Trojan.Agent.Gen.GAO

Trojan.Agent.Gen.GAO — это общее название для обнаружения угроз типа трояна, поведение которых соответствует поведению других вредоносных программ, объединенных в широкое семейство «Агенты». Обнаружения с меткой «Gen» обычно означают, что файл был помечен на основе поведенческих или эвристических шаблонов, а не на основе точной, ранее каталогизированной сигнатуры. Это означает, что Trojan.Agent.Gen.GAO может представлять собой множество вредоносных файлов, имеющих схожую структуру кода, функции или поведение, а не один конкретный вредоносный код.

Поскольку подробные технические характеристики данного конкретного обнаружения не подтверждены, приведенное ниже описание отражает типичное поведение троянов этой категории, которые обычно выполняют эти действия после активации в системе.

Что обычно делает эта угроза?

Троянские программы, классифицируемые как «агентские» вредоносные программы, обычно работают незаметно в фоновом режиме без ведома и согласия пользователя. Типичное поведение для этого типа угроз включает в себя:

• Загрузка и установка дополнительных вредоносных компонентов на зараженное устройство.
• Изменение системных настроек или конфигурационных файлов для обеспечения постоянного сохранения данных.
• Общение с удалённым сервером, контролируемым злоумышленниками, для получения инструкций.
• Сбор информации с зараженного компьютера, такой как сведения о системе или данные об активности в интернете.
• Отключение или вмешательство в работу средств безопасности с целью избежать обнаружения и удаления.

Точные возможности каждого отдельного файла, помеченного как Trojan.Agent.Gen.GAO, могут различаться, поскольку обнаружение основано на эвристическом методе и может применяться к нескольким несвязанным вредоносным файлам, имеющим общие характеристики.

Как это обычно попадает на компьютеры

Троянские программы этой категории обычно распространяются способами, характерными для всего класса троянских программ, в том числе:

• Вложения или ссылки в фишинговых сообщениях, замаскированные под легитимные документы или счета-фактуры.
• Сборники установочных файлов для бесплатного или пиратского программного обеспечения, включая кряки и генераторы ключей.
• Поддельные обновления программного обеспечения или вводящие в заблуждение кнопки загрузки на ненадежных веб-сайтах.
• Вредоносная реклама, перенаправляющая пользователей на зараженные файлы для скачивания.
• Заражённые съёмные накопители или сети обмена файлами P2P

Риски для пользователя

Если подобный троян оставить в системе, он может подвергнуть пользователей ряду рисков, включая кражу данных, несанкционированный удаленный доступ, финансовые потери и дальнейшее заражение другими вредоносными программами, которые он может загрузить. Поскольку трояны часто работают незаметно, пользователи могут не сразу заметить последствия, что позволяет злоумышленникам получить расширенный доступ к скомпрометированной системе.

Признаки инфекции

Поскольку этот метод обнаружения является общим, видимые симптомы могут сильно различаться, но типичные предупреждающие признаки, связанные с троянами, включают:

• Заметное замедление работы системы или увеличение загрузки ЦП/сети без явной причины.
• Неожиданные всплывающие окна, сообщения об ошибках или изменения настроек браузера или системы.
• Появляются новые или незнакомые программы, не установленные пользователем.
• Программное обеспечение безопасности отключено или не может быть обновлено.
• Необычные исходящие сетевые соединения

Как обеспечить свою безопасность

Чтобы снизить риск заражения такими угрозами, как Trojan.Agent.Gen.GAO, пользователям следует обновлять операционную систему и все установленное программное обеспечение, избегать загрузки программ из непроверенных или пиратских источников, проявлять осторожность с вложениями в электронные письма и ссылками от неизвестных отправителей, а также использовать надежное программное обеспечение для регулярного сканирования и мониторинга системы. Регулярное резервное копирование важных файлов также может минимизировать ущерб в случае заражения, а соблюдение правил безопасного просмотра веб-страниц значительно снижает вероятность столкновения с подобными угрозами.

Аналитический отчет

Главная Информация

Фамилия:	Trojan.Agent.Gen.GAO
Статус подписи:	No Signature

Известные образцы

i

Известные образцы

В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.

