AgentTesla — Ispanyolca IK Politika PDF Tuzagi, NSIS Dropper, Sifrelenmis SMTP C2 | Kritik

Manuel Statik Analiz (LLM Okumali) — AgentTesla V3 (Ispanyolca IK Tuzagi) | Tehdit: KRITIK

Dosya Kimligi

SHA256	`4b2eff9001a6b53c43b71e6632216679d9d4fd61814ac358a75cb32db9cc44b8a`
Orijinal Ad	Directrices de politicas para empleados 2026.pdf.exe
Boyut	342.816 byte
Packer	NSIS (Nullsoft Install System)

Teslimat: Ispanyolca Insan Kaynaklari Tuzagi

Cift uzanti: ...2026.pdf.exe — dosyanin PDF olduguna dair yaniltic bir ad. Ispanyolca anlami: "2026 calisanlar icin politika talimatnamesi"

Bu ornek Latin Amerika veya Ispanya kokenli sirketlere yonelik bir spear-phishing kampanyasinin parcasidir. Insan kaynaklari (IK) belgesi olarak sunulan bu dosya, yetkisiz calisimlari tetiklemek icin hedef kurulusun dil/kultur profiliyle uyumludur.

NSIS Dropper Ozellikleri

Dis katmani bir NSIS (Nullsoft Install System) yükleyicisidir. Icerige erisim icin NSIS'i acmak gerekir; statik stringler yalnizca NSIS altyapisini gosterir. Gercek AgentTesla payload'i icindir ve sifrelenmis/gizlenmis bir kaynak olarak saklanir.

AgentTesla V3 Bilinen Yetenekleri

Yetenek	Detay
SMTP Exfil	Cleartext kimlik bilgileri ile Gmail/Yahoo/Yandex SMTP uzerinden gonderim
Telegram Exfil	Bot API token ile Telegram botuna gonderim
FTP Exfil	FTP sunucusu uzerinden dosya gonderimi
Keylogger	Tus kaydi ve clipboard izleme
Tarayici	Chrome, Firefox, Edge sifre calma
Email	Outlook, Thunderbird kimlik bilgisi calma
VPN	OpenVPN kimlik bilgisi calma
Ekran	Periyodik ekran goruntusu

IOC

SHA256	`4b2eff9001a6b53c43b71e6632216679d9d4fd61814ac358a75cb32db9cc44b8a`
Lure	Directrices de politicas para empleados 2026.pdf.exe
Hedef Dil	Ispanyolca (Latin Amerika / Ispanya)
Packer	NSIS Dropper
C2	SMTP/Telegram/FTP (sifrelenmis, dinamik analiz gerekli)

AgentTesla — Malware Profile

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

Malware Type

Infostealer

Programming Language

.NET

C2 Protocol

SMTP/FTP

Target Systems

Windows

Also Known As (AKA)

Agent Tesla

Technical Details

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

Attribution / Threat Actor

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

Capabilities & Behavior

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

IOC List (1 indicators)

IOC — AgentTesla

# SHA256
4b2eff9001a6b53c43b71e6632216679d9d4fd61814ac358a75cb32db9cc44b8a

Type	Value	Note
sha256	4b2eff9001a6b53c43b71e6632216679d9d4fd61814ac358a75cb32db9cc44b8a

AgentTesla — Go to Full Profile →

C2 Servers (8 recorded servers for this family)

Address	Type	Port	Protocol	Status	Country
digicert.com	domain	—	TCP	active	—
stem.ru	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
dublincore.org	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
googleapis.com	domain	—	TCP	active	—

C2 addresses are provided only from malware samples manually verified by the KEYDAL team. Commercial use is prohibited.