Manuel Statik Analiz — AgentTesla (XLS Dropper) | Tehdit: YUKSEK
ファイル Kimliği
| SHA256 | ad7b9eaa692cbfe61735168b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| ファイル名 | .xls (Excel dosyası delivery) |
| サイズ | 1.735.168 byte (1.7MB XLS) |
| String Sayisi | 8.078 |
C2 Domainleri
freightfacilitators.com -- Navlun/taşımacılık şirketi taklidi C2! iplam.co -- .co Colombia TLD, kısa 5-char domain
Office 365 Relay Sunucu İzleri
FR1PEPF00000F0D.DE -- Fransa bölgesi O365 relay (FR prefix) FR2P281MB1447.DE -- Microsoft Exchange Online (FR datacenter) FR4P281CA0107.DE -- Fransa O365 mail server mx06.ispgateway.de (80.67.18.37) -- SMTP relay IP! -- AgentTesla SMTP üzerinden çalınan verileri iletir -- Kurbanın kendi O365 hesabı üzerinden exfil yapabilir
IOC
| SHA256 | ad7b9eaa692cbfe61735168b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| C2 | freightfacilitators.com |
| C2 | iplam.co (.co TLD) |
| SMTP | 80.67.18.37 (mx06.ispgateway.de) |
AgentTesla4 — マルウェアプロファイル
AgentTesla .NET MaaS 2014. XLS dropper. SMTP/FTP/Telegram exfil. freightfacilitators.com C2. Keylogger+clipboard.
マルウェアの種類
Infostealer
プログラミング言語
C#/.NET
C2プロトコル
SMTP/FTP/HTTP
標的システム
Finans/Kurumsal
機能と挙動
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
IOCリスト (3 件の指標)
IOC — AgentTesla4
# IP
80.67.18.37
# DOMAIN
freightfacilitators.com
# DOMAIN
iplam.co
| タイプ | 値 | メモ |
|---|---|---|
| ip | 80.67.18.37 | |
| domain | freightfacilitators.com | |
| domain | iplam.co |
C2サーバー (このファミリーで2台のサーバーを記録)
| アドレス | タイプ | ポート | プロトコル | ステータス | 国 |
|---|---|---|---|---|---|
| freightfacilitators.com | domain | 443 | HTTPS | active | — |
| iplam.co | domain | 443 | HTTPS | inactive | — |
C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。