AgentTesla — 深い静的解析 (bc4b5891)

脅威サマリー

ファミリーAgentTesla

脅威レベル高

Platform.NET Framework (C#)

PackerTespit edilmedi

SHA256bc4b5891b1294dac280e9c24e2f63b86...

初回確認2026-06-29

検出方法MalwareBazaar + シグネチャ一致

信頼度MEDIUM

ファイル情報

項目	値
SHA256	bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822
MD5	21880c0ba2b22b64426bdc1db714d2c8
SHA1	f22aa32da4c1b64c15312009ddcb7dc6bf3e3cdb
ファイル名	SWIFT_Payment_Receipt_26062026.exe
サイズ	438,141 bytes
アーキテクチャ	x86
コンパイル日時	不明
Packer	Tespit edilmedi
MB 初回確認	2026-06-29
MB タグ	exe, AgentTesla, signed

脅威プロファイル

ファミリー: AgentTesla 分類: 高 信頼度: MEDIUM

AgentTesla, .NET tabanlı gelişmiş bir keylogger/infostealer ailesidir. SWIFT ödeme bildirimi temalı phishing ile hedeflere ulaşmaktadır. Tarayıcı şifreleri, e-posta kimlik bilgileri ve FTP hesaplarını çalarak SMTP üzerinden saldırgana iletmektedir. Bu örnek imzalı görünmekle birlikte dijital imzanın geçerliliği şüphelidir. C2 iletişimi SMTP protokolü üzerinden yapılmakta olup statik analizde plaintext kimlik bilgisi tespit edilememiştir (şifreli config).

検出された機能

Keylogger (GetAsyncKeyState/SetWindowsHookEx)
Screenshot alma
Tarayıcı şifre çalma (Chrome, Firefox, Edge)
E-posta client credential theft (Outlook, Thunderbird)
FTP client credential theft (FileZilla, WinSCP)
SMTP ile veri sızdırma
Clipboard Monitor
Webcam Capture

Anti-Analiz Teknikleri

Anti-Debug kontrolleri
.NET obfuscation

Kalıcılık Mekanizmaları

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SmtpAgt

Enjeksiyon Teknikleri

Process Injection

C2 Sunucuları

C2 adresi statik analizde tespit edilemedi. Konfigürasyon büyük ihtimalle şifreli veya obfuscated. Dinamik analiz (sandbox çalıştırma) ile C2 iletişimi izlenebilir.

IOC Listesi

Tip	値
sha256	bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822
md5	21880c0ba2b22b64426bdc1db714d2c8
domain	cacerts.digicert.com
domain	crl3.digicert.com
domain	Microsoft.Windows.Com
domain	nsis.sf.net
domain	ocsp.digicert.com
domain	www.digicert.com
email	Udlndingeloven@Multilayer.Kr

Öneriler

Hash değerlerini EDR/SIEM sistemlerinize ekleyin
Tespit edilen domain ve IP'leri firewall/proxy kara listesine alın
Registry autorun anahtarlarını periyodik kontrol edin
MalwareBazaar ve VirusTotal üzerinden hash kontrolü yapın
Şüpheli process injection aktivitelerini izleyin

AgentTesla — マルウェアプロファイル

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

マルウェアの種類

Infostealer

プログラミング言語

.NET

C2プロトコル

SMTP/FTP

標的システム

Windows

別名 (AKA)

Agent Tesla

技術詳細

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

アトリビューション / 脅威アクター

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

機能と挙動

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

IOCリスト (2 件の指標)

IOC — AgentTesla

# SHA256
bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822

# MD5
21880c0ba2b22b64426bdc1db714d2c8

タイプ	値	メモ
sha256	bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822
md5	21880c0ba2b22b64426bdc1db714d2c8

AgentTesla — 完全プロファイルへ →

C2サーバー (このファミリーで8台のサーバーを記録)

アドレス	タイプ	ポート	プロトコル	ステータス	国
digicert.com	domain	—	TCP	active	—
stem.ru	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—
dublincore.org	domain	—	TCP	active	—
googleapis.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
freightfacilitators.com	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ

agentteslainfostealerkeyloggersmtppeanalizstatikioc