MD5: 3f8fa75718b6d1b443b788a68cfdaf1e ША1: 099349795fbbf59074b55926818ee554273f3ca9 SHA256: 94069806A751BEADB67663DA37D0CB0697AB3D19A6E27F1E2118875BA17EAAC5 Размер файла: 55.30 KB, 55296 байт

MD5: 1def2ec226d667dece04162bdf7b9b69 ША1: 1b1aae6f2f2c4373b6d8be7d22422f8787fa28a1 SHA256: 72FF3D5068252BD439E2E79570EAE5257B0D3E07E37FC72D62435B9D502514A2 Размер файла: 5.17 MB, 5168536 байт

MD5: 3bd531b321f08ef5501d1ec55038de8c ША1: b030529a53a28dc7ef446504d922f8c776d815ca SHA256: 5F697E07061A96F8992E99159DE97E1BC138721C1392883AA5539055823F3388 Размер файла: 94.21 KB, 94208 байт

MD5: 227605ff386c71a5d69d9432c8f949e6 ША1: 4f7dddf2ee63504ed184dea93a06b79fda07ca3c SHA256: E924AAA1BAB4778ABDBF57E8221CF9DB18541B3938B62CD889687A0966FEB23B Размер файла: 5.17 MB, 5168024 байт

MD5: ec7a05ef89ff68f112bf923118260f5c ША1: 23ca76f90e851dc835f83549e90e1eee384bb80f SHA256: 1B8151524C8301EBC8AE0A7A8014565B91F02D73D28155239F7426729A3128C9 Размер файла: 56.83 KB, 56832 байт

Show 17 more

MD5: 33517d4315b7f11ba5ae31bb670cf347 ША1: 11b3fa207dd73a227938d24aa1512d6075de7a5e SHA256: E777B6AC97F30DC299D7048FCF6D43924877E903B86C022119948FB481F70304 Размер файла: 111.62 KB, 111616 байт

MD5: 324d27885f3e6b90ddba16af5d9d84ff ША1: 64b852faf97f5c495dea36bede169df35eec3f21 SHA256: E09CBE04EFA621460FB4B762B59BB0D8690C19E861C7D746DFB17413F5F85533 Размер файла: 55.30 KB, 55296 байт

MD5: e875ab3729a3e82185887c5d34f7dc9c ША1: 8c92ca417ac660782fc079c795435cbaf8b0fc2a SHA256: BEAA4375C1037AF7BCFB4BEF0430534E7208B4019192D7044E3D10D6E11E8B41 Размер файла: 154.11 KB, 154112 байт

MD5: 4177457b86e1640e719ff76d13aa23fb ША1: f1c6a0d8600e38a0fa022c352b4392b0575dbe05 SHA256: 7A4E35E69B61AF5FB929C5D60A8C8A999D45580A2D41FCD1B2B396232BF49E54 Размер файла: 115.20 KB, 115200 байт

MD5: eeacf061f6cce9f75329c8e8c7d241a7 ША1: 99ce4a71062649d6667bdab4a738f52ec638b80f SHA256: C324C439D7345E5C40EB125E9C225BADF51D6B80EB21C2388EABFCEF20E6AD02 Размер файла: 138.75 KB, 138752 байт

MD5: 4bed748141def96a49ea843ad2c0e358 ША1: e1c401a320b2936009d4c95181453a11228fc847 SHA256: 536CE4F6E104089EF01EBBFE222E88DA0D3E9A5E603CD7A2B4A36E5FEAA967CD Размер файла: 158.72 KB, 158720 байт

MD5: 1b155cf172ad45e1f738ca004cc2740a ША1: b41df9ef43c06219f4dcb60a23d35ad948306c95 SHA256: 1CAD85D7785CD5E2D9CE874EF3D994D84671A23EAABE5B5C3134341F6F3454E6 Размер файла: 109.57 KB, 109568 байт

MD5: b772899e81d6709a5f56718120a32e1b ША1: 0c995ebc393b361c4448777008b3c12bc314a544 SHA256: 8CBD2D2AF9BAA32B5001ED6D642CD4F9A68B68085D6DB586DDCEA39F049CE450 Размер файла: 482.30 KB, 482304 байт

MD5: 50e5d80604f58f84e5654b59582df118 ША1: bb18d10709f2b89dd9aa84e2e1657211e4011aa6 SHA256: D450385DAC9E278A47544037FCE9F01ADFBF708B4523183C4DCC67EDB9D1CDB3 Размер файла: 142.85 KB, 142848 байт

MD5: 33bcf54bc6494980b58bee49bcfff325 ША1: c68a90afca80b72d42ca18fec128b3789cf2bdcd SHA256: 67655D001A573D98ED83AFF5622DB11DE0C81771D409349F5B73F0CEA7BE9EFC Размер файла: 387.58 KB, 387584 байт

MD5: f95c6f411fc46513a1e72e30f8ae6da2 ША1: 6ce778155492cb3a6cbc9266bb80004ae8d760d7 SHA256: BF4C7CDA02D11A343169EC361A663570DA70D46AB28DFBB6BB60FE05602612DF Размер файла: 443.90 KB, 443904 байт

