Trojan.Agent.Gen.DFO
Карта показателей угрозы
Карта оценки угроз EnigmaSoft
EnigmaSoft Threat Scorecards — это отчеты об оценке различных вредоносных программ, которые были собраны и проанализированы нашей исследовательской группой. EnigmaSoft Threat Scorecards оценивает и ранжирует угрозы, используя несколько показателей, включая реальные и потенциальные факторы риска, тенденции, частоту, распространенность и постоянство. EnigmaSoft Threat Scorecards регулярно обновляются на основе данных и показателей наших исследований и полезны для широкого круга пользователей компьютеров, от конечных пользователей, ищущих решения для удаления вредоносных программ из своих систем, до экспертов по безопасности, анализирующих угрозы.
EnigmaSoft Threat Scorecards отображает разнообразную полезную информацию, в том числе:
Рейтинг популярности: Показатель, занимаемый конкретной угрозой в базе данных угроз EnigmaSoft.
Уровень серьезности: определенный уровень серьезности объекта, представленный в числовом виде на основе нашего процесса моделирования рисков и исследований, как описано в наших критериях оценки угроз .
Зараженные компьютеры: количество подтвержденных и предполагаемых случаев конкретной угрозы, обнаруженной на зараженных компьютерах, по данным SpyHunter.
См. также Критерии оценки угроз .
| Рейтинг популярности: | 12,359 |
| Уровень угрозы: | 80 % (Высокая) |
| Первый раз: | June 24, 2026 |
| Последний визит: | November 11, 2026 |
| ОС(а) Затронутые: | Windows |
Trojan.Agent.Gen.DFO — это общее название троянской программы, нацеленной на компьютеры под управлением Windows. Специалисты по безопасности оценивают её уровень опасности в 8 из 10. Согласно данным, она была впервые обнаружена 24 июня 2026 года, а последний раз — 11 ноября 2026 года, зафиксировано 9 обнаружений. Троянская программа маскируется под что-то безобидное или полезное, и эта программа, как было замечено, выдавала себя за игровой лаунчер.
Оглавление
Что делает эта угроза?
Согласно полученной информации, Trojan.Agent.Gen.DFO устанавливается незаметно, а затем бесшумно работает в фоновом режиме, выполняя вредоносные функции. Это может дать злоумышленникам полный контроль над зараженной системой.
Анализируемый образец представляет собой 64-битную, нативную программу с графическим интерфейсом пользователя для Windows, которая не упакована. В информации о версии указано, что это "Stellar Horizons Launcher" от "Orbitgate Studio" с исходным именем файла Launcher.exe. Она подписана самоподписанным сертификатом, что означает, что ни один доверенный центр не ручается за её подлинность. Поскольку в ленте содержится лишь частичное описание, данная статья не претендует на знание всех действий, выполняемых трояном.
К техническим характеристикам, наблюдаемым в образце, относятся:
- Такие функции, как WriteProcessMemory, VirtualQueryEx и NtReadVirtualMemory, обычно используются для чтения или записи данных в другие запущенные процессы.
- CryptUnprotectData обычно используется для расшифровки данных, защищенных Windows, таких как сохраненные учетные данные. В источнике не подтверждается, к каким именно данным обращается этот пример.
- Функции WinHTTP указывают на то, что файл способен отправлять веб-запросы и обмениваться данными по сети.
- Проверка IsDebuggerPresent — типичный метод противодействия анализу.
- Высокая энтропия и компонент imgui, что предполагает графический интерфейс, похожий на те, что используются в игровых инструментах.
В ходе эксперимента был изменен файл настроек launcher.ini в папке данных перемещаемых приложений, а также файлы транзакций реестра пользователя Windows.
В списке обнаружены похожие семейства вредоносных программ, такие как Gametool.DBA, PUP.GameHack.Gen.BD, Trojan.Downloader.Gen.JF и Trojan.Kryptik.Gen.IOT. Это наводит на мысль о связи с инструментами для игр и угрозами типа загрузчиков, но в списке не указано, насколько тесно они связаны.
Как это обычно попадает на компьютеры
Согласно информации из ленты новостей, этот троян чаще всего проникает через:
- Использование уязвимостей системы и недостатков безопасности.
- Загрузка программного обеспечения с вредоносных веб-сайтов.
- Вложения в электронные письма из ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi и даже .jpg.
Учитывая замаскированную форму лаунчера, подобные угрозы обычно распространяются вместе с поддельными игровыми лаунчерами, читами или взломанным программным обеспечением. В ленте новостей это не подтверждается как конкретный способ распространения.
