Útočníci zneužívajú kompromitované e-mailové adresy na šírenie infostealera AGENT TESLA

19. mája 2026

Varovanie pred phishingovou kampaňou šíriacou malvér

Národné centrum kybernetickej bezpečnosti (NCKB) NBÚ varuje pred masívnou phishingovou kampaňou zameranou na širokú verejnosť. Jej cieľom je infikovať zariadenia obetí malvérom AGENT TESLA, ktorý slúži na získavanie citlivých údajov – napríklad prihlasovacích či bankových.

Útočníci rozposielajú e-mailové správy z legitímnych, avšak kompromitovaných adries. Obeť obdrží e-mailovú správu obsahujúcu krátky text s tematikou potvrdenia objednávky, ktorý ju nepriamo navádza na interakciu s priloženým súborom. Telo správy obsahuje krátky text, najčastejšie zmieňujúci „podpis a pečiatku“ a predvolený podpis „Odoslané z Outlooku pre Android“.

Charakter textu nevykazuje znaky spearphishingu, keďže nenaznačuje znalosť konkrétnych informácií o obeti a je pomerne vágny. V niektorých vzorkách možno pozorovať lexikálne chyby, ktoré mohli byť spôsobené využitím automatickej korekcie jazyka alebo strojovým prekladom. Pozorované boli aj jazykové mutácie v českom a maďarskom jazyku.

Príklady phishingových správ s redigovanými e-mailovými adresami

Priložený komprimovaný súbor má koncovku „.tar“ a názov v tvare dátumu a troj- až šesťmiestneho číselného kódu spojených pomlčkou (napr. 20260518-123456.tar). Predmetný archív obsahuje škodlivý súbor s príponou „.js“. Tento pomocou obfuskovaného JavaScript kódu spustí downloader, ktorý následne stiahne malvér schopný zbierať prihlasovacie údaje, monitorovať stlačenia kláves a obsah schránky a vytvárať snímky obrazovky. Citlivé údaje dokáže Agent Tesla exfiltrovať prostredníctvom viacerých kanálov – napríklad pomocou protokolov SMTP (Simple Mail Transfer Protocol), FTP (File Transfer Protocol), HTTP (HyperText Transfer Protocol), prípadne platformy Telegram.

Takto môže dôjsť ku kompromitácii prihlasovacích mien a hesiel, kľúčov, bankových údajov, ako aj iných citlivých informácií.

Agent Tesla:

Malvér známy ako „Agent Tesla“ je známy už od roku 2014, kedy bol prezentovaný ako údajne legitímny nástroj určený na vzdialené monitorovanie vlastného PC. Výrobcovia však boli prichytení pri poskytovaní návodov na obídenie detekcie či iných bezpečnostných opatrení priamo na oficiálnej platforme pre poskytovanie podpory používateľom.

Agent Tesla sa bežne distribuuje prostredníctvom modelu Malware-as-a-Service (MaaS), kedy je používateľom predávaný ako komplexná služba vrátane ovládacieho panelu, pravidelných aktualizácií a modulárnej funkcionality, ktorá presahuje rámec jednoduchého keyloggera.

Phishingové kampane šíriace tento malvér môžu byť generické alebo cielené a tematicky sa orientujú na zasielanie faktúr, potvrdenia o objednávkach, alebo dokumentáciu spojenú s dopravou produktov.

Priložené súbory s koncovkami „.tar“, „.rar“, „.gz“ alebo „.zip“ obsahujú obfuskovaný .js alebo .jse skript, prípadne škodlivý Word dokument obsahujúci downloader. Metódy, ktoré útočníci využívajú pre obchádzanie bezpečnostných prvkov, infekciu zariadení a dosiahnutie perzistencie, sa medzi jednotlivými kampaňami rôznia a priebežne vyvíjajú.

Odporúčania:

Vzhľadom na intenzitu a rozsah prebiehajúcej kampane NCKB pre účely prevencie odporúča:

Preventívne opatrenia:

Dodržiavanie základnej e-mailovej hygieny: nikdy neklikajte na odkazy a nesťahujte súbory, ktoré neočakávate, nepoznáte alebo sú podozrivého charakteru. Ak je to možné, preverte legitimitu správy prostredníctvom overených kanálov,
Aktivácia viacfaktorovej autentifikácie na všetkých dôležitých systémoch a službách, ktoré ju podporujú: aj v prípade odcudzenia prihlasovacích údajov tak vytvoríte dodatočnú prekážku útočníkovi,
Pravidelná aktualizácia používaného softvéru: Agent Tesla, ako aj iné druhy malvéru môžu zneužívať bezpečnostné zraniteľnosti.

Ak už incident nastal:

Izolácia zariadenia: okamžite odpojte zasiahnuté zariadenie od internetu za účelom prerušenia exfiltrácie údajov,
Reinštalácia zariadenia: vzhľadom na pokročilé schopnosti perzistencie odporúčame kompletné premazanie disku a reinštaláciu operačného systému,
Zmena prihlasovacích údajov: čo najrýchlejšie zmeňte prihlasovacie údaje všetkých služieb, do ktorých ste sa prihlasovali na zasiahnutom zariadení, počínajúc primárnou e-mailovou schránkou a bankovými účtami.
Dodatočná kontrola účtov: vykonanie kontroly nastavení účtov, pravidiel preposielania pošty a zoznam pripojených zariadení

Zdroje a odkazy:

« Späť na zoznam