MD5: 6352bcec69a9f6125724452ebf4214b6 ША1: 2cc4e7882bf4a1f663108cba92ae81b646d3b0cb SHA256: 32B6651CF6E377FC2066259C6EA7FD27A2A95D0EB6E75B0DE5277B5998C523C5 Размер файла: 113.15 KB, 113152 байт

MD5: 98df656b6602e89276b57b6a934af6da ША1: 5dc520c401a53557d64198df5a57074fbf9f8f74 SHA256: 4390BB3647D6D132FC3BC0FDD18A5D73078A08AF712CCF0E7D65F031EF806D04 Размер файла: 112.64 KB, 112640 байт

MD5: f2585c3aeba383cd60a66d993db8cc00 ША1: ef180c5efb10dc9449a6975283245174b31ca8a8 SHA256: D3DD10AE5CE43A55B6DEBA4855B77E746B11E326C380DFAC43C75D8D7E91E81F Размер файла: 113.66 KB, 113664 байт

MD5: 1dfad23df1f317c7bb2d83cefebb16b3 ША1: 4713c634fab4e8c7153df349f7cd024d3c2c6b3a SHA256: 18A91B44B692827F97E0E6984B0C1BB55AFA326A1ED5500A19969104EBA7C8BB Размер файла: 471.55 KB, 471552 байт

MD5: 583a7428831cb933781069f5e000489e ША1: 738f416c8b310d5c06924b48b449ede152ef3bb7 SHA256: 62D0481B39EE2586D7E092B3AD3D9917202F5C0592E35098CFADE75B716DA460 Размер файла: 134.66 KB, 134656 байт

MD5: 99c815808dc8eae6b32ff6fee673090e ША1: 1de99a08ac9e1fb9462f3d0d47b165ea0ea9a1cf SHA256: 15A0FE6FB4512A39394D9898BB3EC1469CDBCBC4D4B45208D0927061E50D56FD Размер файла: 465.41 KB, 465408 байт

Атрибуты исполняемого файла Windows Portable

i

Атрибуты исполняемого файла Windows Portable

В этом разделе перечислены атрибуты файлов, обнаруженные в образцах семейства. Эти атрибуты извлекаются из спецификации исполняемых файлов Windows PE (Portable Executable) и различных системных флагов. Атрибуты исполняемых файлов позволяют исследователям вредоносного ПО получить представление о функциональности файла, деталях исполняемого файла, платформе и среде выполнения.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 64-bit executable
• File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)

Show 4 more

• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Значки файлов

i

Значки файлов

В этом разделе отображаются значки, найденные в образцах вредоносных программ. Вредоносные программы часто копируют значки, обычно ассоциируемые с легитимным программным обеспечением, чтобы ввести пользователей в заблуждение и заставить их поверить в безопасность вредоносной программы.

Информация о версии Windows PE

i

Информация о версии Windows PE

В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.

имя	Ценность
Company Name	Google LLC
File Description	Chrome Component (x86) Chrome Crash Handler (x86) Chrome Helper Component (x86) Google Installer (x86) Google Update Updater
File Version	152.0.8197.20 152.0.8161.96 152.0.8136.47 152.0.8132.69 152.0.8085.58 152.0.8030.82 152.0.7990.90 152.0.7945.34 152.0.7878.44 152.0.7850.98 Show 11 more 152.0.7829.23 152.0.7768.82 152.0.7751.12 152.0.7727.73 152.0.7667.19 152.0.7624.72 152.0.7610.68 152.0.7600.85 152.0.7583.64 152.0.7536.66 46.1.8905.0
Internal Name	chrome.exe ChromeCrashReporter.exe ChromeUpdatePolicy.dll chrome_breakpad.dll chrome_crashpad.dll chrome_crash_daemon.exe chrome_elf_host.exe chrome_extension.dll chrome_metrics_core.dll chrome_policy_core.dll Show 5 more Google Installer (x86) Google Update Updater guanchor64.dll gucore_host.dll gupdate_core.dll
Legal Copyright	Copyright 2026 Google LLC. All rights reserved.
Original Filename	Chrome.exe chrome.exe ChromeCrashReporter.exe ChromeUpdatePolicy.dll chrome_breakpad.dll chrome_crashpad.dll chrome_crash_daemon.exe chrome_elf_host.exe chrome_extension.dll chrome_metrics_core.dll Show 5 more chrome_policy_core.dll google.exe guanchor64.dll gucore_host.dll gupdate_core.dll
Product Name	chrome.exe ChromeCrashReporter.exe ChromeUpdatePolicy.dll chrome_breakpad.dll chrome_crashpad.dll chrome_crash_daemon.exe chrome_elf_host.exe chrome_extension.dll chrome_metrics_core.dll chrome_policy_core.dll Show 5 more Google Installer (x86) Google Update Updater guanchor64.dll gucore_host.dll gupdate_core.dll
Product Version	152.0.8197.20 152.0.8161.96 152.0.8136.47 152.0.8132.69 152.0.8085.58 152.0.8030.82 152.0.7990.90 152.0.7945.34 152.0.7878.44 152.0.7850.98 Show 11 more 152.0.7829.23 152.0.7768.82 152.0.7751.12 152.0.7727.73 152.0.7667.19 152.0.7624.72 152.0.7610.68 152.0.7600.85 152.0.7583.64 152.0.7536.66 46.1.8905.0

