AgentTesla — c64e5665fc0fc87c200343d352bda7b933a9e19608998b22979be0cf4f88371c.exe [c64e5665]

Statik Analiz — AgentTesla | YÜKSEK | CVSS: 7.5

Dosya

SHA256	`c64e5665fc0fc87c200343d352bda7b933a9e19608998b22979be0cf4f88371c`
MD5	`ab4e93b58e6095f90e36faebafd8fe83`
Dosya	c64e5665fc0fc87c200343d352bda7b933a9e19608998b22979be0cf4f88371c.exe
Boyut	1,176,129 byte
Tür	PE32 executable for MS Windows 5.00 (GUI), Intel i386, 4 sections
Stringler	2,014

Bölümler

Ad	Entropi
`.text`	6.68
`.rdata`	4.8
`.data`	2.15
`.rsrc`	5.54

Import Tablosu

WSOCK32.dll
VERSION.dll
WINMM.dll
COMCTL32.dll
MPR.dll
WININET.dll
PSAPI.DLL
USERENV.dll
KERNEL32.dll
USER32.dll
GDI32.dll
COMDLG32.dll
ADVAPI32.dll
SHELL32.dll
ole32.dll

IOC

SHA256	`c64e5665fc0fc87c200343d352bda7b933a9e19608998b22979be0cf4f88371c`
MD5	`ab4e93b58e6095f90e36faebafd8fe83`
IP	`6.0.0.0`
Domain	`autoitscript.com`
C2	`autoitscript.com`

AgentTesla — Malware Profili

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

Malware Tipi

Infostealer

Programlama Dili

.NET

C2 Protokolü

SMTP/FTP

Hedef Sistemler

Windows

Diğer Adlar (AKA)

Agent Tesla

Teknik Detaylar

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

Atıf / Tehdit Aktörü

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

Yetenekler ve Davranış

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

IOC Listesi (2 gösterge)

IOC — AgentTesla

# IP
6.0.0.0 

# DOMAIN
autoitscript.com

Tür	Değer	Not
ip	6.0.0.0	C2 aday
domain	autoitscript.com	C2 domain

AgentTesla — Tam Profiline Git →

C2 Sunucuları (Bu aile için 8 kayıtlı sunucu)

Adres	Tür	Port	Protokol	Durum	Ülke
digicert.com	domain	—	TCP	active	—
stem.ru	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—
dublincore.org	domain	—	TCP	active	—
googleapis.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
freightfacilitators.com	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—

C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.

Etiketler

AgentTeslamalwarestatik-analizIOC