Manuel Statik Analiz (LLM Okumali) — AgentTesla — Lojistik BEC Spear-Phish | Tehdit: HIGH

Dosya Kimligi

SHA256ad7b9eaa692cbfe6e256b632603baf378c58c06d5f742e55bc9b751b8c022e2f
FormatXLS (Excel belgesi) — malicious macro/JS ekli
Boyut1.735.168 byte (~1.65 MB)
KonuHava kargo sevkiyat belgesi (lojistik spear-phishing)
Ekshipping advice.JS — malicious JavaScript

C2 Altyapisi (SMTP Exfiltrasyon)

SMTP C2 (cleartext): SMTP:VENUS@IPLAM.COM.HK (kompromize edilmis hesap)
cm@kauf-park.de (ikinci exfiltrasyon alicisi)
SMTP C2 (birincil)venus@iplam.com.hk — kompromize edilmis IPLAM hesabi
SMTP C2 (ikincil)cm@kauf-park.de — Almanya tabanli yedek alici
SMTP Port2401 (non-standard SMTP)
FROM Domainsmtp.mailfrom=iplam.com.hk (kompromize edilmis hesapla gonderim)

Tehdit Vektoru - Lojistik BEC

Saldirgan, IPLAM.COM.HK (Hong Kong lojistik firmasinin) venus@iplam.com.hk hesabini kompromize ederek gercek bir hava kargo email zincirini ele gecirmis ve bu zincire malicious shipping advice.JS ekini ekleyerek hedef firmalara (UT Freight vs.) gonderimstir.
Hedef SektörLojistik / Nakliyat (Shipping & Freight)
Gonderici (Kompromize)michelleyen@utfreight.com (UT Freight Service Ltd Kaohsiung)
KonuRE: Air shpt - S/Standard Chem. C/UNILAB, Prozelax 200mcg capsule(4310017979), cargoes ready date: 30 June
MAWB297-61548675
HAWBUTKHH260016
RotalarCI 4923/30 TPE → CI 701/01 MNL (Tayvan-Filipinler hava kargo)
Kurban FirmalarUT Freight Service (KHH), Freight Facilitators (julie_FFC, ayeh_perez), KHH.SAAMG Pierce Huang

Saldiri Akisi

  1. Saldirgan venus@iplam.com.hk SMTP kimlik bilgilerini calar
  2. Gercek lojistik email zincirini okur (MAWB, HAWB, ucus bilgileri)
  3. Aslina sadik kopya olusturur, shipping advice.JS ekler
  4. Hedef alicilara gonderir (freightfacilitators.com, utfreight.com)
  5. Alici JS dosyasini calistirinca AgentTesla aktif olur
  6. Alinan veriler venus@iplam.com.hk adresine SMTP ile iletilir (port 2401)

IOC'lar

SHA256ad7b9eaa692cbfe6e256b632603baf378c58c06d5f742e55bc9b751b8c022e2f
SMTP C2 (1)venus@iplam.com.hk
SMTP C2 (2)cm@kauf-park.de
SMTP Port2401
Kompromize Domainiplam.com.hk
Attachmentshipping advice.JS

Nasil Kaldirilir?

  1. JS/Makro calistirmayin: beklenmedik .JS, .VBS, .XLS ekleri acilmasin
  2. SMTP engeli: Port 2401 uzerine gelen/giden baglantilari filtrele
  3. AgentTesla temizle: Startup, AppData ve Task Scheduler'i kontrol et
  4. Sifre degistir: Tum kurumsal sifreleri derhal degistir (Tesla sifre calar)
  5. IPLAM.COM.HK: Bu domainden gelen tum emailleri sekiz ile incele

Teknik Ozet

Bu ornek, AgentTesla gelismis bir BEC (Business Email Compromise) kampanyasinin parcasidur. Saldirgan, Hong Kong merkezli lojistik firmasinin (iplam.com.hk) email hesabini (venus@iplam.com.hk) kompromize ederek gercek bir hava kargo sevkiyat yazismasina malicious JavaScript eki (shipping advice.JS) eklemis ve nakliyat firmalarini hedef almistir. Cesyrilen veriler, port 2401 uzerinden SMTP ile kompromize edilmis hesap araciligiyla geri aktarilmaktadir.

AgentTesla — Malware Profile

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

Malware Type
Infostealer
Programming Language
.NET
C2 Protocol
SMTP/FTP
Target Systems
Windows
Also Known As (AKA)
Agent Tesla

Technical Details

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

Attribution / Threat Actor

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

Capabilities & Behavior

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

IOC List (7 indicators)

IOC — AgentTesla
# 2401 # shipping advice.JS # SHA256 ad7b9eaa692cbfe6e256b632603baf378c58c06d5f742e55bc9b751b8c022e2f # DOMAIN iplam.com.hk # DOMAIN kauf-park.de # EMAIL venus@iplam.com.hk # EMAIL cm@kauf-park.de
TypeValueNote
2401
shipping advice.JS
sha256 ad7b9eaa692cbfe6e256b632603baf378c58c06d5f742e55bc9b751b8c022e2f
domain iplam.com.hk
domain kauf-park.de
email venus@iplam.com.hk
email cm@kauf-park.de
AgentTesla — Go to Full Profile →

C2 Servers (8 recorded servers for this family)

Address Type Port Protocol Status Country
digicert.com domain — TCP active —
stem.ru domain — TCP active —
digicert.com domain — TCP active —
system.io domain — TCP active —
dublincore.org domain — TCP active —
system.io domain — TCP active —
system.io domain — TCP active —
googleapis.com domain — TCP active —

C2 addresses are provided only from malware samples manually verified by the KEYDAL team. Commercial use is prohibited.

Tags
agentteslabecspear-phishsmtp-c2logisticsiplam-com-hkjavascriptxlsstatik-analiz