກການຊອກຄົ້ນຫາ virtual machine. ມັນເປັນໄປໄດ້ທີ່ຈະໂຫລດ payload ຈາກເຄືອຂ່າຍຫຼືເກັບຮັກສາມັນຢູ່ໃນພາກສ່ວນຊັບພະຍາກອນ. ການເປີດຕົວແມ່ນປະຕິບັດໂດຍຜ່ານການສີດເຂົ້າໄປໃນຂະບວນການຂອງຕົນເອງ, ເຂົ້າໄປໃນຊ້ໍາກັນຂອງຂະບວນການຂອງຕົນເອງ, ຫຼືເຂົ້າໄປໃນຂະບວນການ MSBuild.exe, vbc.exe и RegSvcs.exe ຂຶ້ນກັບພາລາມິເຕີທີ່ຜູ້ໂຈມຕີເລືອກ.

ຢ່າງໃດກໍຕາມ, ສໍາລັບພວກເຮົາພວກເຂົາແມ່ນຫນ້ອຍທີ່ສໍາຄັນ AntiDump- ຫນ້າ​ທີ່​ເພີ່ມ​ ConfuserEx. ລະຫັດແຫຼ່ງຂອງມັນສາມາດພົບໄດ້ທີ່ GitHub.

ເພື່ອປິດການປ້ອງກັນ, ພວກເຮົາຈະໃຊ້ໂອກາດ dnSpy, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານສາມາດແກ້ໄຂ IL- ລະ​ຫັດ​.

ບັນທຶກແລະຕິດຕັ້ງ ຈຸດຢຸດ ໄປຫາສາຍການເອີ້ນຟັງຊັນການຖອດລະຫັດ payload. ມັນຕັ້ງຢູ່ໃນ constructor ຂອງຫ້ອງຮຽນຕົ້ນຕໍ.

ພວກເຮົາເປີດຕົວແລະຖິ້ມ payload. ການນໍາໃຊ້ກົດລະບຽບ YARA ທີ່ຂຽນໄວ້ກ່ອນຫນ້ານີ້, ພວກເຮົາໃຫ້ແນ່ໃຈວ່ານີ້ແມ່ນ AgentTesla.

ຕົວຢ່າງທີ 3

ໄຟລ໌ແຫຼ່ງແມ່ນສາມາດປະຕິບັດໄດ້ VB Native PE32- ໄຟລ໌.

ການ​ວິ​ເຄາະ Entropy ສະ​ແດງ​ໃຫ້​ເຫັນ​ການ​ມີ​ຂອງ​ສິ້ນ​ຂະ​ຫນາດ​ໃຫຍ່​ຂອງ​ຂໍ້​ມູນ​ທີ່​ເຂົ້າ​ລະ​ຫັດ​.

ໃນເວລາທີ່ການວິເຄາະແບບຟອມຄໍາຮ້ອງສະຫມັກໃນ VB Decompiler ທ່ານອາດຈະສັງເກດເຫັນພື້ນຫລັງ pixelated ແປກ.

ກຣາຟ Entropy bmp-image ແມ່ນຄືກັນກັບເສັ້ນສະແດງ entropy ຂອງໄຟລ໌ຕົ້ນສະບັບ, ແລະຂະຫນາດແມ່ນ 85% ຂອງຂະຫນາດໄຟລ໌.

ລັກສະນະທົ່ວໄປຂອງຮູບພາບຊີ້ໃຫ້ເຫັນເຖິງການນໍາໃຊ້ steganography.

ໃຫ້ເອົາໃຈໃສ່ກັບຮູບລັກສະນະຂອງຕົ້ນໄມ້ຂະບວນການ, ເຊັ່ນດຽວກັນກັບການປະກົດຕົວຂອງເຄື່ອງຫມາຍສີດ.

ນີ້ຊີ້ບອກວ່າການ unpacking ກໍາລັງດໍາເນີນຢູ່. ສໍາລັບ Visual Basic loaders (aka VBKrypt ຫຼື VBInjector) ການ​ນໍາ​ໃຊ້​ປົກ​ກະ​ຕິ​ shellcode ເພື່ອເລີ່ມຕົ້ນການໂຫຼດ, ເຊັ່ນດຽວກັນກັບການສີດຕົວມັນເອງ.

ການວິເຄາະໃນ VB Decompiler ສະແດງໃຫ້ເຫັນການປະກົດຕົວຂອງເຫດການ Load ຢູ່ໃນແບບຟອມ FegatassocAirballoon2.

