Trojan.Downloader.Agent.NAU
Карта показателей угрозы
Карта оценки угроз EnigmaSoft
EnigmaSoft Threat Scorecards — это отчеты об оценке различных вредоносных программ, которые были собраны и проанализированы нашей исследовательской группой. EnigmaSoft Threat Scorecards оценивает и ранжирует угрозы, используя несколько показателей, включая реальные и потенциальные факторы риска, тенденции, частоту, распространенность и постоянство. EnigmaSoft Threat Scorecards регулярно обновляются на основе данных и показателей наших исследований и полезны для широкого круга пользователей компьютеров, от конечных пользователей, ищущих решения для удаления вредоносных программ из своих систем, до экспертов по безопасности, анализирующих угрозы.
EnigmaSoft Threat Scorecards отображает разнообразную полезную информацию, в том числе:
Рейтинг популярности: Показатель, занимаемый конкретной угрозой в базе данных угроз EnigmaSoft.
Уровень серьезности: определенный уровень серьезности объекта, представленный в числовом виде на основе нашего процесса моделирования рисков и исследований, как описано в наших критериях оценки угроз .
Зараженные компьютеры: количество подтвержденных и предполагаемых случаев конкретной угрозы, обнаруженной на зараженных компьютерах, по данным SpyHunter.
См. также Критерии оценки угроз .
| Рейтинг популярности: | 15,408 |
| Уровень угрозы: | 80 % (Высокая) |
| Зараженные компьютеры: | 18 |
| Первый раз: | February 8, 2024 |
| Последний визит: | October 9, 2026 |
| ОС(а) Затронутые: | Windows |
Trojan.Downloader.Agent.NAU — это вредоносная программа для Windows, классифицируемая как троянский загрузчик. Её основная цель — не причинение видимого ущерба самой по себе, а незаметное открытие двери для других вредоносных программ путем загрузки и установки дополнительных вредоносных компонентов на зараженный компьютер. Впервые обнаруженная в феврале 2024 года и до сих пор выявляемая, эта угроза имеет высокий уровень опасности из-за своей способности служить отправной точкой для гораздо более разрушительных заражений.
Оглавление
Что делает Trojan.Downloader.Agent.NAU
После активации в системе Trojan.Downloader.Agent.NAU работает незаметно в фоновом режиме, скрывая свое присутствие от пользователя. Он предназначен для скрытой установки и последующего выполнения вредоносных функций без каких-либо видимых признаков активности. Анализ его поведения показывает, что он может запускать инструмент Windows PowerShell со скрытыми окнами и обходить политики выполнения, что позволяет ему запускать скрипты и команды без запуска обычных запросов безопасности. Он также взаимодействует с системными процессами, проверяет наличие инструментов отладки и собирает информацию о вошедшем в систему пользователе, такую как имя пользователя и настройки локали. Эти возможности предполагают, что троян создан для скрытой работы, подготавливая систему к дальнейшему взлому, например, к загрузке дополнительных полезных нагрузок, предоставлению удаленным злоумышленникам доступа к управлению или сбору конфиденциальных данных.
Как это обычно попадает на компьютеры
Троян Trojan.Downloader.Agent.NAU обычно распространяется, используя уязвимости системы и недостатки безопасности. Он часто распространяется в комплекте с программным обеспечением, загружаемым с ненадежных или вредоносных веб-сайтов, или через вложения в электронные письма от неизвестных или подозрительных отправителей. Эти вложения могут быть замаскированы под обычные файлы, включая исполняемые файлы, медиафайлы или даже файлы изображений, обманом заставляя пользователей открывать их. Как это типично для троянов типа загрузчиков, заражение часто происходит без каких-либо очевидных предупреждений, поскольку вредоносный файл может выглядеть безобидным на первый взгляд.
Риски для пользователя
Поскольку этот троян в первую очередь предназначен для загрузки файлов, наибольшую опасность он представляет для системы в дальнейшем. Он может позволить хакерам получить полный контроль над зараженным компьютером, что потенциально может привести к установке шпионского ПО, программ-вымогателей, программ для кражи паролей или других опасных программ. Использование скрытых команд PowerShell и системных вызовов, связанных с привилегиями, указывает на то, что он может попытаться повысить свой уровень доступа и выполнять действия, которые трудно обнаружить обычному пользователю. Если это не предотвратить, это может привести к краже учетных данных, финансовым потерям, повреждению файлов или серьезной компрометации системы.
