위협 데이터베이스 트로이 목마 트로이목마 에이전트 IUW

트로이목마 에이전트 IUW

트로이 목마년에 CagedTech 년까지
게시됨:
마지막 업데이트:

위협 스코어카드

인기 순위: 23,696
위협 수준: 80 % (높은)
처음 본 것: April 7, 2025
마지막으로 본: November 4, 2026
영향을 받는 OS: Windows

Trojan.Agent.IUW는 Windows용 트로이 목마로, 위험도는 10점 만점에 8점입니다. 트로이 목마는 무해하거나 유용한 파일로 위장한 채 백그라운드에서 악성 작업을 수행합니다. 피드 데이터에 따르면 이 악성 프로그램은 2025년 4월 7일에 처음 발견되었고, 가장 최근에는 2026년 11월 4일에 발견되었습니다. 발견 횟수는 적지만, 아래에 설명된 동작 특성 때문에 심각하게 받아들여야 합니다.

위협이 하는 일

설명에 따르면 Agent.IUW는 은밀하게 설치되어 백그라운드에서 조용히 실행됩니다. 설치 후 공격자는 감염된 시스템에 대한 완전한 제어권을 확보할 수 있습니다. 또한 파일을 몰래 삭제하거나 추가 악성코드를 설치할 수도 있습니다.

분석된 샘플은 64비트 네이티브 Windows GUI 실행 파일입니다. 압축되어 있지 않고, 디지털 서명도 없으며, 파일에 추가된 대량의 오버레이(추가 데이터)를 포함하고 있습니다. 또한 헤더에 보안 정보가 없습니다. 이러한 동작은 다음과 같은 몇 가지 가능성을 시사합니다.

  • 네트워크 통신: Winsock 및 WinHTTP 함수를 사용하여 연결을 설정하고, 데이터를 송수신하며, 호스트 이름을 확인합니다. 이는 원격 서버에 접속하여 명령을 수신하거나 데이터를 전송하는 악성 프로그램의 일반적인 특징입니다.
  • 시스템 프로파일링: 컴퓨터 이름, 기본 로캘 및 네트워크 어댑터 정보를 조회합니다. 악성 프로그램은 일반적으로 이러한 세부 정보를 수집하여 감염된 컴퓨터를 식별합니다.
  • 프로세스 조작: 프로세스에서 메모리 영역을 매핑 해제하는 함수를 호출합니다. 이는 일반적으로 다른 프로세스 내부에 악성 코드를 숨기려는 시도와 관련이 있습니다.
  • 권한 변경: 토큰 권한을 조정하는데, 이는 악성 소프트웨어가 시스템에 대한 더 넓은 접근 권한을 얻기 위해 흔히 사용하는 방법입니다.
  • 암호화 및 직접 시스템 호출: Windows 암호화 공급자와 저수준 시스템 호출을 사용합니다. 이 두 가지 모두 데이터를 보호하거나 모니터링을 회피하려는 위협에서 흔히 나타나는 특징입니다.

해당 샘플은 사용자의 임시 폴더에 있는 파일도 수정합니다. 분석된 102개의 코드 블록 중 하나만 잠재적으로 악성으로 표시되었고 나머지는 화이트리스트에 포함되어 있으므로 악성 부분은 크기가 작아 간과하기 쉬울 수 있습니다.

일반적으로 컴퓨터에 침투하는 경로

피드 데이터에는 다음과 같은 일반적인 경로가 나열되어 있습니다.

  • 시스템 취약점과 보안 결함을 악용하는 행위.
  • 악성 웹사이트에서 소프트웨어를 다운로드하는 행위.
  • 출처가 불분명한 이메일 첨부 파일은 일반적으로 .exe, .pif, .avi, 심지어 .jpg 파일입니다.

확장자가 오해를 불러일으키는 첨부 파일은 흔히 사용되는 수법입니다. 사진이나 동영상처럼 보이는 파일이 실제로는 프로그램일 수 있습니다.

사용자에게 미치는 위험

트로이 목마가 실행되면 다른 사람이 사용자의 컴퓨터를 제어할 수 있습니다. 이러한 접근으로 인해 파일 손실 또는 삭제, 추가 악성코드 설치, 개인 정보 및 계정 노출 등의 문제가 발생할 수 있습니다. 또한, 이 샘플은 네트워크를 통해 통신하므로 공격자가 소유자 모르게 감염된 컴퓨터를 악용할 수도 있습니다.

감염 징후

이러한 유형의 트로이 목마는 조용히 활동하도록 설계되었기 때문에 뚜렷한 증상이 나타나지 않을 수 있습니다. 피드 데이터에는 특정 증상이 나열되어 있지 않습니다. 이 범주의 일반적인 경고 신호는 다음과 같습니다.

  • 특히 임시 폴더에서 실행 중인 알 수 없는 프로그램이나 프로세스.
  • 인터넷을 사용하지 않을 때 예기치 않은 네트워크 활동이 발생합니다.
  • 설명 없이 사라지거나 변경되는 파일.
  • 시스템 속도가 느리거나 설정이 자동으로 변경되는 경우.
  • 설치하지 않은 새 소프트웨어입니다.

