Agent Tesla
Qué es
Agent Tesla es un troyano espía escrito en .NET para Windows. Registra lo que se teclea, captura el portapapeles y toma capturas de pantalla, y recolecta credenciales de navegadores, clientes de correo y archivos locales.
Cómo llega
Llega a las víctimas a través de correos de phishing que se disfrazan de propuestas de negocio o solicitudes de revisión de listas de productos.
Qué hace una vez dentro
Exfiltra la información recopilada a través de canales HTTP(S), SMTP, FTP o Telegram. Su código y técnicas de manejo de configuración son reutilizados por variantes como OriginLogger.
A quién ataca
Ataca sistemas operativos Windows.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Spearphishing Attachment | T1566.001 |
| Ejecución | Windows Management Instrumentation | T1047 |
| Ejecución | Scheduled Task | T1053.005 |
| Ejecución | Exploitation for Client Execution | T1203 |
| Ejecución | Malicious File | T1204.002 |
| Persistencia | Registry Run Keys / Startup Folder | T1547.001 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Process Injection | T1055 |
| Sigilo | Process Hollowing | T1055.012 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Sigilo | Regsvcs/Regasm | T1218.009 |
| Sigilo | Virtualization/Sandbox Evasion | T1497 |
| Sigilo | Hidden Files and Directories | T1564.001 |
| Sigilo | Hidden Window | T1564.003 |
| Debilitamiento de defensas | Modify Registry | T1112 |
| Debilitamiento de defensas | Disable or Modify Tools | T1685 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Acceso a credenciales | Credentials in Registry | T1552.002 |
| Acceso a credenciales | Credentials from Password Stores | T1555 |
| Acceso a credenciales | Credentials from Web Browsers | T1555.003 |
| Descubrimiento | System Network Configuration Discovery | T1016 |
| Descubrimiento | Wi-Fi Discovery | T1016.002 |
| Descubrimiento | System Owner/User Discovery | T1033 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | System Information Discovery | T1082 |
| Descubrimiento | Local Account | T1087.001 |
| Descubrimiento | System Time Discovery | T1124 |
| Recolección | Keylogging | T1056.001 |
| Recolección | Screen Capture | T1113 |
| Recolección | Clipboard Data | T1115 |
| Recolección | Video Capture | T1125 |
| Recolección | Browser Session Hijacking | T1185 |
| Recolección | Archive Collected Data | T1560 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Mail Protocols | T1071.003 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Exfiltración | Exfiltration Over Unencrypted Non-C2 Protocol | T1048.003 |
Fuente: MITRE ATT&CK v20 (S0331).
Grupos que la usan
Uso documentado por MITRE ATT&CK, o por Malpedia confirmado con AlienVault OTX. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 1 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 53 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 21-oct-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
← Todo el catálogo de armamento