Agent Tesla : ce logiciel espion se cache derrière des emojis dans vos mails

Une nouvelle campagne de piratage insidieuse sévit depuis quelques jours. Pour faire mouche, elle dissimule le logiciel espion Agent Tesla derrière des emojis Unicode glissés dans le code d’une fausse pièce jointe bancaire. 

Un e-mail piégé peut désormais dissimuler un logiciel malveillant derrière des emojis en apparence anodins. Ces derniers peuvent être glissés directement dans le code d’une pièce jointe. C’est ce que révèle une campagne de piratage analysée par les chercheurs du KnowBe4 Threat Lab. Le message imite la Metropolitan Bank and Trust Company, une banque philippine, pour piéger des services financiers d’entreprises avec un faux virement à confirmer en urgence. Le logiciel malveillant a été dissimulé sous une pièce jointe intitulée SWIFT Payment Maker 103.

Un script JScript qui charge le malware directement en mémoire

La pièce jointe est un script JScript de près de 7 Mo. Elle cache son code malveillant derrière des émojis cœurs et des gouttes d’eau glissés tout au long du texte. À l’exécution, l’interpréteur Windows ignore ces caractères, mais leur présence brouille la détection par signature des antivirus et complique la relecture manuelle du code. Le script installe ensuite Agent Tesla, un logiciel espion actif depuis plus de dix ans, ici dans sa quatrième version.

Une fois ouvert, le fichier dépose deux éléments dans le dossier public C:\Users\Public\Libraries : un chargeur .NET au format exécutable, et un second fichier à l’extension trompeuse .ttf, qui dissimule en réalité le code encodé du logiciel espion. Le chargeur injecte ensuite un shellcode appelé DonutLoader, chargé de placer Agent Tesla directement en mémoire vive. L’exécutable final ne touche donc jamais le disque dur, ce qui réduit considérablement sa visibilité face aux outils de sécurité qui scrutent les fichiers.

Avant de collecter la moindre donnée, le programme multiplie les vérifications anti-analyse : 

•  interroge une fonction Windows pour repérer un débogueur actif, 
• vérifie s’il tourne sur une infrastructure cloud, 
• mesure des écarts de temps système pour détecter une machine virtuelle, 
• recherche des bibliothèques propres aux environnements d’analyse comme VMware ou VirtualBox. 

Tout cela lui permet de connaître son environnement afin d’adapter son comportement en conséquence.

Pour brouiller davantage les pistes, le programme se fait passer pour un exécutable Python légitime dans ses métadonnées, alors que son architecture réelle trahit un tout autre outil.

VOIR AUSSI : Liste et exemples des virus informatique les plus dangereux 👾

Des données volées transmises vers un serveur FTP

Une fois ces vérifications passées, le malware active 21 modules de récolte, ciblant une quarantaine de navigateurs, entre familles Chromium et Mozilla, les identifiants Outlook, Foxmail et Discord, ainsi que le gestionnaire d’identifiants de Windows. Pour les mots de passe stockés dans Chrome, le programme extrait la clé maîtresse chiffrée, la décode, retire l’en-tête de protection, puis déchiffre le tout. Le logiciel espion capture également les frappes de clavier et le contenu du presse-papiers.

Toutes les données récoltées, identifiants, captures d’écran et contacts, transitent ensuite vers un serveur FTP dédié. D’ailleurs, les identifiants de ce serveur apparaissent en clair dans le code du programme. Le chargeur copie enfin le programme dans le dossier AppData de la victime et inscrit une clé de démarrage dans le registre Windows, pour garantir sa réapparition à chaque ouverture de session.

Cette campagne rappelle une règle simple, mais souvent négligée en entreprise : sans des comportements négligents, il n’y a aucune porte d’entrée pour les malwares. Toute pièce jointe au format .js, en particulier lorsqu’elle évoque un paiement ou un virement urgent, doit être considérée comme suspecte par défaut.