Statik Analiz — AgentTesla | MOYEN | CVSS: 5.0

Fichier

SHA2561b781df667882801f09e2efaad2344b2505eb03016edbef2b53abc8aee8dafe5
MD5621698395c4fae2425739e3af05fbe42
Fichier1b781df667882801f09e2efaad2344b2505eb03016edbef2b53abc8aee8dafe5.exe
Taille1,491,456 byte
TypePE32 executable for MS Windows 5.01 (GUI), Intel i386, 5 sections
Stringler2,301

Bölümler

AdEntropi
.text6.68
.rdata5.77
.data2.0
.rsrc5.79
.reloc5.25

Import Tablosu

  • WSOCK32.dll
  • VERSION.dll
  • WINMM.dll
  • COMCTL32.dll
  • MPR.dll
  • WININET.dll
  • PSAPI.DLL
  • IPHLPAPI.DLL
  • USERENV.dll
  • UxTheme.dll
  • KERNEL32.dll
  • USER32.dll
  • GDI32.dll
  • COMDLG32.dll
  • ADVAPI32.dll

IOC

SHA2561b781df667882801f09e2efaad2344b2505eb03016edbef2b53abc8aee8dafe5
MD5621698395c4fae2425739e3af05fbe42
IP6.0.0.0

AgentTesla — Profil du malware

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

Type de malware
Infostealer
Langage de programmation
.NET
Protocole C2
SMTP/FTP
Systèmes ciblés
Windows
Aussi connu sous (AKA)
Agent Tesla

Détails techniques

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

Attribution / Acteur de la menace

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

Capacités et comportement

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

Liste IOC (1 indicateurs)

IOC — AgentTesla
# IP 6.0.0.0
TypeValeurNote
ip 6.0.0.0 C2 aday
AgentTesla — Voir le profil complet →

Serveurs C2 (8 serveurs enregistrés pour cette famille)

Adresse Type Port Protocole Statut Pays
digicert.com domain — TCP active —
stem.ru domain — TCP active —
digicert.com domain — TCP active —
dublincore.org domain — TCP active —
googleapis.com domain — TCP active —
microsoft.com domain — TCP active —
freightfacilitators.com domain — TCP active —
digicert.com domain — TCP active —

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.

Tags
AgentTeslamalwarestatik-analizIOC