Statik Analiz — AgentTesla | MOYEN | CVSS: 5.0

Fichier

SHA25625b1b876e1b2e7e0d8c426aed7fe0f8690a19cbe21da03ebbac61ec41a35e690
MD52e202636c37d8dbdacb3a08cbd55b7a1
Fichier25b1b876e1b2e7e0d8c426aed7fe0f8690a19cbe21da03ebbac61ec41a35e690.exe
Taille1,135,104 byte
TypePE32 executable for MS Windows 5.01 (GUI), Intel i386, 5 sections
Stringler2,410

Bölümler

AdEntropi
.text6.67
.rdata5.69
.data0.58
.rsrc7.81
.reloc6.8

Import Tablosu

  • WSOCK32.dll
  • VERSION.dll
  • WINMM.dll
  • COMCTL32.dll
  • MPR.dll
  • WININET.dll
  • PSAPI.DLL
  • IPHLPAPI.DLL
  • USERENV.dll
  • UxTheme.dll
  • KERNEL32.dll
  • USER32.dll
  • GDI32.dll
  • COMDLG32.dll
  • ADVAPI32.dll

IOC

SHA25625b1b876e1b2e7e0d8c426aed7fe0f8690a19cbe21da03ebbac61ec41a35e690
MD52e202636c37d8dbdacb3a08cbd55b7a1
IP6.0.0.0

AgentTesla — Profil du malware

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

Type de malware
Infostealer
Langage de programmation
.NET
Protocole C2
SMTP/FTP
Systèmes ciblés
Windows
Aussi connu sous (AKA)
Agent Tesla

Détails techniques

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

Attribution / Acteur de la menace

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

Capacités et comportement

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

Liste IOC (1 indicateurs)

IOC — AgentTesla
# IP 6.0.0.0
TypeValeurNote
ip 6.0.0.0 C2 aday
AgentTesla — Voir le profil complet →

Serveurs C2 (8 serveurs enregistrés pour cette famille)

Adresse Type Port Protocole Statut Pays
digicert.com domain — TCP active —
stem.ru domain — TCP active —
digicert.com domain — TCP active —
dublincore.org domain — TCP active —
googleapis.com domain — TCP active —
microsoft.com domain — TCP active —
freightfacilitators.com domain — TCP active —
digicert.com domain — TCP active —

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.

Tags
AgentTeslamalwarestatik-analizIOC