Manuel Statik Analiz — AgentTesla (XLS Dropper) | Tehdit: YUKSEK
파일 Kimliği
| SHA256 | ad7b9eaa692cbfe61735168b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 파일 이름 | .xls (Excel dosyası delivery) |
| 크기 | 1.735.168 byte (1.7MB XLS) |
| String Sayisi | 8.078 |
C2 Domainleri
freightfacilitators.com -- Navlun/taşımacılık şirketi taklidi C2! iplam.co -- .co Colombia TLD, kısa 5-char domain
Office 365 Relay Sunucu İzleri
FR1PEPF00000F0D.DE -- Fransa bölgesi O365 relay (FR prefix) FR2P281MB1447.DE -- Microsoft Exchange Online (FR datacenter) FR4P281CA0107.DE -- Fransa O365 mail server mx06.ispgateway.de (80.67.18.37) -- SMTP relay IP! -- AgentTesla SMTP üzerinden çalınan verileri iletir -- Kurbanın kendi O365 hesabı üzerinden exfil yapabilir
IOC
| SHA256 | ad7b9eaa692cbfe61735168b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| C2 | freightfacilitators.com |
| C2 | iplam.co (.co TLD) |
| SMTP | 80.67.18.37 (mx06.ispgateway.de) |
AgentTesla4 — 악성코드 프로필
AgentTesla .NET MaaS 2014. XLS dropper. SMTP/FTP/Telegram exfil. freightfacilitators.com C2. Keylogger+clipboard.
악성코드 유형
Infostealer
프로그래밍 언어
C#/.NET
C2 프로토콜
SMTP/FTP/HTTP
대상 시스템
Finans/Kurumsal
기능 및 동작
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
IOC 목록 (3 개 지표)
IOC — AgentTesla4
# IP
80.67.18.37
# DOMAIN
freightfacilitators.com
# DOMAIN
iplam.co
| 유형 | 값 | 메모 |
|---|---|---|
| ip | 80.67.18.37 | |
| domain | freightfacilitators.com | |
| domain | iplam.co |
C2 서버 (이 패밀리에 대해 2개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| freightfacilitators.com | domain | 443 | HTTPS | active | — |
| iplam.co | domain | 443 | HTTPS | inactive | — |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.