위협 데이터베이스 트로이 목마 트로이목마.스파이.에이전트.AZ

트로이목마.스파이.에이전트.AZ

트로이 목마년에 CagedTech 년까지
게시됨:
마지막 업데이트:

위협 스코어카드

인기 순위: 22,740
위협 수준: 80 % (높은)
감염된 컴퓨터: 15
처음 본 것: April 10, 2024
마지막으로 본: August 26, 2026
영향을 받는 OS: Windows

Trojan.Spy.Agent.AZ는 위험도가 10점 만점에 8점인 Windows 트로이목마입니다. 스파이웨어 유형 트로이목마에 속하며, 눈에 띄지 않게 실행되어 공격자가 컴퓨터에 접근할 수 있도록 설계되었습니다. 2024년 4월 10일에 처음 발견되었고, 가장 최근에는 2026년 8월 26일에 발견되어 여전히 활동 중입니다. 현재까지 15건이 탐지되었습니다.

위협이 하는 일

해당 정보에 따르면 Spy.Agent.AZ는 은밀하게 설치되어 백그라운드에서 조용히 실행됩니다. 설치 후 공격자에게 시스템에 대한 완전한 제어권을 부여할 수 있습니다. 또한 파일을 몰래 삭제하거나 추가 소프트웨어를 설치할 수도 있습니다. 하지만 정보 내용이 이 부분에서 잘려 있어 트로이 목마가 어떤 다른 소프트웨어를 설치할 수 있는지 정확히 알 수는 없습니다.

기술 데이터에 따르면 이 프로그램은 압축되지 않은 64비트 네이티브 Windows GUI 프로그램입니다. 이 프로그램은 스파이 및 원격 제어 악성 프로그램에서 흔히 볼 수 있는 몇 가지 기능을 사용합니다.

  • 네트워크 접근: 이 트로이 목마는 일반적으로 원격 서버와 통신하기 위해 필요한 Windows 네트워킹 기능(WinHTTP 및 Winsock)을 사용합니다.
  • 암호화: Windows 암호화 기능을 사용합니다. 악성 프로그램은 일반적으로 데이터나 통신 내용을 숨기기 위해 이러한 방식을 사용합니다.
  • 메모리 쓰기: WriteProcessMemory 함수로 표시되어 있습니다. 이 함수는 일반적으로 다른 실행 중인 프로세스에 코드를 삽입하는 데 사용되지만, 해당 샘플이 그러한 작업을 수행하는지는 확인되지 않았습니다.

해당 샘플은 윈도우 인증서 다운로드 캐시의 파일을 수정하는 것으로도 확인되었습니다. 이는 윈도우가 디지털 서명을 확인하는 과정에서 발생하는 부작용일 수 있으므로, 특정 악의적 행위의 증거로 간주해서는 안 됩니다.

일반적으로 컴퓨터에 침투하는 경로

해당 피드는 세 가지 주요 경로를 언급합니다.

  • 시스템 취약점과 보안 결함을 악용하는 행위.
  • 악성 웹사이트에서 소프트웨어를 다운로드하는 행위.
  • 출처가 불분명한 이메일 첨부 파일은 일반적으로 .exe, .pif, .avi, 심지어 .jpg 파일입니다.

분석된 파일은 위장되어 있습니다. 버전 정보에는 마이크로소프트사에서 발행된 것처럼 표시되어 있으며, "Notepad --"라는 제품의 "setup.exe" 파일로 위장되어 있고, "Notepad -- Setup Installer"라고 레이블이 붙어 있습니다. "Greenengine OU"에서 발급한 디지털 서명이 있지만, 서명 상태는 "루트에서 신뢰할 수 없음"입니다. 익숙한 이름과 신뢰할 수 없는 서명을 가진 가짜 설치 프로그램은 실행하지 않는 것이 좋습니다.

