agenttesla | a2aca0074f33821237e5cad0cf5a8c1f5951e8e43464b47846c335e369f41196

General

Target

εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe
Size

915KB
MD5

8c86b902a30a85acd4c2074d74751730
SHA1

5a68c4ed0a0794f4f2eb89c495871a3a37eb4470
SHA256

5b3b3df47d5e857dae3b9c6fb4b7f03b85f58744d50007a42cc0c5769a9cf59d
SHA512

8740908a26e07f80b09f08a39608073064974c5bd73d8c826fe37520a63f9ace0fa30abb99b4b3ec0424f434839855c1e7b130101974747a13b4b5dcbd340700
SSDEEP

24576:WtNwSIOU6QJKm4+a1qalkdvf6mNdxFmNxwZpzji:WtySO67PqaEvd1pzG

Score

10^/10

agenttesla discovery keylogger spyware stealer trojan

Malware Config

Extracted

Family

agenttesla

Credentials

Protocol: smtp
Host:
mail.lavli.rs
Port:
587
Username:
[email protected]
Password:
lavlirsinfo2010
Email To:
[email protected]

Signatures

AgentTesla
Agent Tesla is a remote access tool (RAT) written in visual basic.
keylogger trojan stealer spyware agenttesla

Looks up external IP address via web service 2 IoCs

Uses a legitimate IP lookup service to find the infected system's external IP.

flow	ioc
41	api.ipify.org
42	api.ipify.org

Suspicious use of SetThreadContext 1 IoCs

description	pid	Process	procid_target
PID 3184 set thread context of 3956	3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe	99

System Location Discovery: System Language Discovery 1 TTPs 2 IoCs

Attempt gather information about the system language of a victim in order to infer the geographical location of that host.

discovery

System Language Discovery

T1614.001

description	ioc	Process
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	InstallUtil.exe

Suspicious behavior: EnumeratesProcesses 5 IoCs

pid	Process
3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe
3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe
3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe
3956	InstallUtil.exe
3956	InstallUtil.exe

Suspicious use of AdjustPrivilegeToken 2 IoCs

description	pid	Process
Token: SeDebugPrivilege	3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe
Token: SeDebugPrivilege	3956	InstallUtil.exe

Suspicious use of WriteProcessMemory 8 IoCs

description	pid	Process	procid_target
PID 3184 wrote to memory of 3956	3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe	99
PID 3184 wrote to memory of 3956	3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe	99
PID 3184 wrote to memory of 3956	3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe	99
PID 3184 wrote to memory of 3956	3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe	99
PID 3184 wrote to memory of 3956	3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe	99
PID 3184 wrote to memory of 3956	3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe	99
PID 3184 wrote to memory of 3956	3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe	99
PID 3184 wrote to memory of 3956	3184	εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe	99

C:\Users\Admin\AppData\Local\Temp\εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe
"C:\Users\Admin\AppData\Local\Temp\εκκαθάριση τιμολογίου για πληρωμή 11 Οκτωβρίου 2024.xlsx.exe"
1⤵
- Suspicious use of SetThreadContext
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:3184
- C:\Windows\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exe
  "C:\Windows\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exe"
  2⤵
  - System Location Discovery: System Language Discovery
  - Suspicious behavior: EnumeratesProcesses
  - Suspicious use of AdjustPrivilegeToken
  PID:3956

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Discovery

System Location Discovery

1

T1614

System Language Discovery

1

T1614.001

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

memory/3184-10-0x0000000074880000-0x0000000075030000-memory.dmp

Filesize
7.7MB

Download
memory/3184-1-0x00000000007F0000-0x00000000008DC000-memory.dmp

Filesize
944KB

Download
memory/3184-2-0x0000000005140000-0x00000000051DC000-memory.dmp

Filesize
624KB

Download
memory/3184-3-0x0000000005790000-0x0000000005D34000-memory.dmp

Filesize
5.6MB

Download
memory/3184-4-0x00000000051E0000-0x0000000005272000-memory.dmp

Filesize
584KB

Download
memory/3184-5-0x0000000074880000-0x0000000075030000-memory.dmp

Filesize
7.7MB

Download
memory/3184-6-0x00000000052F0000-0x000000000538E000-memory.dmp

Filesize
632KB

Download
memory/3184-7-0x00000000055B0000-0x00000000055BA000-memory.dmp

Filesize
40KB

Download
memory/3184-9-0x000000007488E000-0x000000007488F000-memory.dmp

Filesize
4KB

Download
memory/3184-8-0x0000000074880000-0x0000000075030000-memory.dmp

Filesize
7.7MB

Download
memory/3184-12-0x0000000009400000-0x0000000009406000-memory.dmp

Filesize
24KB

Download
memory/3184-11-0x0000000006850000-0x000000000686A000-memory.dmp

Filesize
104KB

Download
memory/3184-0-0x000000007488E000-0x000000007488F000-memory.dmp

Filesize
4KB

Download
memory/3184-15-0x0000000074880000-0x0000000075030000-memory.dmp

Filesize
7.7MB

Download
memory/3956-13-0x0000000000400000-0x0000000000440000-memory.dmp

Filesize
256KB

Download
memory/3956-16-0x0000000074880000-0x0000000075030000-memory.dmp

Filesize
7.7MB

Download
memory/3956-17-0x0000000005970000-0x00000000059D6000-memory.dmp

Filesize
408KB

Download
memory/3956-18-0x0000000074880000-0x0000000075030000-memory.dmp

Filesize
7.7MB

Download
memory/3956-19-0x0000000006ED0000-0x0000000006F20000-memory.dmp

Filesize
320KB

Download
memory/3956-20-0x0000000074880000-0x0000000075030000-memory.dmp

Filesize
7.7MB

Download

Analysis

Sharing