Риски для пользователя
При уровне опасности 8 основная проблема заключается в потере контроля над вашим компьютером. Трояны этого типа обычно позволяют красть сохраненные пароли и личные данные, устанавливать дополнительное вредоносное ПО и получать удаленный доступ злоумышленникам. В сообщении особо предупреждается, что хакеры могут получить полный контроль над системой. Учетные записи электронной почты, банковских счетов, игр и социальных сетей могут оказаться под угрозой, если учетные данные будут украдены.
Признаки инфекции
Поскольку троянская программа работает бесшумно, явных симптомов может не быть. Возможные предупреждающие признаки включают:
- Программа запуска или игровой инструмент, который вы не помните, чтобы устанавливали, или который не соответствует заявленному издателю.
- Необъяснимая сетевая активность, или программы, подключающиеся к интернету без видимой причины.
- Снижение производительности или незнакомые фоновые процессы.
Как обеспечить свою безопасность
- Регулярно обновляйте Windows и все ваше программное обеспечение, чтобы устранить известные уязвимости.
- Загружайте программное обеспечение только с официального источника издателя и избегайте взломов, читов и неофициальных лаунчеров.
- Не открывайте вложения от неизвестных отправителей, особенно файлы .exe или .pif, а также медиафайлы, которые ведут себя непредсказуемо.
- Будьте осторожны с программами, которые не имеют действительной цифровой подписи или подписаны незнакомым лицом.
- Регулярно выполняйте полное сканирование системы с помощью современного и надежного инструмента обеспечения безопасности.
- Используйте уникальные пароли и двухфакторную аутентификацию, чтобы украденный пароль не позволил разблокировать несколько учетных записей.
Если вы подозреваете заражение, отключитесь от интернета, выполните полное сканирование и удалите все обнаруженные вредоносные программы. Затем смените пароли на чистом устройстве. Рекомендуется проверить свои учетные записи на наличие подозрительной активности.
Аналитический отчет
Главная Информация
| Фамилия: | Trojan.Agent.Gen.DFO |
|---|---|
| Статус подписи: | Self Signed |
Известные образцы
Известные образцы
В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.|
MD5:
e8315cbadf8ff1eccf1a6f739547ff07
ША1:
34f32f1e2107fb1a91d55aebd5023eedb85849b1
SHA256:
193C6DAF2755473EA6524EC1724B13271A29F30024EE2260DF2C1AF13286034E
Размер файла:
974.34 KB, 974336 байт
|
|
MD5:
dc2615eab7c926afd4a2cbaa6ee71d1e
ША1:
399b4a210b7ed02fff15308cccc43522ab31b065
SHA256:
3186A594BC23CBD818C010A1295215842D53C3D93387AF7A7477497080AD7F07
Размер файла:
911.87 KB, 911872 байт
|
|
MD5:
e811822fd9f8450249ac0ccd41f33b6e
ША1:
7c06411bd76c3e244cb3881cea32bcf4d67ae45e
SHA256:
85A9C3254A5AF7A6544A2CC02436BC407A3ACC270C182E0EE83EBBB655CFBA61
Размер файла:
979.46 KB, 979456 байт
|
|
MD5:
b0486e21a342208295d3af65c7f0d462
ША1:
871523b5f89fd3cdf68ed0fa3a3e8aac8f73a276
SHA256:
54AEC7CA4D5B9CCA83DE7A5F1B9A71661D160561E7F6962150A5E03B97B9CE63
Размер файла:
1.01 MB, 1010688 байт
|
|
MD5:
98288a90e63dbf577fd29a2d6f96af6e
ША1:
d67420e191a76bfc2ea50722056735895e598abb
SHA256:
54E61AC49B0D6E8541A9403FCB7FC704B240D5F976B8634980BFE54DA4599631
Размер файла:
1.56 MB, 1557504 байт
|
Show 3 more
|
MD5:
33e32eac2b63c8d25e41a1de4cd7d7ae
ША1:
6686df8f8f6c6d8b47cecb685c1005167480e527
SHA256:
8F5576F9C2012B98B99CA878A3D8A2BAE09F1B56295CB19BDEAC45F29E3BCA0C
Размер файла:
3.33 MB, 3325952 байт
|
|
MD5:
49efee3ba437d8e73d746417e3f1431f
ША1:
c101fe17bec13e45bba4037a0e91033c0d311afa
SHA256:
269D2B31F345A50D269FFE709D2A5033E01F76A8B9EED70CC61E0DF7DD31674F
Размер файла:
1.67 MB, 1671168 байт
|
|
MD5:
6718bc25df99fa0248a70ecf33d85f47
ША1:
cf8567ac6d78a7d0d24a5841a3e5eae55f9e143a
SHA256:
DEA66CCB1584ABD49FAEB427EC256722D771D2E96AAFCF14A201388FFD600C53
Размер файла:
2.32 MB, 2316112 байт
|
Атрибуты исполняемого файла Windows Portable
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Значки файлов
Значки файлов
В этом разделе отображаются значки, найденные в образцах вредоносных программ. Вредоносные программы часто копируют значки, обычно ассоциируемые с легитимным программным обеспечением, чтобы ввести пользователей в заблуждение и заставить их поверить в безопасность вредоносной программы.
