O malware do agente Tesla se espalhou pelos documentos do Microsoft Word no ano passado e agora voltou a nos assombrar. A última variante do spyware pede às vítimas que cliquem duas vezes em um ícone azul para permitir uma visualização mais clara em um documento do Word.

Se o usuário não tiver o suficiente para clicar nele, isso resultará na extração de um arquivo.exe do objeto incorporado na pasta temporária do sistema e, em seguida, executá-lo. Este é apenas um exemplo de como esse malware funciona.

O malware está escrito no MS Visual Basic

O malware foi escrito na linguagem MS Visual Basic e foi analisado por Xiaopeng Zhang, que postou a análise detalhada em seu blog em 5 de abril.

O arquivo executável encontrado por ele se chamava POM.exe e é uma espécie de programa de instalação. Quando isso foi executado, ele soltou dois arquivos denominados filename.exe e filename.vbs na subpasta% temp%. Para executá-lo automaticamente na inicialização, o arquivo se adiciona ao registro do sistema como um programa de inicialização e executa% temp% filename.exe.

O malware cria um processo filho suspenso

Quando o nome do arquivo.exe é iniciado, isso leva à criação de um processo filho suspenso com o mesmo que para se proteger.

Depois disso, ele extrairá um novo arquivo PE de seu próprio recurso para substituir a memória do processo filho. Em seguida, é retomada a execução do processo filho.