Dateiinformationen
| Eigenschaft | Wert |
|---|---|
| SHA256 | bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822 |
| MD5 | 21880c0ba2b22b64426bdc1db714d2c8 |
| SHA1 | f22aa32da4c1b64c15312009ddcb7dc6bf3e3cdb |
| Dateiname | SWIFT_Payment_Receipt_26062026.exe |
| Größe | 438,141 bytes |
| Architektur | x86 |
| Kompilierungsdatum | Unbekannt |
| Packer | Tespit edilmedi |
| MB Erstsichtung | 2026-06-29 |
| MB-Tags | exe, AgentTesla, signed |
Bedrohungsprofil
Familie: AgentTesla Klassifizierung: HOCH Konfidenz: MEDIUM
AgentTesla, .NET tabanlı gelişmiş bir keylogger/infostealer ailesidir. SWIFT ödeme bildirimi temalı phishing ile hedeflere ulaşmaktadır. Tarayıcı şifreleri, e-posta kimlik bilgileri ve FTP hesaplarını çalarak SMTP üzerinden saldırgana iletmektedir. Bu örnek imzalı görünmekle birlikte dijital imzanın geçerliliği şüphelidir. C2 iletişimi SMTP protokolü üzerinden yapılmakta olup statik analizde plaintext kimlik bilgisi tespit edilememiştir (şifreli config).
Erkannte Fähigkeiten
- Keylogger (GetAsyncKeyState/SetWindowsHookEx)
- Screenshot alma
- Tarayıcı şifre çalma (Chrome, Firefox, Edge)
- E-posta client credential theft (Outlook, Thunderbird)
- FTP client credential theft (FileZilla, WinSCP)
- SMTP ile veri sızdırma
- Clipboard Monitor
- Webcam Capture
Anti-Analiz Teknikleri
- Anti-Debug kontrolleri
- .NET obfuscation
Kalıcılık Mekanizmaları
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SmtpAgt
Enjeksiyon Teknikleri
- Process Injection
C2 Sunucuları
IOC Listesi
| Tip | Wert |
|---|---|
| sha256 | bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822 |
| md5 | 21880c0ba2b22b64426bdc1db714d2c8 |
| domain | cacerts.digicert.com |
| domain | crl3.digicert.com |
| domain | Microsoft.Windows.Com |
| domain | nsis.sf.net |
| domain | ocsp.digicert.com |
| domain | www.digicert.com |
| Udlndingeloven@Multilayer.Kr |
Öneriler
- Hash değerlerini EDR/SIEM sistemlerinize ekleyin
- Tespit edilen domain ve IP'leri firewall/proxy kara listesine alın
- Registry autorun anahtarlarını periyodik kontrol edin
- MalwareBazaar ve VirusTotal üzerinden hash kontrolü yapın
- Şüpheli process injection aktivitelerini izleyin
AgentTesla — Malware-Profil
AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.
Technische Details
C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot
Attribution / Bedrohungsakteur
Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.
Fähigkeiten & Verhalten
IOC-Liste (2 Indikatoren)
# SHA256
bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822
# MD5
21880c0ba2b22b64426bdc1db714d2c8
| Typ | Wert | Bemerkung |
|---|---|---|
| sha256 | bc4b5891b1294dac280e9c24e2f63b8659d5703d28b7ffa459940b266f00b822 | |
| md5 | 21880c0ba2b22b64426bdc1db714d2c8 |
C2-Server (8 erfasste Server für diese Familie)
| Adresse | Typ | Port | Protokoll | Status | Land |
|---|---|---|---|---|---|
| digicert.com | domain | — | TCP | active | — |
| stem.ru | domain | — | TCP | active | — |
| digicert.com | domain | — | TCP | active | — |
| dublincore.org | domain | — | TCP | active | — |
| googleapis.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| freightfacilitators.com | domain | — | TCP | active | — |
| digicert.com | domain | — | TCP | active | — |
C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.