Trojan.Agent.IUW
Карта показателей угрозы
Карта оценки угроз EnigmaSoft
EnigmaSoft Threat Scorecards — это отчеты об оценке различных вредоносных программ, которые были собраны и проанализированы нашей исследовательской группой. EnigmaSoft Threat Scorecards оценивает и ранжирует угрозы, используя несколько показателей, включая реальные и потенциальные факторы риска, тенденции, частоту, распространенность и постоянство. EnigmaSoft Threat Scorecards регулярно обновляются на основе данных и показателей наших исследований и полезны для широкого круга пользователей компьютеров, от конечных пользователей, ищущих решения для удаления вредоносных программ из своих систем, до экспертов по безопасности, анализирующих угрозы.
EnigmaSoft Threat Scorecards отображает разнообразную полезную информацию, в том числе:
Рейтинг популярности: Показатель, занимаемый конкретной угрозой в базе данных угроз EnigmaSoft.
Уровень серьезности: определенный уровень серьезности объекта, представленный в числовом виде на основе нашего процесса моделирования рисков и исследований, как описано в наших критериях оценки угроз .
Зараженные компьютеры: количество подтвержденных и предполагаемых случаев конкретной угрозы, обнаруженной на зараженных компьютерах, по данным SpyHunter.
См. также Критерии оценки угроз .
| Рейтинг популярности: | 23,696 |
| Уровень угрозы: | 80 % (Высокая) |
| Первый раз: | April 7, 2025 |
| Последний визит: | November 4, 2026 |
| ОС(а) Затронутые: | Windows |
Trojan.Agent.IUW — это троянская программа для Windows, получившая оценку опасности 8 из 10. Трояны маскируются под безобидные или полезные файлы, выполняя вредоносную работу в фоновом режиме. Данные показывают, что первое обнаружение было зафиксировано 07.04.2025, а последнее — 04.11.2026. Зарегистрировано лишь небольшое количество обнаружений, но описанное ниже поведение делает её достойной внимания.
Оглавление
Что делает эта угроза?
Согласно описанию, Agent.IUW устанавливается незаметно и работает в фоновом режиме. После установки он может предоставить злоумышленникам полный контроль над зараженной системой. Он также может тайно удалять файлы и устанавливать дополнительное вредоносное ПО.
Анализируемый образец представляет собой 64-битный исполняемый файл с графическим интерфейсом пользователя для Windows. Он не упакован, не имеет цифровой подписи и содержит большой объем наложения (дополнительные данные, добавленные к файлу). Кроме того, в его заголовке отсутствует информация о безопасности. Его поведение указывает на несколько возможностей:
- Сетевая коммуникация: она использует функции Winsock и WinHTTP для открытия соединений, отправки и получения данных, а также разрешения имен хостов. Это типично для вредоносных программ, которые связываются с удаленным сервером для получения команд или отправки данных.
- Профилирование системы: оно запрашивает имя компьютера, языковые настройки по умолчанию и информацию о сетевом адаптере. Вредоносные программы обычно собирают эти данные для идентификации зараженного компьютера.
- Манипулирование процессом: это вызов функции, которая отменяет отображение разделов памяти в процессе. Обычно это связано с попытками скрыть вредоносный код внутри других процессов.
- Изменение привилегий: это корректировка токеновых привилегий, что вредоносное ПО часто делает для получения более широкого доступа к системе.
- Шифрование и прямые системные вызовы: используется криптографический провайдер Windows и низкоуровневые системные вызовы. Оба метода типичны для угроз, стремящихся защитить свои данные или избежать слежки.
Образец кода также изменяет файл во временной папке пользователя. Из 102 проанализированных блоков кода один был помечен как потенциально вредоносный, а остальные были внесены в белый список, поэтому вредоносная часть может быть небольшой и её легко пропустить.
Как это обычно попадает на компьютеры
В данных ленты указаны следующие типичные маршруты:
- Использование уязвимостей системы и недостатков безопасности.
- Загрузка программного обеспечения с вредоносных веб-сайтов.
- Вложения в электронные письма из ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi и даже .jpg.
Распространенный трюк — это прикрепление файлов с вводящими в заблуждение расширениями. Файл, который выглядит как изображение или видео, на самом деле может оказаться программой.
