Manuel Statik Analiz (LLM Okumali) — AgentTesla — Lojistik BEC Spear-Phish | Tehdit: HIGH

Archivo Kimligi

SHA256ad7b9eaa692cbfe6e256b632603baf378c58c06d5f742e55bc9b751b8c022e2f
FormatXLS (Excel belgesi) — malicious macro/JS ekli
Tamaño1.735.168 byte (~1.65 MB)
KonuHava kargo sevkiyat belgesi (lojistik spear-phishing)
Ekshipping advice.JS — malicious JavaScript

C2 Altyapisi (SMTP Exfiltrasyon)

SMTP C2 (cleartext): SMTP:VENUS@IPLAM.COM.HK (kompromize edilmis hesap)
cm@kauf-park.de (ikinci exfiltrasyon alicisi)
SMTP C2 (birincil)venus@iplam.com.hk — kompromize edilmis IPLAM hesabi
SMTP C2 (ikincil)cm@kauf-park.de — Almanya tabanli yedek alici
SMTP Port2401 (non-standard SMTP)
FROM Domainsmtp.mailfrom=iplam.com.hk (kompromize edilmis hesapla gonderim)

Tehdit Vektoru - Lojistik BEC

Saldirgan, IPLAM.COM.HK (Hong Kong lojistik firmasinin) venus@iplam.com.hk hesabini kompromize ederek gercek bir hava kargo email zincirini ele gecirmis ve bu zincire malicious shipping advice.JS ekini ekleyerek hedef firmalara (UT Freight vs.) gonderimstir.
Hedef SektörLojistik / Nakliyat (Shipping & Freight)
Gonderici (Kompromize)michelleyen@utfreight.com (UT Freight Service Ltd Kaohsiung)
KonuRE: Air shpt - S/Standard Chem. C/UNILAB, Prozelax 200mcg capsule(4310017979), cargoes ready date: 30 June
MAWB297-61548675
HAWBUTKHH260016
RotalarCI 4923/30 TPE → CI 701/01 MNL (Tayvan-Filipinler hava kargo)
Kurban FirmalarUT Freight Service (KHH), Freight Facilitators (julie_FFC, ayeh_perez), KHH.SAAMG Pierce Huang

Saldiri Akisi

  1. Saldirgan venus@iplam.com.hk SMTP kimlik bilgilerini calar
  2. Gercek lojistik email zincirini okur (MAWB, HAWB, ucus bilgileri)
  3. Aslina sadik kopya olusturur, shipping advice.JS ekler
  4. Hedef alicilara gonderir (freightfacilitators.com, utfreight.com)
  5. Alici JS dosyasini calistirinca AgentTesla aktif olur
  6. Alinan veriler venus@iplam.com.hk adresine SMTP ile iletilir (port 2401)

IOC'lar

SHA256ad7b9eaa692cbfe6e256b632603baf378c58c06d5f742e55bc9b751b8c022e2f
SMTP C2 (1)venus@iplam.com.hk
SMTP C2 (2)cm@kauf-park.de
SMTP Port2401
Kompromize Domainiplam.com.hk
Attachmentshipping advice.JS

Nasil Kaldirilir?

  1. JS/Makro calistirmayin: beklenmedik .JS, .VBS, .XLS ekleri acilmasin
  2. SMTP engeli: Port 2401 uzerine gelen/giden baglantilari filtrele
  3. AgentTesla temizle: Startup, AppData ve Task Scheduler'i kontrol et
  4. Sifre degistir: Tum kurumsal sifreleri derhal degistir (Tesla sifre calar)
  5. IPLAM.COM.HK: Bu domainden gelen tum emailleri sekiz ile incele

Teknik Ozet

Bu ornek, AgentTesla gelismis bir BEC (Business Email Compromise) kampanyasinin parcasidur. Saldirgan, Hong Kong merkezli lojistik firmasinin (iplam.com.hk) email hesabini (venus@iplam.com.hk) kompromize ederek gercek bir hava kargo sevkiyat yazismasina malicious JavaScript eki (shipping advice.JS) eklemis ve nakliyat firmalarini hedef almistir. Cesyrilen veriler, port 2401 uzerinden SMTP ile kompromize edilmis hesap araciligiyla geri aktarilmaktadir.

AgentTesla — Perfil del malware

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

Tipo de malware
Infostealer
Lenguaje de programación
.NET
Protocolo C2
SMTP/FTP
Sistemas objetivo
Windows
También conocido como (AKA)
Agent Tesla

Detalles técnicos

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

Atribución / Actor de amenaza

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

Capacidades y comportamiento

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

Lista IOC (7 indicadores)

IOC — AgentTesla
# 2401 # shipping advice.JS # SHA256 ad7b9eaa692cbfe6e256b632603baf378c58c06d5f742e55bc9b751b8c022e2f # DOMAIN iplam.com.hk # DOMAIN kauf-park.de # EMAIL venus@iplam.com.hk # EMAIL cm@kauf-park.de
TipoValorNota
2401
shipping advice.JS
sha256 ad7b9eaa692cbfe6e256b632603baf378c58c06d5f742e55bc9b751b8c022e2f
domain iplam.com.hk
domain kauf-park.de
email venus@iplam.com.hk
email cm@kauf-park.de
AgentTesla — Ver perfil completo →

Servidores C2 (8 servidores registrados para esta familia)

Dirección Tipo Puerto Protocolo Estado País
digicert.com domain — TCP active —
stem.ru domain — TCP active —
digicert.com domain — TCP active —
dublincore.org domain — TCP active —
googleapis.com domain — TCP active —
microsoft.com domain — TCP active —
freightfacilitators.com domain — TCP active —
digicert.com domain — TCP active —

Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.

Etiquetas
agentteslabecspear-phishsmtp-c2logisticsiplam-com-hkjavascriptxlsstatik-analiz