Statik Analiz — AgentTesla | MOYEN | CVSS: 5.0

Fichier

SHA2566cc26f7c50c9d2a309cb6de2059976acf46d3c50930a9e72e9d260c432b28f54
MD577163aeacfc909162a8e2672bcd0d20f
Fichier6cc26f7c50c9d2a309cb6de2059976acf46d3c50930a9e72e9d260c432b28f54.exe
Taille616,448 byte
TypePE32 executable for MS Windows 5.01 (GUI), Intel i386, UPX compressed, 3 sections
Stringler1,556

Bölümler

AdEntropi
UPX00.0
UPX17.94
.rsrc7.88

Import Tablosu

  • KERNEL32.DLL
  • ADVAPI32.dll
  • COMCTL32.dll
  • COMDLG32.dll
  • GDI32.dll
  • IPHLPAPI.DLL
  • MPR.dll
  • ole32.dll
  • OLEAUT32.dll
  • PSAPI.DLL
  • SHELL32.dll
  • USER32.dll
  • USERENV.dll
  • UxTheme.dll
  • VERSION.dll

IOC

SHA2566cc26f7c50c9d2a309cb6de2059976acf46d3c50930a9e72e9d260c432b28f54
MD577163aeacfc909162a8e2672bcd0d20f
IP6.0.0.0

AgentTesla — Profil du malware

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

Type de malware
Infostealer
Langage de programmation
.NET
Protocole C2
SMTP/FTP
Systèmes ciblés
Windows
Aussi connu sous (AKA)
Agent Tesla

Détails techniques

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

Attribution / Acteur de la menace

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

Capacités et comportement

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

Liste IOC (1 indicateurs)

IOC — AgentTesla
# IP 6.0.0.0
TypeValeurNote
ip 6.0.0.0 C2 aday
AgentTesla — Voir le profil complet →

Serveurs C2 (8 serveurs enregistrés pour cette famille)

Adresse Type Port Protocole Statut Pays
digicert.com domain — TCP active —
stem.ru domain — TCP active —
digicert.com domain — TCP active —
dublincore.org domain — TCP active —
googleapis.com domain — TCP active —
microsoft.com domain — TCP active —
freightfacilitators.com domain — TCP active —
digicert.com domain — TCP active —

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.

Tags
AgentTeslamalwarestatik-analizIOC