特斯拉特工——深度静态分析(bc4b5891)

威胁摘要

家族AgentTesla

威胁等级高

Platform.NET Framework (C#)

PackerTespit edilmedi

SHA256bc4b5891b1294dac280e9c24e2f63b86...

首次发现2026-06-29

检测方法MalwareBazaar + 特征匹配

置信度MEDIUM

文件信息

属性	值
SHA256	bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822
MD5	21880c0ba2b22b64426bdc1db714d2c8
SHA1	f22aa32da4c1b64c15312009ddcb7dc6bf3e3cdb
文件名	SWIFT_Payment_Receipt_26062026.exe
大小	438,141 bytes
架构	x86
编译日期	未知
Packer	Tespit edilmedi
MB 首次发现	2026-06-29
MB 标签	exe, AgentTesla, signed

威胁概况

家族: AgentTesla 分类: 高 置信度: MEDIUM

AgentTesla, .NET tabanlı gelişmiş bir keylogger/infostealer ailesidir. SWIFT ödeme bildirimi temalı phishing ile hedeflere ulaşmaktadır. Tarayıcı şifreleri, e-posta kimlik bilgileri ve FTP hesaplarını çalarak SMTP üzerinden saldırgana iletmektedir. Bu örnek imzalı görünmekle birlikte dijital imzanın geçerliliği şüphelidir. C2 iletişimi SMTP protokolü üzerinden yapılmakta olup statik analizde plaintext kimlik bilgisi tespit edilememiştir (şifreli config).

检测到的功能

Keylogger (GetAsyncKeyState/SetWindowsHookEx)
Screenshot alma
Tarayıcı şifre çalma (Chrome, Firefox, Edge)
E-posta client credential theft (Outlook, Thunderbird)
FTP client credential theft (FileZilla, WinSCP)
SMTP ile veri sızdırma
Clipboard Monitor
Webcam Capture

Anti-Analiz Teknikleri

Anti-Debug kontrolleri
.NET obfuscation

Kalıcılık Mekanizmaları

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SmtpAgt

Enjeksiyon Teknikleri

Process Injection

C2 Sunucuları

C2 adresi statik analizde tespit edilemedi. Konfigürasyon büyük ihtimalle şifreli veya obfuscated. Dinamik analiz (sandbox çalıştırma) ile C2 iletişimi izlenebilir.

IOC Listesi

Tip	值
sha256	bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822
md5	21880c0ba2b22b64426bdc1db714d2c8
domain	cacerts.digicert.com
domain	crl3.digicert.com
domain	Microsoft.Windows.Com
domain	nsis.sf.net
domain	ocsp.digicert.com
domain	www.digicert.com
email	Udlndingeloven@Multilayer.Kr

Öneriler

Hash değerlerini EDR/SIEM sistemlerinize ekleyin
Tespit edilen domain ve IP'leri firewall/proxy kara listesine alın
Registry autorun anahtarlarını periyodik kontrol edin
MalwareBazaar ve VirusTotal üzerinden hash kontrolü yapın
Şüpheli process injection aktivitelerini izleyin

AgentTesla — 恶意软件档案

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

恶意软件类型

Infostealer

编程语言

.NET

C2协议

SMTP/FTP

目标系统

Windows

别名 (AKA)

Agent Tesla

技术细节

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

归因 / 威胁行为者

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

能力与行为

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

IOC列表 (2 个指标)

IOC — AgentTesla

# SHA256
bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822

# MD5
21880c0ba2b22b64426bdc1db714d2c8

类型	值	备注
sha256	bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822
md5	21880c0ba2b22b64426bdc1db714d2c8

AgentTesla — 查看完整档案 →

C2服务器 (该家族共有 8 台已记录服务器)

地址	类型	端口	协议	状态	国家
digicert.com	domain	—	TCP	active	—
stem.ru	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—
dublincore.org	domain	—	TCP	active	—
googleapis.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
freightfacilitators.com	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—

C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。

标签

agentteslainfostealerkeyloggersmtppeanalizstatikioc