Trojan.Agent.GDD

Trojan.Agent.GDD è un Trojan per Windows classificato con un livello di pericolosità di 8 su 10. Come la maggior parte dei Trojan, si finge innocuo o si nasconde, per poi operare silenziosamente in background eseguendo azioni dannose. Questo articolo spiega cosa si sa al riguardo e come ridurre il rischio.

Cosa fa Trojan.Agent.GDD

Secondo la descrizione nel feed, Agent.GDD viene eseguito silenziosamente in background e svolge funzioni dannose. Dopo l'installazione, potrebbe fornire agli aggressori il controllo completo del sistema infetto. Potrebbe anche eliminare file e installare ulteriore malware in modo furtivo. La descrizione nel feed è incompleta, quindi non è possibile confermare ulteriori dettagli sul comportamento del programma.

I dati tecnici del campione analizzato mostrano un eseguibile nativo Windows a 32 bit (x86), non un'applicazione .NET. Si tratta di un'applicazione con interfaccia grafica (GUI), quindi può essere eseguita senza visualizzare una finestra della console. Il file non è compresso, ma presenta un'elevata entropia, non ha informazioni sulla versione, né firma digitale, né informazioni di debug. La mancanza di informazioni sulla versione e di firme è comune nei file dannosi, sebbene non costituisca di per sé una prova di dolo.

Nell'analisi sono stati esaminati 501 blocchi. Di questi, 125 sono stati segnalati come potenzialmente dannosi, 376 sono stati inseriti nella lista bianca e nessuno era sconosciuto. È stata registrata una modifica di file nella cartella Download dell'utente e l'unica categoria API rilevata è stata l'accesso ai dati dell'utente. Si tratta di un quadro limitato e il conteggio dei rilevamenti nel feed è solo 1, quindi non deve essere interpretato come un profilo completo della minaccia.

Come di solito si insinua nei computer

Il feed afferma che Agent.GDD si installa in modo furtivo, il più delle volte tramite:

• sfruttare le vulnerabilità del sistema e le falle di sicurezza;
• download di software da siti web dannosi;
• Allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi e persino .jpg.

I file con doppi significati o estensioni camuffate sono un tipico trucco. Un file che sembra un'immagine o un video potrebbe in realtà essere un programma eseguibile.

Rischi per l’utente

Se un sistema viene infettato, i rischi descritti nel feed includono:

• controllo remoto del computer da parte di malintenzionati;
• eliminazione dei tuoi file;
• installazione di ulteriore malware.

I trojan di questo tipo portano comunemente al furto di dati personali, al furto di credenziali di accesso o all'utilizzo del computer per altre attività criminali. Il feed non conferma questi esiti specifici per Agent.GDD, quindi è opportuno considerarli come rischi tipici della categoria piuttosto che come comportamenti comprovati.

Segni di infezione

Poiché il Trojan è progettato per essere silenzioso, potrebbero non essere presenti sintomi evidenti. Il feed non elenca sintomi specifici, ma i segni tipici di un'infezione da Trojan includono:

• rallentamenti imprevisti o elevato utilizzo delle risorse;
• file che scompaiono o vengono modificati senza alcuna spiegazione;
• comparsa di programmi o processi sconosciuti;
• Le impostazioni si modificano automaticamente;
• Attività di rete insolite o disattivazione degli strumenti di sicurezza.

Un file sconosciuto nella cartella Download, che non hai salvato consapevolmente, potrebbe essere un segnale di allarme.

Come proteggersi

• Mantieni Windows e tutti i programmi installati aggiornati, poiché si dice che il Trojan sfrutti le vulnerabilità del sistema.
• Scarica il software solo da fonti ufficiali e affidabili ed evita siti web sconosciuti.

Se sospetti un'infezione, disconnetti il computer da Internet, esegui una scansione completa e cambia le password importanti utilizzando un dispositivo pulito. Se il computer contiene dati sensibili, valuta la possibilità di rivolgerti a un professionista per assicurarti che il sistema venga ripulito completamente.

Rapporto di analisi

Informazione Generale

Cognome:	Trojan.Agent.GDD
Stato della firma:	No Signature

Campioni noti

i

Campioni noti

Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.

MD5: e2cc65db170c25641bcff50cec580c9d SHA1: 6d7b7bc0437d90c355237f76e6088cb7df593eeb SHA256: D110D6F6E54425DA013D36196E438AB9CE72FC9DD8D95FA76D9B2DBB826484BE Dimensione del file: 442.37 KB.442368 byte

Attributi di Windows Portable Executable

i

Attributi di Windows Portable Executable

Questa sezione elenca gli attributi dei file trovati all'interno dei campioni della famiglia. Questi attributi vengono estratti dalle specifiche Windows PE (Portable Executable) dei file e da vari flag di sistema. Gli attributi Portable Executable forniscono ai ricercatori di malware informazioni sulla funzionalità di un file, sui dettagli dell'eseguibile, sulla piattaforma e sull'ambiente di runtime.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icone dei file

i

Icone dei file

Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.

Caratteristiche dei file

• HighEntropy
• No Version Info
• x86

Informazioni sul blocco

i

Informazioni sul blocco

Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.

Blocchi totali:	501
Blocchi potenzialmente dannosi:	125
Blocchi consentiti:	376
Blocchi sconosciuti:	0

Mappa visiva

0 - Probabile blocco di sicurezza
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso

File modificati

i

File modificati

Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.

File	Attributi
c:\users\user\downloads\matrix.uc	Generic Read,Write Data,Write Attributes,Write extended,Append data

Utilizzo delle API di Windows

i

Utilizzo delle API di Windows

Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.

Categoria	API
User Data Access	GetUserObjectInformation