ໃຫ້ຂອງໄປ IDA pro ໄປຫາທີ່ຢູ່ທີ່ກໍານົດໄວ້ແລະສຶກສາຫນ້າທີ່. ລະຫັດແມ່ນສັບສົນຫຼາຍ. ຊິ້ນສ່ວນທີ່ພວກເຮົາສົນໃຈແມ່ນໄດ້ນໍາສະເຫນີຂ້າງລຸ່ມນີ້.

ນີ້ແມ່ນພື້ນທີ່ທີ່ຢູ່ຂອງຂະບວນການແມ່ນສະແກນລາຍເຊັນ. ວິທີການນີ້ແມ່ນຫນ້າສົງໄສທີ່ສຸດ.

ຫນ້າທໍາອິດ, ທີ່ຢູ່ເລີ່ມຕົ້ນການສະແກນ 0x400100. ຄ່ານີ້ແມ່ນຄົງທີ່ ແລະບໍ່ໄດ້ຖືກປັບເມື່ອຖານຖືກປ່ຽນ. ໃນເງື່ອນໄຂເຮືອນແກ້ວທີ່ເຫມາະສົມມັນຈະຊີ້ໃຫ້ເຫັນເຖິງຈຸດສິ້ນສຸດ PE- ຫົວ​ຂໍ້​ຂອງ​ໄຟລ​໌​ປະ​ຕິ​ບັດ​ໄດ້​. ຢ່າງໃດກໍ່ຕາມ, ຖານຂໍ້ມູນບໍ່ຄົງທີ່, ມູນຄ່າຂອງມັນສາມາດປ່ຽນແປງໄດ້, ແລະການຊອກຫາທີ່ຢູ່ທີ່ແທ້ຈິງຂອງລາຍເຊັນທີ່ຕ້ອງການ, ເຖິງແມ່ນວ່າມັນຈະບໍ່ເຮັດໃຫ້ເກີດການລົ້ນຕົວແປ, ສາມາດໃຊ້ເວລາຫຼາຍ.

ອັນທີສອງ, ຄວາມຫມາຍຂອງລາຍເຊັນ iWGK. ຂ້າພະເຈົ້າຄິດວ່າມັນເຫັນໄດ້ຊັດເຈນວ່າ 4 bytes ແມ່ນນ້ອຍເກີນໄປທີ່ຈະຮັບປະກັນຄວາມເປັນເອກະລັກ. ແລະຖ້າທ່ານຄໍານຶງເຖິງຈຸດທໍາອິດ, ຄວາມເປັນໄປໄດ້ຂອງການເຮັດຜິດພາດແມ່ນຂ້ອນຂ້າງສູງ.

ໃນ​ຄວາມ​ເປັນ​ຈິງ, fragment ທີ່​ຕ້ອງ​ການ​ແມ່ນ​ຕິດ​ຢູ່​ໃນ​ຕອນ​ທ້າຍ​ຂອງ​ການ​ພົບ​ເຫັນ​ໃນ​ເມື່ອ​ກ່ອນ bmp- ຮູບ​ພາບ​ໂດຍ​ການ​ຊົດ​ເຊີຍ​ 0xA1D0D.

ການປະຕິບັດ ລະຫັດ Shell ດໍາເນີນໃນສອງຂັ້ນຕອນ. ທໍາອິດ deciphers ຮ່າງກາຍຕົ້ນຕໍ. ໃນກໍລະນີນີ້, ກຸນແຈຖືກກໍານົດໂດຍ brute force.

ຖິ້ມອັນທີ່ຖອດລະຫັດໄວ້ ລະຫັດ Shell ແລະເບິ່ງເສັ້ນ.

ກ່ອນອື່ນ ໝົດ, ພວກເຮົາຮູ້ ໜ້າ ທີ່ເພື່ອສ້າງຂະບວນການເດັກນ້ອຍ: ສ້າງProcessInternalW.

ອັນທີສອງ, ພວກເຮົາຮູ້ເຖິງກົນໄກການແກ້ໄຂໃນລະບົບ.

ໃຫ້ກັບຄືນໄປບ່ອນຂະບວນການຕົ້ນສະບັບ. ໃຫ້ຂອງ ຈຸດຢຸດ ສຸດ ສ້າງProcessInternalW ແລະສືບຕໍ່ປະຕິບັດ. ຕໍ່ໄປພວກເຮົາເບິ່ງການເຊື່ອມຕໍ່ NtGetContextThread/NtSetContextThread, ເຊິ່ງປ່ຽນທີ່ຢູ່ເລີ່ມຕົ້ນການປະຕິບັດໄປຫາທີ່ຢູ່ ລະຫັດ Shell.

