Manuel Statik Analiz — AgentTesla (XLS Dropper) | Tehdit: YUKSEK
文件 Kimliği
| SHA256 | ad7b9eaa692cbfe61735168b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 文件名 | .xls (Excel dosyası delivery) |
| 大小 | 1.735.168 byte (1.7MB XLS) |
| String Sayisi | 8.078 |
C2 Domainleri
freightfacilitators.com -- Navlun/taşımacılık şirketi taklidi C2! iplam.co -- .co Colombia TLD, kısa 5-char domain
Office 365 Relay Sunucu İzleri
FR1PEPF00000F0D.DE -- Fransa bölgesi O365 relay (FR prefix) FR2P281MB1447.DE -- Microsoft Exchange Online (FR datacenter) FR4P281CA0107.DE -- Fransa O365 mail server mx06.ispgateway.de (80.67.18.37) -- SMTP relay IP! -- AgentTesla SMTP üzerinden çalınan verileri iletir -- Kurbanın kendi O365 hesabı üzerinden exfil yapabilir
IOC
| SHA256 | ad7b9eaa692cbfe61735168b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| C2 | freightfacilitators.com |
| C2 | iplam.co (.co TLD) |
| SMTP | 80.67.18.37 (mx06.ispgateway.de) |
AgentTesla4 — 恶意软件档案
AgentTesla .NET MaaS 2014. XLS dropper. SMTP/FTP/Telegram exfil. freightfacilitators.com C2. Keylogger+clipboard.
恶意软件类型
Infostealer
编程语言
C#/.NET
C2协议
SMTP/FTP/HTTP
目标系统
Finans/Kurumsal
能力与行为
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
IOC列表 (3 个指标)
IOC — AgentTesla4
# IP
80.67.18.37
# DOMAIN
freightfacilitators.com
# DOMAIN
iplam.co
| 类型 | 值 | 备注 |
|---|---|---|
| ip | 80.67.18.37 | |
| domain | freightfacilitators.com | |
| domain | iplam.co |
C2服务器 (该家族共有 2 台已记录服务器)
| 地址 | 类型 | 端口 | 协议 | 状态 | 国家 |
|---|---|---|---|---|---|
| freightfacilitators.com | domain | 443 | HTTPS | active | — |
| iplam.co | domain | 443 | HTTPS | inactive | — |
C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。