Риски для пользователя
Если троянская программа запустится, кто-то другой может получить контроль над вашим компьютером. Типичные последствия такого доступа включают потерю или удаление файлов, установку дополнительного вредоносного ПО и раскрытие личной информации и учетных записей. Поскольку образец распространяется по сети, зараженный компьютер также может использоваться злоумышленниками без ведома владельца.
Признаки инфекции
Троянские программы этого типа разработаны таким образом, чтобы оставаться незаметными, поэтому явных симптомов может не быть. В данных о распространении вирусов конкретные симптомы не указаны. Типичные предупреждающие признаки для этой категории включают:
- Запуск незнакомых программ или процессов, особенно из временных папок.
- Неожиданная сетевая активность, когда вы не пользуетесь интернетом.
- Файлы, которые исчезают или изменяются без объяснения причин.
- Более медленная система или настройки, которые изменяются автоматически.
Как обеспечить свою безопасность
- Регулярно обновляйте Windows и все установленные программы, чтобы устранять известные уязвимости.
- Загружайте программное обеспечение только из официальных источников поставщика.
- Не открывайте вложения от неизвестных отправителей. С подозрением относитесь к любым «изображениям» или «видео», которые просят запустить, или которые имеют двойное расширение.
- Отображать расширения файлов в проводнике Windows, чтобы замаскированные исполняемые файлы было легче обнаружить.
- Используйте надежную, современную программу безопасности с защитой в режиме реального времени и регулярно проводите полное сканирование системы.
- Создавайте резервные копии важных файлов в месте, которое не подключено постоянно к вашему компьютеру.
Если вы подозреваете заражение, отключите компьютер от интернета, выполните полное сканирование с помощью актуальной программы безопасности и удалите все обнаруженные вредоносные программы. После этого смените пароли на чистом устройстве. Если система по-прежнему ведет себя странно, обратитесь за помощью к специалисту или выполните чистую переустановку Windows.
Аналитический отчет
Главная Информация
| Фамилия: | Trojan.Agent.IUW |
|---|---|
| Статус подписи: | No Signature |
Известные образцы
Известные образцы
В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.|
MD5:
788b9ff20bb5d2c85db1438cde21dc59
ША1:
f57a376a2d0b9eefef1b156bf37c1d4326344056
SHA256:
521211BE268938C8F9E7E705386D2F20ADC6584515D57254D225CDD825B33519
Размер файла:
629.14 KB, 629145 байт
|
Атрибуты исполняемого файла Windows Portable
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Характеристики файла
- big overlay
- dll
- x64
Информация о блоке
Информация о блоке
В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.| Всего блоков: | 102 |
|---|---|
| Потенциально вредоносные блоки: | 1 |
| Блоки, внесенные в белый список: | 101 |
| Неизвестные блоки: | 0 |
Визуальная карта
? - Неизвестный блок
x - Потенциально вредоносная блокировка
Файлы изменены
Файлы изменены
В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.| Файл | Атрибуты |
|---|---|
| c:\users\user\appdata\local\temp\fontdrvhost.exe | Generic Write,Read Attributes |
Изменения в реестре
Изменения в реестре
В этом разделе перечислены ключи и значения реестра, которые были созданы, изменены и/или удалены образцами из этого семейства. Активность реестра Windows может дать ценную информацию о функциональности вредоносных программ. Кроме того, вредоносные программы часто создают значения реестра, чтобы автоматически запускаться и неограниченно существовать после того, как первоначальное заражение скомпрометировало систему.| Ключ::Значение | Данные | Название API |
|---|---|---|
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | �n * �v �Z����Bx #��(�1`1�1HO @V� A��H[uH�pN$_�zb"hk`k�ql(�{b��P� ��!���� � ��3�� ��� �������.�m� Ù� �gi�V ����$�8წ���l� �&M A�~ �=�SB1_ B�� T�Vw���%�������� �AE��D��&�� | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey |
Show 5 more
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Использование API Windows
Использование API Windows
В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.| Категория | API |
|---|---|
| Syscall Use |
Show 90 more
9 дополнительных товаров не отображаются выше. |
| Process Manipulation Evasion |
|
| User Data Access |
|
| Encryption Used |
|
| Other Suspicious |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|