    • 자신을 보호하는 방법

    • 알려진 취약점이 패치될 수 있도록 Windows와 설치된 모든 프로그램을 최신 상태로 유지하십시오.
    • 소프트웨어는 해당 업체의 공식 웹사이트에서만 다운로드하십시오.
    • 알 수 없는 발신자가 보낸 첨부 파일은 열지 마십시오. 실행을 요구하는 "이미지" 또는 "비디오" 파일이나 확장자가 두 개인 파일은 의심해 봐야 합니다.
    • 파일 탐색기에서 파일 확장자를 표시하여 위장된 실행 파일을 더 쉽게 찾을 수 있도록 합니다.
    • 신뢰할 수 있고 최신 버전의 보안 프로그램을 사용하여 실시간 보호 기능을 제공하고 정기적으로 전체 시스템 검사를 실행하십시오.
    • 중요 파일은 컴퓨터에 영구적으로 연결되어 있지 않은 위치에 백업하십시오.

    악성코드 감염이 의심되면 컴퓨터의 인터넷 연결을 끊고 최신 보안 도구로 전체 검사를 실행한 후 발견된 모든 악성코드를 제거하십시오. 그 후, 깨끗한 컴퓨터에서 암호를 변경하십시오. 시스템이 여전히 제대로 작동하지 않으면 전문가의 도움을 받거나 Windows를 새로 설치하는 것을 고려하십시오.

    분석 보고서

    일반 정보

    성씨: Trojan.Agent.IUW
    서명 상태: No Signature

    알려진 샘플

    MD5: 788b9ff20bb5d2c85db1438cde21dc59
    샤1: f57a376a2d0b9eefef1b156bf37c1d4326344056
    샤256: 521211BE268938C8F9E7E705386D2F20ADC6584515D57254D225CDD825B33519
    파일 크기: 629.14 KB,629145 바이트

    Windows 휴대용 실행 파일 속성

    • File doesn't have "Rich" header
    • File doesn't have exports table
    • File doesn't have security information
    • File is 64-bit executable
    • File is either console or GUI application
    • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
    • File is Native application (NOT .NET application)
    • File is not packed
    • IMAGE_FILE_DLL is not set inside PE header (Executable)
    • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

    파일 특성

    • big overlay
    • dll
    • x64

    블록 정보

    총 블록 수: 102
    잠재적으로 악의적인 차단: 1
    허용된 블록: 101
    알 수 없는 블록: 0

    시각적 지도

    0 - 안전 블록 가능성 높음
    ? - 알 수 없는 블록
    x - 잠재적으로 악의적인 차단

    수정된 파일

    파일 속성
    c:\users\user\appdata\local\temp\fontdrvhost.exe Generic Write,Read Attributes

    레지스트리 수정

    키::값 데이터 API 이름
    HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n* �v �Z����Bx#��(�1`1�1HO@V�A��H[uH�pN$_�zb"hk`k�ql(�{b��P���!���� ���3������������.�m�Ù��gi�V����$�8წ���l��&MA�~�=�SB1_B��T�Vw���%���������AE��D��&�� RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::enablefiletracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::filetracingmask ￿ RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::consoletracingmask ￿ RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::maxfilesize  RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::filedirectory %windir%\tracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::enablefiletracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing RegNtPreCreateKey
    Show 5 more
    HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::filetracingmask ￿ RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::consoletracingmask ￿ RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::maxfilesize  RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::filedirectory %windir%\tracing RegNtPreCreateKey

