Informations sur le fichier
| Propriété | Valeur |
|---|---|
| SHA256 | bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822 |
| MD5 | 21880c0ba2b22b64426bdc1db714d2c8 |
| SHA1 | f22aa32da4c1b64c15312009ddcb7dc6bf3e3cdb |
| Nom du fichier | SWIFT_Payment_Receipt_26062026.exe |
| Taille | 438,141 bytes |
| Architecture | x86 |
| Date de compilation | Inconnu |
| Packer | Tespit edilmedi |
| MB première observation | 2026-06-29 |
| Étiquettes MB | exe, AgentTesla, signed |
Profil de menace
Famille: AgentTesla Classification: ÉLEVÉ Confiance: MEDIUM
AgentTesla, .NET tabanlı gelişmiş bir keylogger/infostealer ailesidir. SWIFT ödeme bildirimi temalı phishing ile hedeflere ulaşmaktadır. Tarayıcı şifreleri, e-posta kimlik bilgileri ve FTP hesaplarını çalarak SMTP üzerinden saldırgana iletmektedir. Bu örnek imzalı görünmekle birlikte dijital imzanın geçerliliği şüphelidir. C2 iletişimi SMTP protokolü üzerinden yapılmakta olup statik analizde plaintext kimlik bilgisi tespit edilememiştir (şifreli config).
Capacités détectées
- Keylogger (GetAsyncKeyState/SetWindowsHookEx)
- Screenshot alma
- Tarayıcı şifre çalma (Chrome, Firefox, Edge)
- E-posta client credential theft (Outlook, Thunderbird)
- FTP client credential theft (FileZilla, WinSCP)
- SMTP ile veri sızdırma
- Clipboard Monitor
- Webcam Capture
Anti-Analiz Teknikleri
- Anti-Debug kontrolleri
- .NET obfuscation
Kalıcılık Mekanizmaları
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SmtpAgt
Enjeksiyon Teknikleri
- Process Injection
C2 Sunucuları
IOC Listesi
| Tip | Valeur |
|---|---|
| sha256 | bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822 |
| md5 | 21880c0ba2b22b64426bdc1db714d2c8 |
| domain | cacerts.digicert.com |
| domain | crl3.digicert.com |
| domain | Microsoft.Windows.Com |
| domain | nsis.sf.net |
| domain | ocsp.digicert.com |
| domain | www.digicert.com |
| Udlndingeloven@Multilayer.Kr |
Öneriler
- Hash değerlerini EDR/SIEM sistemlerinize ekleyin
- Tespit edilen domain ve IP'leri firewall/proxy kara listesine alın
- Registry autorun anahtarlarını periyodik kontrol edin
- MalwareBazaar ve VirusTotal üzerinden hash kontrolü yapın
- Şüpheli process injection aktivitelerini izleyin
AgentTesla — Profil du malware
AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.
Détails techniques
C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot
Attribution / Acteur de la menace
Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.
Capacités et comportement
Liste IOC (2 indicateurs)
# SHA256
bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822
# MD5
21880c0ba2b22b64426bdc1db714d2c8
| Type | Valeur | Note |
|---|---|---|
| sha256 | bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822 | |
| md5 | 21880c0ba2b22b64426bdc1db714d2c8 |
Serveurs C2 (8 serveurs enregistrés pour cette famille)
| Adresse | Type | Port | Protocole | Statut | Pays |
|---|---|---|---|---|---|
| digicert.com | domain | — | TCP | active | — |
| stem.ru | domain | — | TCP | active | — |
| digicert.com | domain | — | TCP | active | — |
| dublincore.org | domain | — | TCP | active | — |
| googleapis.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| freightfacilitators.com | domain | — | TCP | active | — |
| digicert.com | domain | — | TCP | active | — |
Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.