AgentTesla Loader - Purchase Order Lure, AES Key: TeZFfjD34A7jvG75o6Nq9C9 (5a505f48) | Yuksek

Manuel Statik Analiz (LLM Okumali) — AgentTesla Loader (Yuksek Obfuscation) | Tehdit: HIGH

Bulgu: Bu ornek dogrudan AgentTesla degil; AgentTesla'yi sifrelenmis kaynak icerisinde barindiran, yuksek derecede obfuscated bir .NET loader'dir. Gercek SMTP konfigurasyonu runtime'da AES sifresizlestirmesiyle aciliyor.

Fichier Kimligi

SHA256	`5a505f489d40c545ddacf31c16898cc85d6cf4bb308ff8448e24bcc744932042`
Orijinal Ad	Purchase order.exe
Taille	1.586.817 byte (~1,5 MB)
Runtime	.NET Framework 4.5.1 / PE32+ (x64)
Assembly Adi	WindowsFormsApp4
GUID	94B35817-E9CA-477A-9F42-1A2184D47F00

Sosyal Muhendislik

Hedef	Satin alma / Finans departmanlari
Kimlik	"Purchase order.exe" — sahte satin alma siparisi eki
Dil ipucu	`Kostanay.Properties.Resources` — Kazakistan sehri (Kostanay); tehdit aktoru kaynak ipucu veya tersine muhendislik aldatmacasi

Loader Analizi

Sifreleme: RijndaelManaged (AES) — gonul ravisi payload sifresizlestirme
Sifre cozme anahtari: TeZFfjD34A7jvG75o6Nq9C9 (string icinde 3 kez tekrarlaniyor)
Payload: .rsrc bolumundeki sifrelenmis blob (Windows Forms uygulamasi kisivigi)
Timestamp: Gelecek tarih (tespit engellemek icin manipule edilmis)
Obfuscation: Neredeyse tum string'ler garbled / CamelCase birlesimi obfuscated isimler

Sifrelenmis C2 / SMTP Konfigurasyonu

SMTP konfigurasyonu (host, port, kullanici adi, sifre, alici adres) AES ile sifrelenmis. Analyse statique tek basina yeterli degil. Dinamik analiz (sandbox / memory dump) ile runtime'da acilan konfigurasyondan SMTP detaylari elde edilebilir.

IOC'lar

SHA256	`5a505f489d40c545ddacf31c16898cc85d6cf4bb308ff8448e24bcc744932042`
AES Anahtari (Loader)	`TeZFfjD34A7jvG75o6Nq9C9`
Assembly Namespace	Kostanay.Properties (kaynak ipucu: Kostanay/Kazakistan)
Timestamp Manipulasyonu	Gelecek zaman damgasi — tespit aldatmacasi

Teknik Ozet

"Purchase order.exe" isimli bu yuksek derecede obfuscated AgentTesla loader'i, klasik satin alma siparisi kimligini kullanarak finans ve satin alma departmanlarini hedef almaktadir. Icinde AES (RijndaelManaged) ile sifrelenmis gercek AgentTesla payload'i barindirmakta; TeZFfjD34A7jvG75o6Nq9C9 anahtariyla runtime'da sifre cozmektedir. String'lerin buyuk cogunlugu obfuscated oldugu icin SMTP konfigurasyonu statik analizle elde edilememistir. Ornek, Kazakhstanli bir yazar veya Kostanay sehri referansini aldatmaca olarak kullanan bir tehdit aktoru tarafindan uretilmis olabilir.

AgentTesla — Profil du malware

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

Type de malware

Infostealer

Langage de programmation

.NET

Protocole C2

SMTP/FTP

Systèmes ciblés

Windows

Aussi connu sous (AKA)

Agent Tesla

Détails techniques

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

Attribution / Acteur de la menace

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

Capacités et comportement

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

Liste IOC (2 indicateurs)

IOC — AgentTesla

# 
TeZFfjD34A7jvG75o6Nq9C9

# SHA256
5a505f489d40c545ddacf31c16898cc85d6cf4bb308ff8448e24bcc744932042

Type	Valeur	Note
	TeZFfjD34A7jvG75o6Nq9C9
sha256	5a505f489d40c545ddacf31c16898cc85d6cf4bb308ff8448e24bcc744932042

AgentTesla — Voir le profil complet →

Serveurs C2 (8 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
digicert.com	domain	—	TCP	active	—
stem.ru	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—
dublincore.org	domain	—	TCP	active	—
googleapis.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
freightfacilitators.com	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.