Цифровые подписи

i

Цифровые подписи

В этом разделе перечислены цифровые подписи, прикрепленные к образцам из этого семейства. При анализе и проверке цифровых подписей важно убедиться, что корневой орган, ответственный за подпись, является известным и заслуживающим доверия субъектом, а также что статус подписи является действительным. Вредоносное ПО часто подписывается ненадежными «самоподписанными» цифровыми подписями (которые могут быть легко созданы автором вредоносного ПО без проверки). Вредоносное ПО также может быть подписано легитимными подписями, имеющими недействительный статус, а также подписями от сомнительных корневых органов с поддельными или вводящими в заблуждение именами «подписывающих лиц».

Подписавший	Корень	Статус
Google LLC	Google LLC	Self Signed

Характеристики файла

• dll
• GetConsoleWindow
• HighEntropy
• Installer Version
• WriteProcessMemory
• x64

Информация о блоке

i

Информация о блоке

В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.

Всего блоков:	2,978
Потенциально вредоносные блоки:	630
Блоки, внесенные в белый список:	753
Неизвестные блоки:	1,595

Визуальная карта

... Данные усечены

0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Похожие семьи

i

Похожие семьи

В этом разделе перечислены другие семейства вредоносных программ, имеющие сходства с данным семейством, на основе анализа EnigmaSoft. Многие семейства вредоносных программ создаются с использованием одних и тех же наборов инструментов и применяют одни и те же методы упаковки и шифрования, но обладают уникальными расширенными функциональными возможностями. Схожие семейства могут также иметь общий исходный код, атрибуты, значки, субкомпоненты, скомпрометированные и/или недействительные цифровые подписи и сетевые характеристики. Исследователи используют эти сходства для быстрой и эффективной сортировки образцов файлов и расширения правил обнаружения вредоносных программ.

• Trojan.Agent.Gen.FQJ
• Trojan.Agent.Gen.GAO
• Trojan.Agent.Gen.GPQ
• Trojan.Kryptik.Gen.KLV
• Trojan.Kryptik.Gen.KYR

Файлы изменены

i

Файлы изменены

В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.

Файл	Атрибуты
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\chrome140.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\chrome140.exe	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\google.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\google.dll	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\gupdt.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\gupdt.exe	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\gupw.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\gupw.exe	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\bwhkcggxry\chrome140.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\bwhkcggxry\chrome140.exe	Read Attributes,Synchronize,Write Attributes

Show 10 more

c:\users\user\appdata\local\google\chrome\bwhkcggxry\google.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\google\chrome\bwhkcggxry\google.dll	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\bwhkcggxry\gupdt.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\bwhkcggxry\gupdt.exe	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\bwhkcggxry\gupw.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\bwhkcggxry\gupw.exe	Read Attributes,Synchronize,Write Attributes
c:\users\user\ntuser.dat{53b39e87-18c4-11ea-a811-000d3aa4692b}.txr.3.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\ntuser.dat{53b39e87-18c4-11ea-a811-000d3aa4692b}.txr.4.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\ntuser.dat{53b39e87-18c4-11ea-a811-000d3aa4692b}.txr.5.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\ntuser.dat{53b39e87-18c4-11ea-a811-000d3aa4692b}.txr.6.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data

Изменения в реестре

i

Изменения в реестре

В этом разделе перечислены ключи и значения реестра, которые были созданы, изменены и/или удалены образцами из этого семейства. Активность реестра Windows может дать ценную информацию о функциональности вредоносных программ. Кроме того, вредоносные программы часто создают значения реестра, чтобы автоматически запускаться и неограниченно существовать после того, как первоначальное заражение скомпрометировало систему.

