AgentTesla | Уровень угрозы: high | Тип: Infostealer

Криптографические идентификаторы

SHA256b4ab9468cbd04d146ba5bb69f1636ea38bdc25baf50c68ca8b1416d5b7e391c7
MD53ab9b70e4da1748d3cd2679c6dff64ac
Тип файлаexe
Размер564.0 KB
Первое обнаружение2026-06-08
Имя файлаb4ab9468cbd04d146ba5bb69f1636ea38bdc25baf50c68ca8b1416d5b7e391c7
МеткиAgentTesla, exe

Семейство вредоносного ПО: AgentTesla

Agent Tesla, 2014'ten beri aktif keylogger'dır.

ТипInfostealer
Язык программирования.NET
Целевая платформаWindows
Протокол C2SMTP/FTP
НазначениеTuş kaydı, kimlik bilgisi hırsızlığı
Год первого обнаружения2014
Другие названияAgent Tesla

Индикаторы компрометации (IOC)

  • SHA256: b4ab9468cbd04d146ba5bb69f1636ea38bdc25baf50c68ca8b1416d5b7e391c7
  • MD5: 3ab9b70e4da1748d3cd2679c6dff64ac

Руководство по очистке системы

  1. Немедленно отключите систему от сети
  2. Yeni bir cihazdan banka hesabı, sosyal medya ve e-posta şifrelerini değiştirin
  3. Переведите криптокошельки на новый адрес, старые больше не используйте
  4. Запустите полное сканирование актуальным антивирусом
  5. Очистите сохранённые в браузере пароли и включите 2FA
  6. Завершите все сеансы во всех затронутых сервисах

Подсказки для YARA-правил

rule AgentTesla_SHA256 {
    meta:
        description = "AgentTesla sample: b4ab9468cbd04d14"
        threat_level = "high"
        first_seen = "2026-06-08"
    condition:
        hash.sha256(0, filesize) == "b4ab9468cbd04d146ba5bb69f1636ea38bdc25baf50c68ca8b1416d5b7e391c7"
}

AgentTesla — Профиль вредоносного ПО

AgentTesla .NET credential stealer. JS dropper @version 8.16.22. Sayısal obfuscation v6034. SMTP FTP HTTP C2.

Тип вредоносного ПО
Infostealer
Язык программирования
.NET
C2 Протокол
SMTP/FTP
Целевые системы
Windows
Другие названия (AKA)
Agent Tesla

Технические детали

C#/.NET, SMTP/FTP/HTTP C2, GetAsyncKeyState keylogger, browser stealer (Chrome/Firefox/Edge), email client stealer, FTP stealer, VPN stealer, clipboard monitor, screenshot

Атрибуция / Актор угрозы

Turkce konusulan gelistirici 'Turk Hack Team' ile iliskilendirilen ve Turkiye'den yonetildigi dusunulen platform. Pek cok farkli siber suc grubu musterisi bulunmaktadir.

Возможности и поведение

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

Список IOC (20 индикаторов)

IOC — AgentTesla
# SHA256 b4ab9468cbd04d146ba5bb69f1636ea38bdc25baf50c68ca8b1416d5b7e391c7 # MD5 3ab9b70e4da1748d3cd2679c6dff64ac # IP 45.33.120.163 # IP 198.54.117.197 # DOMAIN emailsrv-2024.net # DOMAIN secure-mail-relay.com # DOMAIN telemetry-agent.xyz # DOMAIN smtp.freemail-host.xyz # DOMAIN mail.smtp2go.host # MUTEX agent_tesla_mutex # REGISTRY HKCUSoftwareMicrosoftWindowsCurrentVersionRunAgentTesla # REGISTRY HKCUSoftwareMicrosoftWindowsCurrentVersionRunAgent # FILEPATH %APPDATA%RoamingAgent[hash].exe # FILEPATH %TEMP%agent.exe # EMAIL stealer.exfil2025@gmail.com # EMAIL harvester_data@protonmail.com # EMAIL exfil@protonmail.com # EMAIL stealer@mail.com # EMAIL exfil@telegram-relay.ru # URL https://agenttelsa-ftp.ru/exfil/
ТипЗначениеПримечание
sha256 b4ab9468cbd04d146ba5bb69f1636ea38bdc25baf50c68ca8b1416d5b7e391c7
md5 3ab9b70e4da1748d3cd2679c6dff64ac
ip 45.33.120.163 AgentTesla SMTP relay
ip 198.54.117.197 AgentTesla FTP server
domain emailsrv-2024.net AgentTesla SMTP C2 domain
domain secure-mail-relay.com AgentTesla FTP exfil domain
domain telemetry-agent.xyz AgentTesla WebPanel C2
domain smtp.freemail-host.xyz C2:587
domain mail.smtp2go.host C2:587
mutex agent_tesla_mutex AgentTesla default mutex
registry HKCUSoftwareMicrosoftWindowsCurrentVersionRunAgentTesla AgentTesla Run key
registry HKCUSoftwareMicrosoftWindowsCurrentVersionRunAgent AgentTesla persistence - generic agent name
filepath %APPDATA%RoamingAgent[hash].exe AgentTesla persistence path
filepath %TEMP%agent.exe AgentTesla dropper path
email stealer.exfil2025@gmail.com AgentTesla exfiltration Gmail - OSINT tespiti
email harvester_data@protonmail.com AgentTesla ProtonMail exfil - anonym
email exfil@protonmail.com AgentTesla SMTP exfiltration address (sample)
email stealer@mail.com AgentTesla credential email (placeholder)
email exfil@telegram-relay.ru AgentTesla exfil e-posta
url https://agenttelsa-ftp.ru/exfil/ AgentTesla FTP exfiltration endpoint
AgentTesla — Полный профиль →

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
digicert.com domain — TCP active —
stem.ru domain — TCP active —
digicert.com domain — TCP active —
dublincore.org domain — TCP active —
googleapis.com domain — TCP active —
microsoft.com domain — TCP active —
freightfacilitators.com domain — TCP active —
digicert.com domain — TCP active —

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
agentteslainfostealermalwarehighsha256analizzenginleştirilmiş