AgentTesla — Ispanyolca IK Politika PDF Tuzagi, NSIS Dropper, Sifrelenmis SMTP C2 | Kritik

Manuel Statik Analiz (LLM Okumali) — AgentTesla V3 (Ispanyolca IK Tuzagi) | Tehdit: KRITIK

Datei Kimligi

SHA256	`4b2eff9001a6b53c43b71e6632216679d9d4fd61814ac358a75cb32db9cc44b8a`
Orijinal Ad	Directrices de politicas para empleados 2026.pdf.exe
Größe	342.816 byte
Packer	NSIS (Nullsoft Install System)

Teslimat: Ispanyolca Insan Kaynaklari Tuzagi

Cift uzanti: ...2026.pdf.exe — dosyanin PDF olduguna dair yaniltic bir ad. Ispanyolca anlami: "2026 calisanlar icin politika talimatnamesi"

Bu ornek Latin Amerika veya Ispanya kokenli sirketlere yonelik bir spear-phishing kampanyasinin parcasidir. Insan kaynaklari (IK) belgesi olarak sunulan bu dosya, yetkisiz calisimlari tetiklemek icin hedef kurulusun dil/kultur profiliyle uyumludur.

NSIS Dropper Ozellikleri

Dis katmani bir NSIS (Nullsoft Install System) yükleyicisidir. Icerige erisim icin NSIS'i acmak gerekir; statik stringler yalnizca NSIS altyapisini gosterir. Gercek AgentTesla payload'i icindir ve sifrelenmis/gizlenmis bir kaynak olarak saklanir.

AgentTesla V3 Bilinen Yetenekleri

Yetenek	Detay
SMTP Exfil	Cleartext kimlik bilgileri ile Gmail/Yahoo/Yandex SMTP uzerinden gonderim
Telegram Exfil	Bot API token ile Telegram botuna gonderim
FTP Exfil	FTP sunucusu uzerinden dosya gonderimi
Keylogger	Tus kaydi ve clipboard izleme
Tarayici	Chrome, Firefox, Edge sifre calma
Email	Outlook, Thunderbird kimlik bilgisi calma
VPN	OpenVPN kimlik bilgisi calma
Ekran	Periyodik ekran goruntusu

IOC

SHA256	`4b2eff9001a6b53c43b71e6632216679d9d4fd61814ac358a75cb32db9cc44b8a`
Lure	Directrices de politicas para empleados 2026.pdf.exe
Hedef Dil	Ispanyolca (Latin Amerika / Ispanya)
Packer	NSIS Dropper
C2	SMTP/Telegram/FTP (sifrelenmis, dinamik analiz gerekli)

AgentTesla — Malware-Profil

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

Malware-Typ

Infostealer

Programmiersprache

.NET

C2-Protokoll

SMTP/FTP

Zielsysteme

Windows

Auch bekannt als (AKA)

Agent Tesla

Technische Details

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

Attribution / Bedrohungsakteur

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

Fähigkeiten & Verhalten

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

IOC-Liste (1 Indikatoren)

IOC — AgentTesla

# SHA256
4b2eff9001a6b53c43b71e6632216679d9d4fd61814ac358a75cb32db9cc44b8a

Typ	Wert	Bemerkung
sha256	4b2eff9001a6b53c43b71e6632216679d9d4fd61814ac358a75cb32db9cc44b8a

AgentTesla — Zum vollständigen Profil →

C2-Server (8 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
digicert.com	domain	—	TCP	active	—
stem.ru	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—
dublincore.org	domain	—	TCP	active	—
googleapis.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
freightfacilitators.com	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.