위협 데이터베이스 트로이 목마 트로이목마 다운로더.Gen.ASQ

트로이목마 다운로더.Gen.ASQ

트로이 목마년에 CagedTech 년까지
게시됨:
번역 :

Trojan.Downloader.Gen.ASQ 는 보안 스캐너에서 다운로더로 분류되는 트로이 목마 프로그램의 한 유형을 식별하는 데 사용되는 일반적인 탐지 이름입니다. 이 탐지 범주에 속하는 프로그램은 직접적인 피해를 입히도록 설계된 것이 아니라, 원격 서버에 몰래 연결하여 감염된 컴퓨터에 악성 파일을 다운로드하는 것이 주된 목적입니다. 이 특정 변종에 대한 자세한 기술적 정보는 아직 공개되지 않았으므로, 아래 정보는 이 특정 위협에 대한 확정된 사실이 아니라 트로이 목마 다운로더의 일반적인 동작을 나타냅니다.

이 위협의 기능은 무엇인가요?

다른 트로이 목마 다운로더 계열과 마찬가지로 Trojan.Downloader.Gen.ASQ는 시스템에 설치되면 일반적으로 백그라운드에서 조용히 실행됩니다. 이 악성 프로그램의 주요 목적은 사이버 범죄자가 제어하는 원격 위치에 연결하여 스파이웨어, 랜섬웨어, 애드웨어 또는 기타 트로이 목마와 같은 악성 프로그램을 다운로드하는 것입니다. 일부 다운로더는 시스템 설정을 변경하거나, 새 파일을 생성하거나, 컴퓨터를 재시작한 후에도 계속 실행되도록 지속성을 유지하려고 시도하기도 합니다. 다운로드되는 악성 프로그램의 최종 목표가 다양하기 때문에 감염의 전체적인 영향은 비교적 사소한 불편함에서부터 심각한 데이터 손실이나 시스템 손상에 이르기까지 다양할 수 있습니다.

바이러스가 컴퓨터에 침투하는 일반적인 경로

이러한 트로이목마 다운로더는 눈에 띄는 취약점을 악용하기보다는 기만적인 방법을 통해 확산되는 경우가 많습니다. 일반적인 감염 경로는 다음과 같습니다.

  • 스팸 및 피싱 메시지에 포함된 이메일 첨부 파일이나 링크는 청구서, 배송 안내 또는 기타 합법적인 문서처럼 위장되어 있습니다.
  • 무료 또는 불법 복제 소프트웨어의 번들 설치 프로그램, 크랙 및 키 생성기
  • 가짜 소프트웨어 업데이트 또는 팝업 알림으로 사용자가 "누락된" 프로그램 구성 요소를 다운로드하도록 유도하는 행위
  • 자동 다운로드를 유발하는 악성 또는 해킹된 웹사이트
  • 피어투피어 파일 공유 네트워크 및 비공식 다운로드 포털

트로이 목마는 스스로 복제하는 것이 아니라 사용자를 속이는 데 의존하기 때문에, 부주의한 다운로드 습관이 시스템에 침투하는 주요 원인이 되는 경우가 많습니다.

사용자에게 미치는 위험

다운로더 트로이목마의 가장 큰 위험은 그 자체로 인해 발생하는 추가적인 악성 프로그램 설치에 있습니다. 원격 서버에 연결되면 사용자의 별도 조치 없이도 추가 악성 프로그램을 설치할 수 있으며, 이는 눈에 보이는 감염이 순식간에 여러 가지 문제로 확산될 수 있음을 의미합니다. 잠재적 위험으로는 개인 정보 또는 금융 정보 도용, 시스템 성능 저하, 원치 않는 광고, 무단 원격 접속, 랜섬웨어 또는 기타 파괴적인 페이로드 노출 등이 있습니다. 다운로더 자체는 무해해 보일지라도, 이후에 설치되는 프로그램들은 훨씬 더 큰 피해를 초래할 수 있습니다.

