Trojan.Agent.Gen.DFO
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Classifica di popolarità: | 12,359 |
| Livello di minaccia: | 80 % (Alto) |
| Visto per la prima volta: | June 24, 2026 |
| Ultima visualizzazione: | November 11, 2026 |
| Sistemi operativi interessati: | Windows |
Trojan.Agent.Gen.DFO è un nome generico di rilevamento per un Trojan che prende di mira i computer Windows. I ricercatori di sicurezza lo classificano con un livello di pericolo pari a 8 su 10. Il feed mostra che è stato rilevato per la prima volta il 24/06/2026 e per l'ultima volta l'11/11/2026, con 9 rilevamenti registrati. Un Trojan si maschera da qualcosa di innocuo o utile, e questo è stato visto presentarsi come un launcher di giochi.
Sommario
Cosa fa la minaccia
Secondo quanto riportato, Trojan.Agent.Gen.DFO si installa in modo furtivo e poi viene eseguito silenziosamente in background, svolgendo funzioni dannose. Potrebbe consentire agli aggressori di ottenere il controllo completo del sistema infetto.
Il campione analizzato è un programma GUI nativo per Windows a 64 bit, non compresso. Le informazioni sulla versione indicano che si tratta di "Stellar Horizons Launcher" di "Orbitgate Studio", con il nome file originale Launcher.exe. È firmato con un certificato autofirmato, il che significa che non è autenticato da alcuna autorità di certificazione attendibile. Poiché il feed fornisce solo una descrizione parziale, questo articolo non pretende di conoscere tutte le azioni eseguite dal Trojan.
Le caratteristiche tecniche riscontrate nel campione includono:
- Funzioni come WriteProcessMemory, VirtualQueryEx e NtReadVirtualMemory, che vengono tipicamente utilizzate per leggere o scrivere in altri processi in esecuzione.
- CryptUnprotectData viene in genere utilizzato per decrittografare i dati protetti da Windows, come le credenziali salvate. Il feed non conferma a quali dati acceda effettivamente questo campione.
- Le funzioni WinHTTP indicano che il file è in grado di effettuare richieste web e comunicare tramite la rete.
- Un controllo IsDebuggerPresent, una tipica tecnica anti-analisi.
- Elevata entropia e un componente imgui, che suggerisce un'interfaccia grafica simile a quelle viste negli strumenti di sviluppo di videogiochi.
L'esempio ha modificato un file di impostazioni launcher.ini nella cartella dei dati delle applicazioni mobili, insieme ai file di transazione del registro utente di Windows.
Il feed elenca famiglie simili come Gametool.DBA, PUP.GameHack.Gen.BD, Trojan.Downloader.Gen.JF e Trojan.Kryptik.Gen.IOT. Ciò suggerisce un collegamento con strumenti legati ai giochi e minacce di tipo downloader, ma il feed non specifica quanto siano strettamente correlate.
Come di solito si insinua nei computer
Il feed indica che questo Trojan arriva più spesso tramite:
- Sfruttamento delle vulnerabilità del sistema e delle falle di sicurezza.
- Download di software da siti web dannosi.
- Allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi e persino .jpg.
Considerato il camuffamento da launcher, è tipico che minacce di questo tipo vengano distribuite insieme a falsi launcher di giochi, trucchi o software pirata. Il feed non conferma che questa sia una specifica via di distribuzione.
Rischi per l’utente
Con un livello di pericolo pari a 8, la principale preoccupazione è la perdita di controllo del PC. I trojan di questo tipo consentono in genere il furto di password e dati personali salvati, l'installazione di ulteriore malware e l'accesso remoto da parte degli aggressori. Il feed avverte specificamente che gli hacker potrebbero ottenere il controllo completo del sistema. Gli account di posta elettronica, bancari, di gioco e dei social media potrebbero essere a rischio se le credenziali vengono rubate.
Segni di infezione
Poiché il Trojan agisce silenziosamente, potrebbero non esserci sintomi evidenti. Possibili segnali di allarme includono:
- Un programma di avvio o uno strumento di gioco che non ricordi di aver installato, oppure uno che non corrisponde al suo editore dichiarato.
- Attività di rete inspiegabili o programmi che si connettono a Internet senza motivo.
- Prestazioni più lente o processi in background sconosciuti.
Come proteggersi
- Mantieni Windows e tutti i tuoi software aggiornati in modo che le vulnerabilità note vengano corrette.
- Scarica il software esclusivamente dalla fonte ufficiale dell'editore ed evita crack, trucchi e launcher non ufficiali.
- Non aprire allegati provenienti da mittenti sconosciuti, soprattutto file .exe o .pif, o file multimediali che si comportano in modo anomalo.
- Si raccomanda cautela nell'utilizzo di programmi privi di firma digitale valida o firmatari sconosciuti.
- Esegui regolarmente scansioni complete del sistema con uno strumento di sicurezza aggiornato e affidabile.
- Utilizza password univoche e la verifica in due passaggi, in modo che una password rubata non permetta di accedere a più account.
Se sospetti un'infezione, disconnettiti da Internet, esegui una scansione completa e rimuovi tutto ciò che viene rilevato. Quindi cambia le password da un dispositivo pulito. Valuta la possibilità di controllare i tuoi account per individuare attività sospette.