Информация о версии Windows PE
Информация о версии Windows PE
В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.| имя | Ценность |
|---|---|
| Company Name | Orbitgate Studio |
| File Description | Stellar Horizons Launcher |
| File Version | 3.3 |
| Internal Name | Launcher |
| Legal Copyright | (c) 2026 Orbitgate Studio |
| Original Filename | Launcher.exe |
| Product Name | Stellar Horizons Launcher |
| Product Version | 3.3 |
Цифровые подписи
Цифровые подписи
В этом разделе перечислены цифровые подписи, прикрепленные к образцам из этого семейства. При анализе и проверке цифровых подписей важно убедиться, что корневой орган, ответственный за подпись, является известным и заслуживающим доверия субъектом, а также что статус подписи является действительным. Вредоносное ПО часто подписывается ненадежными «самоподписанными» цифровыми подписями (которые могут быть легко созданы автором вредоносного ПО без проверки). Вредоносное ПО также может быть подписано легитимными подписями, имеющими недействительный статус, а также подписями от сомнительных корневых органов с поддельными или вводящими в заблуждение именами «подписывающих лиц».| Подписавший | Корень | Статус |
|---|---|---|
| World Works | World Works | Self Signed |
Характеристики файла
- CryptUnprotectData
- GetConsoleWindow
- HighEntropy
- imgui
- No Version Info
- VirtualQueryEx
- WriteProcessMemory
- x64
Информация о блоке
Информация о блоке
В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.| Всего блоков: | 6,527 |
|---|---|
| Потенциально вредоносные блоки: | 1,076 |
| Блоки, внесенные в белый список: | 4,594 |
| Неизвестные блоки: | 857 |
Визуальная карта
... Данные усечены? - Неизвестный блок
x - Потенциально вредоносная блокировка
Похожие семьи
Похожие семьи
В этом разделе перечислены другие семейства вредоносных программ, имеющие сходства с данным семейством, на основе анализа EnigmaSoft. Многие семейства вредоносных программ создаются с использованием одних и тех же наборов инструментов и применяют одни и те же методы упаковки и шифрования, но обладают уникальными расширенными функциональными возможностями. Схожие семейства могут также иметь общий исходный код, атрибуты, значки, субкомпоненты, скомпрометированные и/или недействительные цифровые подписи и сетевые характеристики. Исследователи используют эти сходства для быстрой и эффективной сортировки образцов файлов и расширения правил обнаружения вредоносных программ.- Gametool.DBA
- Kryptik.BEZD
- PUP.GameHack.Gen.BD
- Trojan.Downloader.Gen.JF
- Trojan.Kryptik.Gen.IOT
Файлы изменены
Файлы изменены
В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.| Файл | Атрибуты |
|---|---|
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\roaming\stellarhorizons\launcher.ini | Generic Write,Read Attributes |
Изменения в реестре
Изменения в реестре
В этом разделе перечислены ключи и значения реестра, которые были созданы, изменены и/или удалены образцами из этого семейства. Активность реестра Windows может дать ценную информацию о функциональности вредоносных программ. Кроме того, вредоносные программы часто создают значения реестра, чтобы автоматически запускаться и неограниченно существовать после того, как первоначальное заражение скомпрометировало систему.| Ключ::Значение | Данные | Название API |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 犕㜿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ⡔軱㥿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 俳䃚㴏ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ꝟԋ䍾ǝ | RegNtPreCreateKey |
Использование API Windows
Использование API Windows
В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.| Категория | API |
|---|---|
| Syscall Use |
Show 90 more
5 дополнительных товаров не отображаются выше. |
| Anti Debug |
|
| User Data Access |
|
| Network Winhttp |
|