    Windows API 사용법

    범주 API
    Syscall Use
    • ntdll.dll!NtAccessCheck
    • ntdll.dll!NtAlertThreadByThreadId
    • ntdll.dll!NtAlpcConnectPort
    • ntdll.dll!NtAlpcConnectPortEx
    • ntdll.dll!NtAlpcCreatePortSection
    • ntdll.dll!NtAlpcCreateSectionView
    • ntdll.dll!NtAlpcCreateSecurityContext
    • ntdll.dll!NtAlpcDeleteSecurityContext
    • ntdll.dll!NtAlpcQueryInformation
    • ntdll.dll!NtAlpcQueryInformationMessage
    Show 90 more
    • ntdll.dll!NtAlpcSendWaitReceivePort
    • ntdll.dll!NtAlpcSetInformation
    • ntdll.dll!NtApphelpCacheControl
    • ntdll.dll!NtAssociateWaitCompletionPacket
    • ntdll.dll!NtCancelWaitCompletionPacket
    • ntdll.dll!NtClearEvent
    • ntdll.dll!NtClose
    • ntdll.dll!NtConnectPort
    • ntdll.dll!NtCreateEvent
    • ntdll.dll!NtCreateFile
    • ntdll.dll!NtCreateIoCompletion
    • ntdll.dll!NtCreateKey
    • ntdll.dll!NtCreateMutant
    • ntdll.dll!NtCreatePrivateNamespace
    • ntdll.dll!NtCreateSection
    • ntdll.dll!NtCreateSemaphore
    • ntdll.dll!NtCreateThreadEx
    • ntdll.dll!NtCreateTimer2
    • ntdll.dll!NtCreateWaitCompletionPacket
    • ntdll.dll!NtCreateWorkerFactory
    • ntdll.dll!NtDeviceIoControlFile
    • ntdll.dll!NtDuplicateObject
    • ntdll.dll!NtDuplicateToken
    • ntdll.dll!NtEnumerateKey
    • ntdll.dll!NtEnumerateValueKey
    • ntdll.dll!NtFlushProcessWriteBuffers
    • ntdll.dll!NtFreeVirtualMemory
    • ntdll.dll!NtGetCompleteWnfStateSubscription
    • ntdll.dll!NtMapViewOfSection
    • ntdll.dll!NtNotifyChangeKey
    • ntdll.dll!NtOpenDirectoryObject
    • ntdll.dll!NtOpenEvent
    • ntdll.dll!NtOpenFile
    • ntdll.dll!NtOpenKey
    • ntdll.dll!NtOpenKeyEx
    • ntdll.dll!NtOpenProcess
    • ntdll.dll!NtOpenProcessToken
    • ntdll.dll!NtOpenProcessTokenEx
    • ntdll.dll!NtOpenSection
    • ntdll.dll!NtOpenSemaphore
    • ntdll.dll!NtOpenThread
    • ntdll.dll!NtOpenThreadToken
    • ntdll.dll!NtOpenThreadTokenEx
    • ntdll.dll!NtProtectVirtualMemory
    • ntdll.dll!NtQueryAttributesFile
    • ntdll.dll!NtQueryDebugFilterState
    • ntdll.dll!NtQueryDefaultLocale
    • ntdll.dll!NtQueryDirectoryFileEx
    • ntdll.dll!NtQueryEvent
    • ntdll.dll!NtQueryFullAttributesFile
    • ntdll.dll!NtQueryInformationFile
    • ntdll.dll!NtQueryInformationJobObject
    • ntdll.dll!NtQueryInformationProcess
    • ntdll.dll!NtQueryInformationThread
    • ntdll.dll!NtQueryInformationToken
    • ntdll.dll!NtQueryKey
    • ntdll.dll!NtQueryLicenseValue
    • ntdll.dll!NtQueryPerformanceCounter
    • ntdll.dll!NtQuerySecurityAttributesToken
    • ntdll.dll!NtQuerySecurityObject
    • ntdll.dll!NtQuerySystemInformation
    • ntdll.dll!NtQuerySystemInformationEx
    • ntdll.dll!NtQueryValueKey
    • ntdll.dll!NtQueryVirtualMemory
    • ntdll.dll!NtQueryVolumeInformationFile
    • ntdll.dll!NtQueryWnfStateData
    • ntdll.dll!NtQueueApcThread
    • ntdll.dll!NtQueueApcThreadEx2
    • ntdll.dll!NtReadFile
    • ntdll.dll!NtReadVirtualMemory
    • ntdll.dll!NtReleaseMutant
    • ntdll.dll!NtReleaseSemaphore
    • ntdll.dll!NtReleaseWorkerFactoryWorker
    • ntdll.dll!NtRequestWaitReplyPort
    • ntdll.dll!NtResumeThread
    • ntdll.dll!NtSetEvent
    • ntdll.dll!NtSetInformationKey
    • ntdll.dll!NtSetInformationObject
    • ntdll.dll!NtSetInformationProcess
    • ntdll.dll!NtSetInformationThread
    • ntdll.dll!NtSetInformationVirtualMemory
    • ntdll.dll!NtSetInformationWorkerFactory
    • ntdll.dll!NtSetTimer2
    • ntdll.dll!NtSetValueKey
    • ntdll.dll!NtSubscribeWnfStateChange
    • ntdll.dll!NtTestAlert
    • ntdll.dll!NtTraceControl
    • ntdll.dll!NtUnmapViewOfSection
    • ntdll.dll!NtUnmapViewOfSectionEx
    • ntdll.dll!NtUnsubscribeWnfStateChange

    위에 표시되지 않은 추가 품목이 9개 있습니다.

    Process Manipulation Evasion
    • NtUnmapViewOfSection
    User Data Access
    • GetComputerName
    • GetUserDefaultLocaleName
    • GetUserObjectInformation
    Encryption Used
    • BCryptOpenAlgorithmProvider
    Other Suspicious
    • AdjustTokenPrivileges
    Network Winsock2
    • WSAConnect
    • WSASocket
    • WSAStartup
    • WSAttemptAutodialName
    Network Winsock
    • closesocket
    • freeaddrinfo
    • getaddrinfo
    • recv
    • send
    • setsockopt
    Network Winhttp
    • WinHttpOpen
    Network Info Queried
    • GetAdaptersAddresses
    • GetNetworkParams