Trojan.Agent.Gen.DFO
Cartão de pontuação de ameaças
EnigmaSoft Threat Scorecard
Os EnigmaSoft Threat Scorecards são relatórios de avaliação para diferentes ameaças de malware que foram coletadas e analisadas por nossa equipe de pesquisa. Os Scorecards de Ameaças da EnigmaSoft avaliam e classificam as ameaças usando várias métricas, incluindo fatores de risco reais e potenciais, tendências, frequência, prevalência e persistência. Os Scorecards de Ameaças da EnigmaSoft são atualizados regularmente com base em nossos dados e métricas de pesquisa e são úteis para uma ampla gama de usuários de computador, desde usuários finais que buscam soluções para remover malware de seus sistemas até especialistas em segurança que analisam ameaças.
Os Scorecards de Ameaças da EnigmaSoft exibem uma variedade de informações úteis, incluindo:
Classificação de Popularidade: A classificação de uma ameaça específica no Banco de Dados de Ameaças da EnigmaSoft.
Nível de gravidade: O nível de gravidade determinado de um objeto, representado numericamente, com base em nosso processo de modelagem de risco e pesquisa, conforme explicado em nossos Critérios de Avaliação de Ameaças .
Computadores infectados: O número de casos confirmados e suspeitos de uma determinada ameaça detectada em computadores infectados conforme relatado pelo SpyHunter.
Consulte também Critérios de Avaliação de Ameaças .
| Classificação de popularidade: | 12,359 |
| Nível da Ameaça: | 80 % (Alto) |
| Visto pela Primeira Vez: | June 24, 2026 |
| Visto pela Última Vez: | November 11, 2026 |
| SO (s) Afetados: | Windows |
Trojan.Agent.Gen.DFO é um nome genérico de detecção para um Trojan que ataca computadores Windows. Pesquisadores de segurança o classificam com nível de perigo 8 em 10. O registro mostra que ele foi visto pela primeira vez em 24/06/2026 e pela última vez em 11/11/2026, com 9 detecções registradas. Um Trojan se disfarça de algo inofensivo ou útil, e este foi visto se passando por um iniciador de jogos.
Índice
O que a ameaça faz
Segundo informações, o Trojan.Agent.Gen.DFO se instala furtivamente e, em seguida, executa silenciosamente em segundo plano, realizando funções maliciosas. Ele pode dar aos invasores controle total sobre um sistema infectado.
A amostra analisada é um programa GUI nativo do Windows de 64 bits que não está compactado. Suas informações de versão indicam que se trata do "Stellar Horizons Launcher" da "Orbitgate Studio", com o nome de arquivo original Launcher.exe. Ele é assinado com um certificado autoassinado, o que significa que nenhuma autoridade confiável o atesta. Como o feed fornece apenas uma descrição parcial, este artigo não pretende conhecer todas as ações executadas pelo Trojan.
As características técnicas observadas na amostra incluem:
- Funções como WriteProcessMemory, VirtualQueryEx e NtReadVirtualMemory, que são normalmente usadas para ler ou escrever em outros processos em execução.
- CryptUnprotectData, que normalmente é usado para descriptografar dados protegidos pelo Windows, como credenciais salvas. O feed não confirma quais dados esta amostra realmente acessa.
- Funções WinHTTP, que indicam que o arquivo é capaz de fazer solicitações web e se comunicar pela rede.
- Uma verificação IsDebuggerPresent, uma técnica típica de anti-análise.
- Alta entropia e um componente imgui, o que sugere uma interface gráfica semelhante às encontradas em ferramentas de jogos.
O exemplo modificou um arquivo de configurações launcher.ini em uma pasta de dados de aplicativos em roaming, juntamente com arquivos de transação do registro do usuário do Windows.
O feed lista famílias semelhantes, como Gametool.DBA, PUP.GameHack.Gen.BD, Trojan.Downloader.Gen.JF e Trojan.Kryptik.Gen.IOT. Isso sugere uma ligação com ferramentas relacionadas a jogos e ameaças do tipo downloader, mas o feed não especifica o grau de parentesco entre elas.
Geralmente é assim que chega aos computadores.
O feed diz que esse Trojan geralmente chega através de:
- Exploração de vulnerabilidades e falhas de segurança do sistema.
- Downloads de software de sites maliciosos.
- Anexos de e-mail de fontes não confiáveis, geralmente arquivos .exe, .pif, .avi e até mesmo .jpg.
