AgentTesla — 詳細静的解析 (5a505f48) | High Tehdit

Derin Statik Analiz — AgentTesla | Tehdit: high

ファイル Kimliği

SHA256	`5a505f489d40c545ddacf31c16898cc85d6cf4bb308ff8448e24bcc744932042`
MD5	`6b3e4790971c4541f567eb04d06152fb`
SHA1	`4bc8d8699e928d8f1c72607d6b85bd585f0beda7`
ファイル名	Purchase order.exe
サイズ	1586817 byte
種別	/opt/ksentinel/samples/5a505f489d40c545_Purchaseorder.exe: PE32+ executable (GUI) x86-64 Mono/.Net a
コンパイル日時	不明
Packer	UPX

C2 Sunucuları / Dropper Domainleri

Adres	Tip	Durum
`System.IO`	Domain	active

Tespit Edilen IOC'lar

値	Tip
`System.IO`	Domain

Yetenekler

Şifreleme: RijndaelManaged

Base64 Decode:

B64:FixedSizeUnsafeQueueNativeOverlapped => ,^u(
B64:getIsUnicodeClassFileStreamInformation => y+ky
B64:getLastWriteTimeUtcThreadStartException => +^N)
B64:getPositiveInfinitySymbolGetStartComSlot =>

Geliştirici İpuçları

Telegram: @0nQzB @ceaAW @eSdl @GOL25 @KMlxE

PE Analizi

PE 信頼度lik Taraması

file entropy:                    6.098944 (normal)
fpu anti-disassembly:            no
imagebase:                       normal
entrypoint:                      null
DOS stub:                        normal
TLS directory:                   not found
timestamp:                       future time
section

Import Tablosu (özet)

Imported functions

ファミリー Tespiti — String Kanıtı

String kanıtı bulunamadı (obfuscated).

AgentTesla — マルウェアプロファイル

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

マルウェアの種類

Infostealer

プログラミング言語

.NET

C2プロトコル

SMTP/FTP

標的システム

Windows

別名 (AKA)

Agent Tesla

技術詳細

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

アトリビューション / 脅威アクター

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

機能と挙動

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

IOCリスト (4 件の指標)

IOC — AgentTesla

# 
4bc8d8699e928d8f1c72607d6b85bd585f0beda7

# SHA256
5a505f489d40c545ddacf31c16898cc85d6cf4bb308ff8448e24bcc744932042

# MD5
6b3e4790971c4541f567eb04d06152fb

# DOMAIN
System.IO

タイプ	値	メモ
	4bc8d8699e928d8f1c72607d6b85bd585f0beda7
sha256	5a505f489d40c545ddacf31c16898cc85d6cf4bb308ff8448e24bcc744932042
md5	6b3e4790971c4541f567eb04d06152fb
domain	System.IO

AgentTesla — 完全プロファイルへ →

C2サーバー (このファミリーで8台のサーバーを記録)

アドレス	タイプ	ポート	プロトコル	ステータス	国
digicert.com	domain	—	TCP	active	—
stem.ru	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—
dublincore.org	domain	—	TCP	active	—
googleapis.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
freightfacilitators.com	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ

agentteslastatik-analizhighc2iocpe-analiz