사용자에게 미치는 위험

이 트로이목마는 공격자에게 시스템에 대한 완전한 제어권을 부여할 수 있으므로 잠재적인 피해는 광범위합니다. 스파이웨어 유형 트로이목마의 일반적인 위험은 다음과 같습니다.

  • 개인 정보, 비밀번호 및 기타 민감한 정보의 도난.
  • 파일 손실 또는 삭제.
  • 추가 악성 소프트웨어 설치.
  • 본인 허락 없이 다른 사람이 컴퓨터를 사용하는 것.

해당 피드는 파일 삭제, 완전한 제어 가능성 및 추가 설치를 확인시켜 줍니다. 나머지 항목들은 이 범주에서 일반적으로 발생하는 사항들을 설명합니다.

감염 징후

트로이목마는 소리 없이 작동하므로 뚜렷한 증상이 나타나지 않을 수 있습니다. 이러한 유형의 감염에 대한 일반적인 징후는 다음과 같습니다.

  • 알 수 없는 프로그램에서 예기치 않은 네트워크 활동이 감지되었습니다.
  • 설명 없이 사라지는 파일들.
  • 설치하지 않은 새 프로그램입니다.
  • 시스템 성능 저하 또는 설명할 수 없는 시스템 오류 발생.
  • 최근 실행한 "setup.exe" 또는 설치 프로그램이 광고된 기능을 수행하지 않았습니다.

자신을 보호하는 방법

  • 이 트로이목마는 알려진 취약점을 악용할 수 있으므로 Windows와 설치된 모든 소프트웨어를 최신 상태로 유지하십시오.
  • 소프트웨어는 공식 게시자 웹사이트에서만 다운로드하고, 유명 도구처럼 보이지만 출처를 알 수 없는 설치 프로그램은 의심해 봐야 합니다.
  • 신뢰할 수 없는 발신자가 보낸 첨부 파일은 사진이나 동영상처럼 보이더라도 열지 마세요. 실행 파일이 이미지나 미디어로 위장한 경우가 흔합니다.
  • 파일을 실행하기 전에 디지털 서명을 확인하세요. '신뢰할 수 없는 루트'와 같은 경고는 위험 신호입니다.
  • 문제가 의심되는 경우 신뢰할 수 있고 최신 보안 솔루션을 사용하고 전체 시스템 검사를 실행하십시오.
  • 중요 파일은 컴퓨터에 항상 연결되어 있지 않은 드라이브나 서비스에 정기적으로 백업하십시오.

의심스러운 설치 프로그램을 실행했다고 생각되면 컴퓨터의 인터넷 연결을 끊고 전체 검사를 실행하여 감지된 모든 항목을 제거하십시오. 그런 다음 다른 깨끗한 기기에서 중요한 암호를 변경하십시오.

분석 보고서

일반 정보

성씨: Trojan.Spy.Agent.AZ
서명 상태: Root Not Trusted

알려진 샘플

MD5: 95f79bb0f335e61e9141dd51bc91d395
샤1: 9d4e073bc4d9f200e854f341032271cd92d08410
샤256: 43ED1D8E0E162CD1B982B8BFA514A78BB0D7304CA773B31350966587E658A211
파일 크기: 7.06 MB,7059528 바이트

Windows 휴대용 실행 파일 속성

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File has exports table
  • File has TLS information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

파일 아이콘

Windows PE 버전 정보

이름 값
Company Name Microsoft Corporation
File Description setup.exe
File Version 1.2.0.400
Original Filename setup.exe
Product Name Notepad --
Product Version 1.2.0.400
Program I D Notepad -- Setup Installer

디지털 서명

서명자 뿌리 상태
Greenengine OU SSL.com EV Root Certification Authority RSA R2 Root Not Trusted