Dada a camuflagem do iniciador, é comum que ameaças como essa sejam distribuídas juntamente com iniciadores de jogos falsos, cheats ou softwares crackeados. O feed não confirma essa rota de distribuição específica.
Riscos para o usuário
Com um nível de perigo 8, a principal preocupação é a perda de controle do seu computador. Trojans desse tipo geralmente permitem o roubo de senhas salvas e dados pessoais, a instalação de malware adicional e o acesso remoto por invasores. O alerta específico avisa que hackers podem obter controle total do sistema. Contas de e-mail, bancárias, de jogos e de redes sociais podem estar em risco se as credenciais forem roubadas.
Sinais de infecção
Como o Trojan funciona silenciosamente, pode não apresentar sintomas óbvios. Possíveis sinais de alerta incluem:
- Um iniciador ou ferramenta de jogo que você não se lembra de ter instalado, ou que não corresponde ao editor declarado.
- Atividade de rede inexplicável ou programas que se conectam à internet sem motivo aparente.
- Desempenho mais lento ou processos em segundo plano desconhecidos.
Como se manter protegido
- Mantenha o Windows e todos os seus softwares atualizados para que as vulnerabilidades conhecidas sejam corrigidas.
- Baixe o software apenas da fonte oficial do desenvolvedor e evite cracks, cheats e launchers não oficiais.
- Não abra anexos de remetentes desconhecidos, especialmente arquivos .exe ou .pif, ou arquivos de mídia que apresentem comportamento inesperado.
- Tenha cautela com programas que não possuem assinatura digital válida ou cujo signatário seja desconhecido.
- Execute verificações completas do sistema regularmente com uma ferramenta de segurança atualizada e confiável.
- Use senhas exclusivas e verificação em duas etapas para que uma senha roubada não desbloqueie várias contas.
Se suspeitar de infecção, desconecte-se da internet, execute uma verificação completa e remova tudo o que for detectado. Em seguida, altere suas senhas em um dispositivo limpo. Considere também verificar suas contas em busca de atividades suspeitas.
Relatório de análise
Informação geral
| Nome de família: | Trojan.Agent.Gen.DFO |
|---|---|
| Status da assinatura: | Self Signed |
Amostras conhecidas
Amostras conhecidas
Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.|
MD5:
e8315cbadf8ff1eccf1a6f739547ff07
SHA1:
34f32f1e2107fb1a91d55aebd5023eedb85849b1
SHA256:
193C6DAF2755473EA6524EC1724B13271A29F30024EE2260DF2C1AF13286034E
Tamanho do Arquivo:
974.34 KB.974336 bytes
|
|
MD5:
dc2615eab7c926afd4a2cbaa6ee71d1e
SHA1:
399b4a210b7ed02fff15308cccc43522ab31b065
SHA256:
3186A594BC23CBD818C010A1295215842D53C3D93387AF7A7477497080AD7F07
Tamanho do Arquivo:
911.87 KB.911872 bytes
|
|
MD5:
e811822fd9f8450249ac0ccd41f33b6e
SHA1:
7c06411bd76c3e244cb3881cea32bcf4d67ae45e
SHA256:
85A9C3254A5AF7A6544A2CC02436BC407A3ACC270C182E0EE83EBBB655CFBA61
Tamanho do Arquivo:
979.46 KB.979456 bytes
|
|
MD5:
b0486e21a342208295d3af65c7f0d462
SHA1:
871523b5f89fd3cdf68ed0fa3a3e8aac8f73a276
SHA256:
54AEC7CA4D5B9CCA83DE7A5F1B9A71661D160561E7F6962150A5E03B97B9CE63
Tamanho do Arquivo:
1.01 MB.1010688 bytes
|
|
MD5:
98288a90e63dbf577fd29a2d6f96af6e
SHA1:
d67420e191a76bfc2ea50722056735895e598abb
SHA256:
54E61AC49B0D6E8541A9403FCB7FC704B240D5F976B8634980BFE54DA4599631
Tamanho do Arquivo:
1.56 MB.1557504 bytes
|
Show 3 more
|
MD5:
33e32eac2b63c8d25e41a1de4cd7d7ae
SHA1:
6686df8f8f6c6d8b47cecb685c1005167480e527
SHA256:
8F5576F9C2012B98B99CA878A3D8A2BAE09F1B56295CB19BDEAC45F29E3BCA0C
Tamanho do Arquivo:
3.33 MB.3325952 bytes
|
|
MD5:
49efee3ba437d8e73d746417e3f1431f
SHA1:
c101fe17bec13e45bba4037a0e91033c0d311afa
SHA256:
269D2B31F345A50D269FFE709D2A5033E01F76A8B9EED70CC61E0DF7DD31674F
Tamanho do Arquivo:
1.67 MB.1671168 bytes
|
|
MD5:
6718bc25df99fa0248a70ecf33d85f47
SHA1:
cf8567ac6d78a7d0d24a5841a3e5eae55f9e143a
SHA256:
DEA66CCB1584ABD49FAEB427EC256722D771D2E96AAFCF14A201388FFD600C53
Tamanho do Arquivo:
2.32 MB.2316112 bytes
|
Atributos do executável portátil do Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Ícones de arquivo
Ícones de arquivo
Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.