Rapporto di analisi
Informazione Generale
| Cognome: | Trojan.Agent.Gen.DFO |
|---|---|
| Stato della firma: | Self Signed |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
e8315cbadf8ff1eccf1a6f739547ff07
SHA1:
34f32f1e2107fb1a91d55aebd5023eedb85849b1
SHA256:
193C6DAF2755473EA6524EC1724B13271A29F30024EE2260DF2C1AF13286034E
Dimensione del file:
974.34 KB.974336 byte
|
|
MD5:
dc2615eab7c926afd4a2cbaa6ee71d1e
SHA1:
399b4a210b7ed02fff15308cccc43522ab31b065
SHA256:
3186A594BC23CBD818C010A1295215842D53C3D93387AF7A7477497080AD7F07
Dimensione del file:
911.87 KB.911872 byte
|
|
MD5:
e811822fd9f8450249ac0ccd41f33b6e
SHA1:
7c06411bd76c3e244cb3881cea32bcf4d67ae45e
SHA256:
85A9C3254A5AF7A6544A2CC02436BC407A3ACC270C182E0EE83EBBB655CFBA61
Dimensione del file:
979.46 KB.979456 byte
|
|
MD5:
b0486e21a342208295d3af65c7f0d462
SHA1:
871523b5f89fd3cdf68ed0fa3a3e8aac8f73a276
SHA256:
54AEC7CA4D5B9CCA83DE7A5F1B9A71661D160561E7F6962150A5E03B97B9CE63
Dimensione del file:
1.01 MB.1010688 byte
|
|
MD5:
98288a90e63dbf577fd29a2d6f96af6e
SHA1:
d67420e191a76bfc2ea50722056735895e598abb
SHA256:
54E61AC49B0D6E8541A9403FCB7FC704B240D5F976B8634980BFE54DA4599631
Dimensione del file:
1.56 MB.1557504 byte
|
Show 3 more
|
MD5:
33e32eac2b63c8d25e41a1de4cd7d7ae
SHA1:
6686df8f8f6c6d8b47cecb685c1005167480e527
SHA256:
8F5576F9C2012B98B99CA878A3D8A2BAE09F1B56295CB19BDEAC45F29E3BCA0C
Dimensione del file:
3.33 MB.3325952 byte
|
|
MD5:
49efee3ba437d8e73d746417e3f1431f
SHA1:
c101fe17bec13e45bba4037a0e91033c0d311afa
SHA256:
269D2B31F345A50D269FFE709D2A5033E01F76A8B9EED70CC61E0DF7DD31674F
Dimensione del file:
1.67 MB.1671168 byte
|
|
MD5:
6718bc25df99fa0248a70ecf33d85f47
SHA1:
cf8567ac6d78a7d0d24a5841a3e5eae55f9e143a
SHA256:
DEA66CCB1584ABD49FAEB427EC256722D771D2E96AAFCF14A201388FFD600C53
Dimensione del file:
2.32 MB.2316112 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icone dei file
Icone dei file
Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.
Informazioni sulla versione di Windows PE
Informazioni sulla versione di Windows PE
Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.| Nome | Valore |
|---|---|
| Company Name | Orbitgate Studio |
| File Description | Stellar Horizons Launcher |
| File Version | 3.3 |
| Internal Name | Launcher |
| Legal Copyright | (c) 2026 Orbitgate Studio |
| Original Filename | Launcher.exe |
| Product Name | Stellar Horizons Launcher |
| Product Version | 3.3 |
Firme digitali
Firme digitali
Questa sezione elenca le firme digitali associate ai campioni appartenenti a questa famiglia. Durante l'analisi e la verifica delle firme digitali, è importante accertarsi che l'autorità radice della firma sia un'entità nota e affidabile e che lo stato della firma sia valido. Il malware è spesso firmato con firme digitali "autofirmate" non affidabili (che possono essere create facilmente dall'autore del malware senza alcuna verifica). Il malware può anche essere firmato con firme legittime che presentano uno stato non valido, oppure con firme provenienti da autorità radice discutibili con nomi di "firmatario" falsi o fuorvianti.| Firmatario | Radice | Stato |
|---|---|---|
| World Works | World Works | Self Signed |
Caratteristiche dei file
- CryptUnprotectData
- GetConsoleWindow
- HighEntropy
- imgui
- No Version Info
- VirtualQueryEx
- WriteProcessMemory
- x64
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 6,527 |
|---|---|
| Blocchi potenzialmente dannosi: | 1,076 |
| Blocchi consentiti: | 4,594 |
| Blocchi sconosciuti: | 857 |
Mappa visiva
... Dati troncati? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
Famiglie simili
Famiglie simili
Questa sezione elenca altre famiglie che presentano similitudini con questa famiglia, sulla base dell'analisi di EnigmaSoft. Molte famiglie di malware sono create a partire dagli stessi toolkit e utilizzano le stesse tecniche di compressione e crittografia, ma ne estendono le funzionalità in modo univoco. Famiglie simili possono anche condividere codice sorgente, attributi, icone, sottocomponenti, firme digitali compromesse e/o non valide e caratteristiche di rete. I ricercatori sfruttano queste somiglianze per analizzare rapidamente ed efficacemente i campioni di file ed estendere le regole di rilevamento del malware.- Gametool.DBA
- Kryptik.BEZD
- PUP.GameHack.Gen.BD
- Trojan.Downloader.Gen.JF
- Trojan.Kryptik.Gen.IOT
File modificati
File modificati
Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.| File | Attributi |
|---|---|
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\roaming\stellarhorizons\launcher.ini | Generic Write,Read Attributes |
Modifiche al registro
Modifiche al registro
Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.| Chiave::Valore | Dati | Nome API |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 犕㜿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ⡔軱㥿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 俳䃚㴏ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ꝟԋ䍾ǝ | RegNtPreCreateKey |
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| Syscall Use |
Show 90 more
Altri 5 articoli non sono visualizzati qui sopra. |
| Anti Debug |
|
| User Data Access |
|
| Network Winhttp |
|