ພວກເຮົາເຊື່ອມຕໍ່ກັບຂະບວນການທີ່ສ້າງຂຶ້ນດ້ວຍ debugger ແລະເປີດໃຊ້ເຫດການ ໂຈະການໂຫຼດ/ຖອນຫ້ອງສະໝຸດ, ສືບຕໍ່ຂະບວນການແລະລໍຖ້າການໂຫຼດ ສຸດທິ- ຫ້ອງ​ສະ​ຫມຸດ​.

ການນໍາໃຊ້ຕື່ມອີກ ProcessHacker dump ພາກພື້ນທີ່ບັນຈຸ unpacked ສຸດທິ- ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​.

ພວກເຮົາຢຸດເຊົາຂະບວນການທັງຫມົດແລະລຶບສໍາເນົາຂອງ malware ທີ່ໄດ້ກາຍເປັນຝັງຢູ່ໃນລະບົບ.

ໄຟລ໌ທີ່ຖືກຖິ້ມຖືກປົກປ້ອງໂດຍຜູ້ປົກປ້ອງ .NET Reactor, ຊຶ່ງສາມາດເອົາອອກໄດ້ຢ່າງງ່າຍດາຍໂດຍໃຊ້ປະໂຫຍດ de4dot.

ການນໍາໃຊ້ກົດລະບຽບ YARA ທີ່ຂຽນໄວ້ກ່ອນຫນ້ານີ້, ພວກເຮົາໃຫ້ແນ່ໃຈວ່ານີ້ແມ່ນ AgentTesla.

ຂໍໃຫ້ສະຫຼຸບ

ດັ່ງນັ້ນ, ພວກເຮົາໄດ້ສະແດງໃຫ້ເຫັນຢ່າງລະອຽດກ່ຽວກັບຂະບວນການ unpacking ຕົວຢ່າງເຄິ່ງອັດຕະໂນມັດໂດຍໃຊ້ສາມ mini-case ເປັນຕົວຢ່າງ, ແລະຍັງໄດ້ວິເຄາະ malware ໂດຍອີງໃສ່ກໍລະນີທີ່ເຕັມໄປດ້ວຍ, ຊອກຫາວ່າຕົວຢ່າງທີ່ກໍາລັງສຶກສາແມ່ນ AgentTesla, ສ້າງຕັ້ງຫນ້າທີ່ຂອງມັນແລະ a. ບັນຊີລາຍຊື່ຄົບຖ້ວນຂອງຕົວຊີ້ວັດຂອງການປະນີປະນອມ.

ການວິເຄາະວັດຖຸທີ່ເປັນອັນຕະລາຍທີ່ພວກເຮົາປະຕິບັດຕ້ອງໃຊ້ເວລາແລະຄວາມພະຍາຍາມຫຼາຍ, ແລະວຽກງານນີ້ຄວນຈະຖືກປະຕິບັດໂດຍພະນັກງານພິເສດໃນບໍລິສັດ, ແຕ່ບໍ່ແມ່ນບໍລິສັດທັງຫມົດພ້ອມທີ່ຈະຈ້າງນັກວິເຄາະ.

ຫນຶ່ງໃນການບໍລິການທີ່ສະຫນອງໂດຍຫ້ອງທົດລອງ Group-IB ຂອງຄອມພິວເຕີ Forensics ແລະການວິເຄາະລະຫັດທີ່ເປັນອັນຕະລາຍແມ່ນການຕອບສະຫນອງຕໍ່ເຫດການທາງອິນເຕີເນັດ. ແລະເພື່ອໃຫ້ລູກຄ້າບໍ່ເສຍເວລາໃນການອະນຸມັດເອກະສານແລະສົນທະນາໃນທ່າມກາງການໂຈມຕີທາງອິນເຕີເນັດ, Group-IB ເປີດຕົວ. ຜູ້ຮັກສາການຕອບໂຕ້ເຫດການ, ການບໍລິການຕອບໂຕ້ເຫດການລ່ວງໜ້າການສະໝັກສະມາຊິກ ເຊິ່ງລວມມີຂັ້ນຕອນການວິເຄາະມາລແວ. ຂໍ້ມູນເພີ່ມເຕີມກ່ຽວກັບເລື່ອງນີ້ສາມາດພົບໄດ້ ທີ່ນີ້.

ຖ້າທ່ານຕ້ອງການສຶກສາອີກເທື່ອຫນຶ່ງວ່າຕົວຢ່າງຂອງ AgentTesla ຖືກຫຸ້ມແລະເບິ່ງວິທີການທີ່ຜູ້ຊ່ຽວຊານ CERT Group-IB ເຮັດມັນ, ທ່ານສາມາດດາວໂຫລດບັນທຶກ webinar ໃນຫົວຂໍ້ນີ້. ທີ່ນີ້.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com