Informações sobre a versão do Windows PE
Informações sobre a versão do Windows PE
Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.| Nome | Valor |
|---|---|
| Company Name | Orbitgate Studio |
| File Description | Stellar Horizons Launcher |
| File Version | 3.3 |
| Internal Name | Launcher |
| Legal Copyright | (c) 2026 Orbitgate Studio |
| Original Filename | Launcher.exe |
| Product Name | Stellar Horizons Launcher |
| Product Version | 3.3 |
Assinaturas digitais
Assinaturas digitais
Esta seção lista as assinaturas digitais anexadas às amostras desta família. Ao analisar e verificar assinaturas digitais, é importante confirmar se a autoridade raiz da assinatura é uma entidade conhecida e confiável e se o status da assinatura é válido. Malwares frequentemente são assinados com assinaturas digitais "autoassinadas" não confiáveis (que podem ser facilmente criadas por um autor de malware sem qualquer verificação). Malwares também podem ser assinados por assinaturas legítimas com status inválido e por assinaturas de autoridades raiz questionáveis com nomes de "assinante" falsos ou enganosos.| Signatário | Raiz | Status |
|---|---|---|
| World Works | World Works | Self Signed |
Características do arquivo
- CryptUnprotectData
- GetConsoleWindow
- HighEntropy
- imgui
- No Version Info
- VirtualQueryEx
- WriteProcessMemory
- x64
Informações do bloco
Informações do bloco
Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.| Total de blocos: | 6,527 |
|---|---|
| Blocos potencialmente maliciosos: | 1,076 |
| Blocos permitidos: | 4,594 |
| Blocos desconhecidos: | 857 |
Mapa visual
... Dados truncados? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso
Famílias semelhantes
Famílias semelhantes
Esta seção lista outras famílias que compartilham semelhanças com esta família, com base na análise da EnigmaSoft. Muitas famílias de malware são criadas a partir dos mesmos kits de ferramentas e utilizam as mesmas técnicas de compactação e criptografia, mas ampliam sua funcionalidade de forma exclusiva. Famílias semelhantes também podem compartilhar código-fonte, atributos, ícones, subcomponentes, assinaturas digitais comprometidas e/ou inválidas e características de rede. Os pesquisadores exploram essas semelhanças para triar amostras de arquivos de forma rápida e eficaz e aprimorar as regras de detecção de malware.- Gametool.DBA
- Kryptik.BEZD
- PUP.GameHack.Gen.BD
- Trojan.Downloader.Gen.JF
- Trojan.Kryptik.Gen.IOT
Arquivos modificados
Arquivos modificados
Esta seção lista os arquivos que foram criados, modificados, movidos e/ou excluídos por amostras desta família. A atividade do sistema de arquivos pode fornecer informações valiosas sobre como o malware funciona no sistema operacional.| Arquivo | Atributos |
|---|---|
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\roaming\stellarhorizons\launcher.ini | Generic Write,Read Attributes |
Modificações no Registro
Modificações no Registro
Esta seção lista as chaves e os valores do registro que foram criados, modificados e/ou excluídos por amostras desta família. A atividade do Registro do Windows pode fornecer informações valiosas sobre a funcionalidade do malware. Além disso, o malware frequentemente cria valores no registro para permitir que ele inicie automaticamente e persista indefinidamente após uma infecção inicial comprometer o sistema.| Chave::Valor | Dados | Nome da API |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 犕㜿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ⡔軱㥿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 俳䃚㴏ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ꝟԋ䍾ǝ | RegNtPreCreateKey |
Utilização da API do Windows
Utilização da API do Windows
Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.| Categoria | API |
|---|---|
| Syscall Use |
Show 90 more
5 itens adicionais não são exibidos acima. |
| Anti Debug |
|
| User Data Access |
|
| Network Winhttp |
|