Trojan.Agent.IUW
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Classifica di popolarità: | 23,696 |
| Livello di minaccia: | 80 % (Alto) |
| Visto per la prima volta: | April 7, 2025 |
| Ultima visualizzazione: | November 4, 2026 |
| Sistemi operativi interessati: | Windows |
Trojan.Agent.IUW è un rilevamento di Trojan per Windows, classificato 8 su 10 per pericolosità. I Trojan si presentano come file innocui o utili mentre svolgono attività dannose in background. I dati del feed mostrano che questo rilevamento è stato rilevato per la prima volta il 07/04/2025 e più recentemente il 04/11/2026. Viene registrato solo un numero limitato di rilevamenti, ma il comportamento descritto di seguito rende opportuno prenderlo seriamente in considerazione.
Sommario
Cosa fa la minaccia
Secondo la descrizione, Agent.IUW si installa in modo furtivo e viene eseguito silenziosamente in background. Dopo l'installazione, può fornire agli aggressori il controllo completo del sistema infetto. Può anche eliminare file e installare ulteriore malware in modo occulto.
Il campione analizzato è un eseguibile nativo a 64 bit con interfaccia grafica per Windows. Non è compresso, non ha firma digitale e contiene un ampio overlay (dati aggiuntivi aggiunti al file). Inoltre, non presenta informazioni di sicurezza nell'intestazione. Il suo comportamento indica diverse funzionalità:
- Comunicazione di rete: utilizza le funzioni Winsock e WinHTTP per aprire connessioni, inviare e ricevere dati e risolvere i nomi host. Questo è tipico dei malware che si connettono a un server remoto per ricevere comandi o inviare dati.
- Profilazione del sistema: richiede il nome del computer, le impostazioni internazionali predefinite e le informazioni sulla scheda di rete. I malware in genere raccolgono questi dettagli per identificare il computer infetto.
- Manipolazione dei processi: consiste nel richiamare una funzione che dealloca sezioni di memoria da un processo. Questa pratica è tipicamente associata ai tentativi di nascondere codice dannoso all'interno di altri processi.
- Modifiche dei privilegi: regola i privilegi dei token, una pratica spesso utilizzata dai malware per ottenere un accesso più ampio al sistema.
- Crittografia e chiamate di sistema dirette: utilizza un provider crittografico di Windows e chiamate di sistema di basso livello. Entrambe sono tipiche delle minacce che vogliono proteggere i propri dati o evitare il monitoraggio.
Il campione modifica anche un file nella cartella temporanea dell'utente. Dei 102 blocchi di codice analizzati, uno è stato segnalato come potenzialmente dannoso e i restanti sono stati inseriti nella lista bianca, quindi la parte dannosa potrebbe essere piccola e facile da trascurare.
Come di solito si insinua nei computer
I dati del feed elencano questi percorsi tipici:
- Sfruttamento delle vulnerabilità del sistema e delle falle di sicurezza.
- Download di software da siti web dannosi.
- Allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi e persino .jpg.
Gli allegati con estensioni ingannevoli sono un trucco comune. Un file che sembra un'immagine o un video potrebbe in realtà essere un programma.
Rischi per l’utente
Se il Trojan viene eseguito, qualcun altro potrebbe prendere il controllo del tuo computer. Le conseguenze tipiche di questo tipo di accesso includono la perdita o la cancellazione di file, l'installazione di ulteriore malware e l'esposizione di informazioni e account personali. Poiché il campione comunica tramite la rete, un computer infetto potrebbe anche essere utilizzato da malintenzionati all'insaputa del proprietario.
Segni di infezione
I trojan di questo tipo sono progettati per rimanere invisibili, quindi potrebbero non presentare sintomi evidenti. I dati del feed non elencano sintomi specifici. I segnali di allarme tipici per questa categoria includono:
- Esecuzione di programmi o processi sconosciuti, soprattutto da cartelle temporanee.
- Attività di rete inaspettata quando non si sta utilizzando Internet.
- File che scompaiono o si modificano senza alcuna spiegazione.
- Un sistema più lento o impostazioni che cambiano automaticamente.
Come proteggersi
- Mantieni Windows e tutti i programmi installati aggiornati in modo che le vulnerabilità note vengano corrette.
- Scarica il software esclusivamente dalle fonti ufficiali del fornitore.
- Non aprire allegati provenienti da mittenti sconosciuti. Diffida di qualsiasi "immagine" o "video" che richieda di essere eseguito o che presenti una doppia estensione.
- Visualizza le estensioni dei file in Esplora file per individuare più facilmente i file eseguibili mascherati.
- Utilizza un programma di sicurezza affidabile e aggiornato con protezione in tempo reale ed esegui regolarmente scansioni complete del sistema.
- Esegui il backup dei file importanti in una posizione non permanentemente connessa al tuo computer.
Se sospetti un'infezione, disconnetti il computer da Internet, esegui una scansione completa con uno strumento di sicurezza aggiornato e rimuovi tutto ciò che viene rilevato. Dopodiché, cambia le password da un dispositivo pulito. Se il sistema continua a comportarsi in modo anomalo, valuta la possibilità di richiedere assistenza professionale o di reinstallare Windows da zero.
Rapporto di analisi
Informazione Generale
| Cognome: | Trojan.Agent.IUW |
|---|---|
| Stato della firma: | No Signature |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
788b9ff20bb5d2c85db1438cde21dc59
SHA1:
f57a376a2d0b9eefef1b156bf37c1d4326344056
SHA256:
521211BE268938C8F9E7E705386D2F20ADC6584515D57254D225CDD825B33519
Dimensione del file:
629.14 KB.629145 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Caratteristiche dei file
- big overlay
- dll
- x64
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 102 |
|---|---|
| Blocchi potenzialmente dannosi: | 1 |
| Blocchi consentiti: | 101 |
| Blocchi sconosciuti: | 0 |
Mappa visiva
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
File modificati
File modificati
Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.| File | Attributi |
|---|---|
| c:\users\user\appdata\local\temp\fontdrvhost.exe | Generic Write,Read Attributes |
Modifiche al registro
Modifiche al registro
Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.| Chiave::Valore | Dati | Nome API |
|---|---|---|
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | �n * �v �Z����Bx #��(�1`1�1HO @V� A��H[uH�pN$_�zb"hk`k�ql(�{b��P� ��!���� � ��3�� ��� �������.�m� Ù� �gi�V ����$�8წ���l� �&M A�~ �=�SB1_ B�� T�Vw���%�������� �AE��D��&�� | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey |
Show 5 more
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| Syscall Use |
Show 90 more
Altri 9 articoli non sono visualizzati qui sopra. |
| Process Manipulation Evasion |
|
| User Data Access |
|
| Encryption Used |
|
| Other Suspicious |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|