감염 징후

트로이목마 다운로더는 탐지를 피하도록 설계되었기 때문에 감염 징후가 미묘하게 나타나는 경우가 많습니다. 사용자는 설명할 수 없는 시스템 속도 저하, 유휴 상태에서도 증가하는 네트워크 활동, 작업 관리자에서 실행 중인 낯선 프로세스, 의도치 않게 설치된 새로운 프로그램이나 브라우저 툴바, 보안 소프트웨어의 예기치 않은 비활성화, 잦은 팝업 광고 및 리디렉션 등을 발견할 수 있습니다. 시스템 성능이 갑자기 저하되고 이러한 증상 중 하나라도 나타나면 다운로더 또는 다운로더가 설치한 추가 악성코드의 존재를 의심해 볼 수 있습니다.

자신을 보호하는 방법

감염 위험을 줄이는 첫걸음은 신중한 온라인 습관입니다. 알 수 없거나 예상치 못한 이메일의 첨부 파일을 열거나 링크를 클릭하지 말고, 공식적이거나 신뢰할 수 있는 출처에서만 소프트웨어를 다운로드하며, 불법 복제 애플리케이션이나 크랙 도구를 사용하지 마십시오. 운영 체제와 설치된 애플리케이션을 최신 상태로 유지하면 악성 프로그램이 악용할 수 있는 보안 취약점을 차단하는 데 도움이 됩니다. 신뢰할 수 있고 최신 버전의 보안 소프트웨어를 실행하고 정기적으로 시스템 검사를 수행하면 이와 같은 위협이 추가 악성 페이로드를 다운로드하기 전에 탐지하고 제거할 수 있습니다. 중요한 파일을 정기적으로 백업하는 것도 기기가 감염되더라도 피해를 최소화하는 데 도움이 됩니다.

분석 보고서

일반 정보

성씨: Trojan.Downloader.Gen.ASQ
서명 상태: Hash Mismatch

알려진 샘플

MD5: 8cffb79773e500d47b542ddccc57d9b0
샤1: ad4bbb54033b72d3177bc91e31e09d82d27bdd32
샤256: CDB4973C96B5EFD058D75146D73ADC935F2574587061FA7FA8411BF353288D84
파일 크기: 163.46 KB,163464 바이트

Windows 휴대용 실행 파일 속성

  • File doesn't have "Rich" header
  • File has exports table
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE 버전 정보

이름 값
Company Name Microsoft Corporation
File Description Microsoft® C/C++ OpenMP Runtime
File Version 14.44.35112.1
Internal Name VCOMP140.DLL
Legal Copyright © Microsoft Corporation. All rights reserved.
Original Filename VCOMP140.DLL
Product Name Microsoft® Visual Studio®
Product Version 14.44.35112.1

디지털 서명

서명자 뿌리 상태
Microsoft Corporation Microsoft Code Signing PCA 2011 Hash Mismatch
Microsoft Windows Software Compatibility Publisher Microsoft Windows Third Party Component CA 2013 Hash Mismatch

파일 특성

  • dll
  • x86

블록 정보

총 블록 수: 696
잠재적으로 악의적인 차단: 9
허용된 블록: 687
알 수 없는 블록: 0

시각적 지도

0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x 0 x x x x x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 2 0 0 0 0 0 0 0 0 1 1 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 2 0 2 1 0 1 0 1 1 0 0 0 1 3 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 1 0 1 0 0 0 0
0 - 안전 블록 가능성 높음
? - 알 수 없는 블록
x - 잠재적으로 악의적인 차단

비슷한 가족

  • Rugmi.XD
  • Trojan.Downloader.Gen.ASQ

Windows API 사용법

범주 API
Syscall Use
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtQueryAttributesFile
더 보기
  • ntdll.dll!NtQueryDebugFilterState
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationFile
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWriteFile
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
Anti Debug
  • NtQuerySystemInformation

셸 명령 실행

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\ad4bbb54033b72d3177bc91e31e09d82d27bdd32_0000163464.,LiQMAxHB