Ключ::Значение	Данные	Название API
HKCU\software\google\chrome\bwhkcggxry::ldr	x �}xW�����$���(�C�6qd�Q;m�eI���mՒ'M;�m��%�G�\C�jp?��p,���fYh��rhR���XJ[����i!��ͦK��s�G�]�Z �}�;��s�9��s�}�h�}�1B �%�aG3����r�c���%�]u���*�p(a�ţC�?�D�־�5��XC���g��**Jk^!X"d�aΓwXˌ�d�.��HH�e�V!R�F"\��x� ���	RegNtPreCreateKey
HKCU\software\google\chrome\bwhkcggxry::lsz	雒	RegNtPreCreateKey
HKCU\software\google\chrome\bwhkcggxry::isz	�p	RegNtPreCreateKey
HKCU\software\google\chrome\bwhkcggxry::udir	C:\Users\Lldqpajw\AppData\Local\Google\Chrome\bwhkcggxry	RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::googleupdate140	"C:\Users\Lldqpajw\AppData\Local\Google\Chrome\bwhkcggxry\chrome140.exe" /user	RegNtPreCreateKey
HKCU\software\google\chrome\9j6f3k4wwj::ldr	x �}xW�����$���(�C�6qd�Q;m�eI���mՒ'M;�m��%�G�\C�jp?��p,���fYh��rhR���XJ[����i!��ͦK��s�G�]�Z �}�;��s�9��s�}�h�}�1B �%�aG3����r�c���%�]u���*�p(a�ţC�?�D�־�5��XC���g��**Jk^!X"d�aΓwXˌ�d�.��HH�e�V!R�F"\��x� ���	RegNtPreCreateKey
HKCU\software\google\chrome\9j6f3k4wwj::lsz	雒	RegNtPreCreateKey
HKCU\software\google\chrome\9j6f3k4wwj::isz	�p	RegNtPreCreateKey
HKCU\software\google\chrome\9j6f3k4wwj::udir	C:\Users\Rmegitxe\AppData\Local\Google\Chrome\9j6f3k4wwj	RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::googleupdate140	"C:\Users\Rmegitxe\AppData\Local\Google\Chrome\9j6f3k4wwj\chrome140.exe" /user	RegNtPreCreateKey

Show 4 more

HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n % �v����Bx(�1`1�1HO@V�A��H[uN$ _�zb"hk`k�ql(�{b��P���! ��� ����3 �����������m�Ù��V����$ �8წ���l��&M�~� �=�SB1_T�Vw�`�V �R���%�� �������AE��D��&��$���L A	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	n  �vT���Bx(�(X�1`1�1HO@V�H[ub"hk`k�ql(�{b��P���� ����������.�m�Ù�����$ წ��� �=�SB1_T�Vw�`�V �R���%�������AE��D��&��$���L	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n $ �vT�����&� (�(X�1`1�1HO@V�A��H[u_�zb"hk`k�qtǤ{b��P���� ��7 ����������.�m�Ù��IV����$ �8წ���Κ�&M�=�SB1_T�Vw�`�V ��%�������AE�zH ��D��&��$���L	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n * �v�Z����Bx#�� (�1`1�1HO@V�H[uH�pN$ _�zb"hk`k�ql(�{b��P���! �/��Hu��� ����3 ���������X����m�Ù��gi �V����$ �8წ���l�A �~�=�SB1_B��T�Vw���%�� �������AE��D��&��	RegNtPreCreateKey

Использование API Windows

i

Использование API Windows

В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.

Категория	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtCancelWaitCompletionPacket ntdll.dll!NtClose Show 73 more ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtPowerInformation ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryTimerResolution ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationObject ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTerminateProcess ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Service Control	OpenSCManager OpenService
Encryption Used	BCryptOpenAlgorithmProvider
Keyboard Access	GetAsyncKeyState GetKeyState
Network Winsock	getaddrinfo
Network Winhttp	WinHttpOpen
User Data Access	GetUserName
Process Shell Execute	CreateProcess

Выполнение команд оболочки

i

Выполнение команд оболочки

В этом разделе перечислены команды оболочки Windows, которые выполняются образцами этого семейства. Команды оболочки Windows часто используются вредоносным ПО в злонамеренных целях и могут применяться для повышения привилегий безопасности, загрузки и запуска другого вредоносного ПО, использования уязвимостей, сбора и кражи данных, а также сокрытия вредоносной активности.

"C:\ProgramData\Google\Client State\qa89w4pa\ChromeInstaller.exe"

"C:\ProgramData\Google\Client State\45ku5mbl\chrome_installer_setup.exe"