Trojan.Spy.Agent.AZ
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Classifica di popolarità: | 22,740 |
| Livello di minaccia: | 80 % (Alto) |
| Computer infetti: | 15 |
| Visto per la prima volta: | April 10, 2024 |
| Ultima visualizzazione: | August 26, 2026 |
| Sistemi operativi interessati: | Windows |
Trojan.Spy.Agent.AZ è un Trojan per Windows con un livello di pericolosità pari a 8 su 10. Appartiene alla categoria dei Trojan di tipo spyware, il che significa che è progettato per funzionare silenziosamente, eludere i controlli e consentire agli aggressori di accedere al computer. È stato rilevato per la prima volta il 10/04/2024 e più recentemente il 26/08/2026, quindi è ancora attivo. Il feed elenca 15 rilevamenti.
Sommario
Cosa fa la minaccia
Secondo quanto riportato, Spy.Agent.AZ si installa in modo furtivo e viene eseguito silenziosamente in background. Dopo l'installazione, può dare agli aggressori il controllo completo del sistema. Può anche eliminare file e installare software aggiuntivo in modo occulto. Il testo del feed si interrompe a questo punto, quindi non specifica esattamente cos'altro il Trojan può installare.
I dati tecnici indicano un programma GUI nativo di Windows a 64 bit non compresso. Utilizza diverse funzionalità tipiche dei malware di spionaggio e controllo remoto:
- Accesso alla rete: utilizza le funzioni di rete di Windows (WinHTTP e Winsock), di cui un Trojan come questo ha tipicamente bisogno per comunicare con un server remoto.
- Crittografia: utilizza una funzione crittografica di Windows. I malware in genere lo fanno per nascondere i propri dati o le proprie comunicazioni.
- Scrittura in memoria: è contrassegnata per WriteProcessMemory. Questa funzione è comunemente associata all'iniezione di codice in altri processi in esecuzione, sebbene il feed non confermi che sia questo ciò che fa l'esempio.
È stato inoltre osservato che il campione modificava i file nella cache di download dei certificati di Windows. Questo potrebbe essere semplicemente un effetto collaterale della verifica della firma digitale da parte di Windows, pertanto non dovrebbe essere considerato una prova di una specifica azione dannosa.
Come di solito si insinua nei computer
Il feed indica tre percorsi principali:
- Sfruttamento delle vulnerabilità del sistema e delle falle di sicurezza.
- Download di software da siti web dannosi.
- Allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi e persino .jpg.
Il file analizzato si maschera anche da falso. Le informazioni sulla sua versione dichiarano di provenire da Microsoft Corporation e presentano il file come "setup.exe" per un prodotto chiamato "Notepad --", etichettato come "Notepad -- Setup Installer". Reca una firma digitale rilasciata a "Greenengine OU", ma lo stato della firma è "Root Not Trusted". Un programma di installazione fasullo con un nome apparentemente familiare e una firma non attendibile è un buon motivo per non eseguirlo.
Rischi per l’utente
Poiché questo Trojan può dare a un aggressore il pieno controllo del sistema, il danno potenziale è esteso. I rischi tipici dei Trojan di tipo spyware includono:
- Furto di dati personali, password e altre informazioni sensibili.
- Perdita o cancellazione di file.
- Installazione di ulteriore malware.
- Utilizzo del computer da parte di terzi a vostra insaputa.
Il feed conferma la cancellazione del file, l'eventuale controllo completo e le installazioni aggiuntive. Gli altri elementi descrivono ciò che è tipico per questa categoria.
Segni di infezione
Il virus di Troia agisce silenziosamente, quindi potrebbero non esserci sintomi evidenti. I segni tipici di questo tipo di infezione includono:
- Attività di rete inaspettate da parte di programmi sconosciuti.
- File che scompaiono senza alcuna spiegazione.
- Nuovi programmi che non hai installato.
- Prestazioni più lente o comportamenti di sistema inspiegabili.
- Un file "setup.exe" o un programma di installazione eseguito di recente che non ha raggiunto lo scopo promesso.
Come proteggersi
- Mantieni Windows e tutti i software installati aggiornati, poiché questo Trojan può sfruttare vulnerabilità note.
- Scaricate il software esclusivamente dal sito web ufficiale del produttore e diffidate dei programmi di installazione che, pur sembrando strumenti noti, provengono da fonti sconosciute.
- Non aprite allegati provenienti da mittenti sconosciuti, anche se il file sembra un'immagine o un video. I file eseguibili camuffati da immagini o contenuti multimediali sono un trucco comune.
- Prima di eseguire un file, verifica la sua firma digitale. Un avviso del tipo "root non attendibile" è un campanello d'allarme.
- Utilizza una soluzione di sicurezza affidabile e aggiornata ed esegui una scansione completa del sistema se sospetti un problema.
- Effettua regolarmente backup dei file importanti su un'unità o un servizio non permanentemente connesso al tuo computer.
