Statik Analiz — AgentTesla | MOYEN | CVSS: 5.0

Fichier

SHA256407cbbb0272e99c1b653632030a39f05ca1d4e32c3e9de10d2e44c95ad7575ef
MD504a8f2ba2cce59f871643b84be5f1358
Fichier407cbbb0272e99c1b653632030a39f05ca1d4e32c3e9de10d2e44c95ad7575ef.exe
Taille1,065,472 byte
TypePE32 executable for MS Windows 5.01 (GUI), Intel i386, 5 sections
Stringler2,149

Bölümler

AdEntropi
.text6.68
.rdata5.77
.data2.0
.rsrc7.6
.reloc5.25

Import Tablosu

  • WSOCK32.dll
  • VERSION.dll
  • WINMM.dll
  • COMCTL32.dll
  • MPR.dll
  • WININET.dll
  • PSAPI.DLL
  • IPHLPAPI.DLL
  • USERENV.dll
  • UxTheme.dll
  • KERNEL32.dll
  • USER32.dll
  • GDI32.dll
  • COMDLG32.dll
  • ADVAPI32.dll

IOC

SHA256407cbbb0272e99c1b653632030a39f05ca1d4e32c3e9de10d2e44c95ad7575ef
MD504a8f2ba2cce59f871643b84be5f1358
IP6.0.0.0

AgentTesla — Profil du malware

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

Type de malware
Infostealer
Langage de programmation
.NET
Protocole C2
SMTP/FTP
Systèmes ciblés
Windows
Aussi connu sous (AKA)
Agent Tesla

Détails techniques

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

Attribution / Acteur de la menace

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

Capacités et comportement

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

Liste IOC (1 indicateurs)

IOC — AgentTesla
# IP 6.0.0.0
TypeValeurNote
ip 6.0.0.0 C2 aday
AgentTesla — Voir le profil complet →

Serveurs C2 (8 serveurs enregistrés pour cette famille)

Adresse Type Port Protocole Statut Pays
digicert.com domain — TCP active —
stem.ru domain — TCP active —
digicert.com domain — TCP active —
dublincore.org domain — TCP active —
googleapis.com domain — TCP active —
microsoft.com domain — TCP active —
freightfacilitators.com domain — TCP active —
digicert.com domain — TCP active —

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.

Tags
AgentTeslamalwarestatik-analizIOC