Признаки инфекции
Поскольку Trojan.Downloader.Agent.NAU работает незаметно, очевидные симптомы могут быть минимальными. Однако пользователям следует обращать внимание на необъяснимые замедления работы, необычные фоновые процессы, неожиданное кратковременное появление окон PowerShell, всплески сетевой активности или появление новых и незнакомых файлов во временных папках. Наиболее явным признаком заражения часто является обнаружение подозрительных скриптов или этого конкретного имени трояна программами безопасности.
Как обеспечить свою безопасность
Чтобы снизить риск заражения, избегайте загрузки программного обеспечения с неофициальных или непроверенных веб-сайтов и никогда не открывайте вложения электронной почты от неизвестных или неожиданных отправителей, особенно исполняемые файлы или файлы с необычными расширениями. Поддерживайте операционную систему Windows и все установленное программное обеспечение в актуальном состоянии, поскольку этот троян использует уязвимости, которые не были исправлены. Регулярно создавайте резервные копии важных файлов, будьте осторожны при включении макросов или запуске скриптов и используйте надежное, актуальное решение для обеспечения безопасности, чтобы обнаруживать и блокировать угрозы, такие как Trojan.Downloader.Agent.NAU, прежде чем они смогут причинить вред.
Аналитический отчет
Главная Информация
| Фамилия: | Trojan.Downloader.Agent.NAU |
|---|---|
| Статус подписи: | No Signature |
Известные образцы
Известные образцы
В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.|
MD5:
48f1316432f4b9714542cf733d936ed8
ША1:
34917dad9f0977a1d3e8d7228b60246615bc28dd
SHA256:
BA2FE025F1D1EEE75D547CE5BE1340A09FFEB83F35883D367B4095FFCA60C257
Размер файла:
135.17 KB, 135168 байт
|
Атрибуты исполняемого файла Windows Portable
- File doesn't have "Rich" header
- File doesn't have resources
- File doesn't have security information
- File has exports table
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Характеристики файла
- dll
- x64
Информация о блоке
Информация о блоке
В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.| Всего блоков: | 478 |
|---|---|
| Потенциально вредоносные блоки: | 16 |
| Блоки, внесенные в белый список: | 461 |
| Неизвестные блоки: | 1 |
Визуальная карта
? - Неизвестный блок
x - Потенциально вредоносная блокировка
Файлы изменены
Файлы изменены
В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.| Файл | Атрибуты |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134330117538528711.4124.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_5ho5pj4z.44r.psm1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_oih24goz.lbn.ps1 | Generic Write,Read Attributes |
Изменения в реестре
Изменения в реестре
В этом разделе перечислены ключи и значения реестра, которые были созданы, изменены и/или удалены образцами из этого семейства. Активность реестра Windows может дать ценную информацию о функциональности вредоносных программ. Кроме того, вредоносные программы часто создают значения реестра, чтобы автоматически запускаться и неограниченно существовать после того, как первоначальное заражение скомпрометировало систему.| Ключ::Значение | Данные | Название API |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | 멁㲇ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᏽ멉㲇ǝ | RegNtPreCreateKey |
Использование API Windows
Использование API Windows
В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.| Категория | API |
|---|---|
| Syscall Use |
Show 90 more
26 дополнительных товаров не отображаются выше. |
| Anti Debug |
|
| User Data Access |
|
| Process Shell Execute |
|
| Encryption Used |
|
| Other Suspicious |
|
Выполнение команд оболочки
Выполнение команд оболочки
В этом разделе перечислены команды оболочки Windows, которые выполняются образцами этого семейства. Команды оболочки Windows часто используются вредоносным ПО в злонамеренных целях и могут применяться для повышения привилегий безопасности, загрузки и запуска другого вредоносного ПО, использования уязвимостей, сбора и кражи данных, а также сокрытия вредоносной активности.
C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell.exe -windowstyle hidden -NoProfile -ExecutionPolicy bypass -Command $mydir = [System.Environment]::GetFolderPath('CommonApplicationData')
|