Se sospetti di aver installato un programma sospetto, disconnetti il computer da Internet, esegui una scansione completa e rimuovi tutto ciò che viene rilevato. Dopodiché, cambia le tue password importanti da un altro dispositivo pulito.
Rapporto di analisi
Informazione Generale
| Cognome: | Trojan.Spy.Agent.AZ |
|---|---|
| Stato della firma: | Root Not Trusted |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
95f79bb0f335e61e9141dd51bc91d395
SHA1:
9d4e073bc4d9f200e854f341032271cd92d08410
SHA256:
43ED1D8E0E162CD1B982B8BFA514A78BB0D7304CA773B31350966587E658A211
Dimensione del file:
7.06 MB.7059528 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have debug information
- File has exports table
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icone dei file
Icone dei file
Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.
Informazioni sulla versione di Windows PE
Informazioni sulla versione di Windows PE
Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.| Nome | Valore |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | setup.exe |
| File Version | 1.2.0.400 |
| Original Filename | setup.exe |
| Product Name | Notepad -- |
| Product Version | 1.2.0.400 |
| Program I D | Notepad -- Setup Installer |
Firme digitali
Firme digitali
Questa sezione elenca le firme digitali associate ai campioni appartenenti a questa famiglia. Durante l'analisi e la verifica delle firme digitali, è importante accertarsi che l'autorità radice della firma sia un'entità nota e affidabile e che lo stato della firma sia valido. Il malware è spesso firmato con firme digitali "autofirmate" non affidabili (che possono essere create facilmente dall'autore del malware senza alcuna verifica). Il malware può anche essere firmato con firme legittime che presentano uno stato non valido, oppure con firme provenienti da autorità radice discutibili con nomi di "firmatario" falsi o fuorvianti.| Firmatario | Radice | Stato |
|---|---|---|
| Greenengine OU | SSL.com EV Root Certification Authority RSA R2 | Root Not Trusted |
Caratteristiche dei file
- Installer Version
- WriteProcessMemory
- x64
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 28,258 |
|---|---|
| Blocchi potenzialmente dannosi: | 56 |
| Blocchi consentiti: | 28,180 |
| Blocchi sconosciuti: | 22 |
Mappa visiva
... Dati troncati? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
Famiglie simili
Famiglie simili
Questa sezione elenca altre famiglie che presentano similitudini con questa famiglia, sulla base dell'analisi di EnigmaSoft. Molte famiglie di malware sono create a partire dagli stessi toolkit e utilizzano le stesse tecniche di compressione e crittografia, ma ne estendono le funzionalità in modo univoco. Famiglie simili possono anche condividere codice sorgente, attributi, icone, sottocomponenti, firme digitali compromesse e/o non valide e caratteristiche di rete. I ricercatori sfruttano queste somiglianze per analizzare rapidamente ed efficacemente i campioni di file ed estendere le regole di rilevamento del malware.- Delf.Spy.D
- Downloader.Delf.L
- Ousaban.J
- Rugmi.L
- SecureDuck.A
Show 1 more
- Spy.Agent.AZ
File modificati
File modificati
Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.| File | Attributi |
|---|---|
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Modifiche al registro
Modifiche al registro
Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.| Chiave::Valore | Dati | Nome API |
|---|---|---|
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | �RĿ���Ӂ� f�K�Q� 9dI��:��d S � 0��0" +��000 +�7< �0" +��000 +�7< �0g� 00 +�7< �0g� 00 +�7< � ^ S S L . c o m E V R o o t C e r t i f i c a t i o | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | h?X�R�!���2� S_ t:�R��2��J��Ժ�{|.Ě~ ��%� 0 + V=XΌ {PV�G5� b �`����4����%�s�Fi��b .{�l�$���⪆�ua��9�;/���mN�4�B\ L 0J++ +�7 | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | 䂁ᣅﱩⱆ疉ར碪 嚨출얜米ቺ惟Ⲍ咼S e 挰ℰଆ萪Ũɷą、〒ؐ⬊ĆĄ㞂ļ́ダء⨋梄蘁矶Ԃ܁ሰူਆثЁ舁㰷āȃ쀀ᬰԆ腧Č〃〒ؐ⬊ĆĄ㞂ļ́ী Ā 吀 ْ⬈Ćԅ̇⬈Ćԅ̇⬊ĆĄ㞂̊⬈Ćԅ̇⬈Ćԅ̇؆⬈Ćԅ̇؇⬈Ćԅ | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | \ ࠀ 縟୵歖訒룀埖⩭ꕰ 뜠㼬⼙⠆妢᤺ྦྷ鸆 泥閯洬ꫲឤ꜆䑺ς 瘈쯍＇췅믭벐蓢䘷b 塜赆䦎瑾船뗒က톶㝥콊ꞃꏔ뜭쑨蹀 4 Certum Trusted Network CA T | RegNtPreCreateKey |
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| Syscall Use |
Show 90 more
Altri 12 articoli non sono visualizzati qui sopra. |
| Network Winsock2 |
|
| Encryption Used |
|
| Network Winhttp |
|