파일 특성

  • Installer Version
  • WriteProcessMemory
  • x64

블록 정보

총 블록 수: 28,258
잠재적으로 악의적인 차단: 56
허용된 블록: 28,180
알 수 없는 블록: 22

시각적 지도

... 데이터가 잘렸습니다
0 - 안전 블록 가능성 높음
? - 알 수 없는 블록
x - 잠재적으로 악의적인 차단

비슷한 가족

  • Delf.Spy.D
  • Downloader.Delf.L
  • Ousaban.J
  • Rugmi.L
  • SecureDuck.A
Show 1 more
  • Spy.Agent.AZ

수정된 파일

파일 속성
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\3c42bc945025a34066dab76ef3f80a05 Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\3c42bc945025a34066dab76ef3f80a05 Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 Generic Read,Write Data,Write Attributes,Write extended,Append data

레지스트리 수정

키::값 데이터 API 이름
HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob  �RĿ���Ӂ� f�K�Q� 9dI��:��d S�0��0" +��000 +�7<�0" +��000 +�7<�0g� 00 +�7<�0g� 00 +�7<� ^SSL.com EV Root Certificatio RegNtPreCreateKey
HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob h?X�R�!���2�S_t:�R��2��J��Ժ�{|.Ě~��%� 0 +V=XΌ {PV�G5� b�`����4����%�s�Fi��b .{�l�$���⪆�ua��9�;/���mN�4�B\ L0J++ +�7   RegNtPreCreateKey
HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob 䂁ᣅﱩⱆ疉ར碪嚨출얜米ቺ惟Ⲍ咼Se挰ℰଆ萪Ũɷą、〒ؐ⬊ĆĄ㞂ļ́ダء⨋梄蘁矶Ԃ܁ሰူਆثЁ舁㰷āȃ쀀ᬰԆ腧Č〃〒ؐ⬊ĆĄ㞂ļ́ীĀ吀　ْ⬈Ćԅ̇؂⬈Ćԅ̇؃⬊ĆĄ㞂̊؄⬈Ćԅ̇؄⬈Ćԅ̇؆⬈Ćԅ̇؇⬈Ćԅ RegNtPreCreateKey
HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob \ࠀ縟୵歖訒룀埖⩭ꕰ뜠㼬⼙⠆妢᤺ྦྷ鸆泥閯洬ꫲឤ꜆䑺ς瘈쯍＇췅믭벐蓢䘷b 塜赆䦎瑾船뗒က톶㝥콊ꞃꏔ뜭쑨蹀 4Certum Trusted Network CA T RegNtPreCreateKey

Windows API 사용법

범주 API
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAddAtomEx
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAlpcCancelMessage
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcConnectPortEx
  • ntdll.dll!NtAlpcCreatePortSection
  • ntdll.dll!NtAlpcCreateResourceReserve
  • ntdll.dll!NtAlpcCreateSectionView
  • ntdll.dll!NtAlpcCreateSecurityContext
Show 90 more
  • ntdll.dll!NtAlpcDeletePortSection
  • ntdll.dll!NtAlpcDeleteSectionView
  • ntdll.dll!NtAlpcDeleteSecurityContext
  • ntdll.dll!NtAlpcDisconnectPort
  • ntdll.dll!NtAlpcQueryInformation
  • ntdll.dll!NtAlpcQueryInformationMessage
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtAlpcSetInformation
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtCancelWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateIoCompletion
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtCreateTimer2
  • ntdll.dll!NtCreateWaitCompletionPacket
  • ntdll.dll!NtCreateWorkerFactory
  • ntdll.dll!NtDeleteAtom
  • ntdll.dll!NtDeleteValueKey
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtDuplicateToken
  • ntdll.dll!NtEnumerateKey
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtGetCompleteWnfStateSubscription
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeDirectoryFile
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSemaphore
  • ntdll.dll!NtOpenThread
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryEvent
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryObject
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtQueueApcThread
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseSemaphore
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationObject
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetSecurityObject
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl

위에 표시되지 않은 추가 품목이 12개 있습니다.

Network Winsock2
  • WSAStartup
Encryption Used
  • BCryptOpenAlgorithmProvider
Network Winhttp
  • WinHttpOpen