Trojan.Spy.Agent.AZ
Карта показателей угрозы
Карта оценки угроз EnigmaSoft
EnigmaSoft Threat Scorecards — это отчеты об оценке различных вредоносных программ, которые были собраны и проанализированы нашей исследовательской группой. EnigmaSoft Threat Scorecards оценивает и ранжирует угрозы, используя несколько показателей, включая реальные и потенциальные факторы риска, тенденции, частоту, распространенность и постоянство. EnigmaSoft Threat Scorecards регулярно обновляются на основе данных и показателей наших исследований и полезны для широкого круга пользователей компьютеров, от конечных пользователей, ищущих решения для удаления вредоносных программ из своих систем, до экспертов по безопасности, анализирующих угрозы.
EnigmaSoft Threat Scorecards отображает разнообразную полезную информацию, в том числе:
Рейтинг популярности: Показатель, занимаемый конкретной угрозой в базе данных угроз EnigmaSoft.
Уровень серьезности: определенный уровень серьезности объекта, представленный в числовом виде на основе нашего процесса моделирования рисков и исследований, как описано в наших критериях оценки угроз .
Зараженные компьютеры: количество подтвержденных и предполагаемых случаев конкретной угрозы, обнаруженной на зараженных компьютерах, по данным SpyHunter.
См. также Критерии оценки угроз .
| Рейтинг популярности: | 22,740 |
| Уровень угрозы: | 80 % (Высокая) |
| Зараженные компьютеры: | 15 |
| Первый раз: | April 10, 2024 |
| Последний визит: | August 26, 2026 |
| ОС(а) Затронутые: | Windows |
Trojan.Spy.Agent.AZ — это троян для Windows с уровнем опасности 8 из 10. Он относится к категории троянов, использующих шпионское ПО, то есть создан для незаметной работы, избегания внимания и предоставления злоумышленникам доступа к компьютеру. Впервые он был обнаружен 10 апреля 2024 года, а последний раз — 26 августа 2026 года, поэтому он всё ещё активен. В ленте новостей указано 15 обнаружений.
Оглавление
Что делает эта угроза?
Согласно сообщению, Spy.Agent.AZ устанавливается незаметно и работает в фоновом режиме. После установки он может предоставить злоумышленникам полный контроль над системой. Он также может скрытно удалять файлы и устанавливать дополнительное программное обеспечение. Текст сообщения обрывается на этом месте, поэтому не указано, что ещё может установить троян.
Технические данные указывают на 64-битную, нативную программу с графическим интерфейсом пользователя для Windows, которая не упакована в архив. Она использует ряд возможностей, типичных для шпионского и удаленного управляемого вредоносного ПО:
- Сетевой доступ: он использует сетевые функции Windows (WinHTTP и Winsock), которые обычно необходимы подобному трояну для взаимодействия с удалённым сервером.
- Шифрование: используется криптографическая функция Windows. Вредоносные программы обычно используют её для сокрытия своих данных или обмена информацией.
- Запись в память: эта функция помечена как WriteProcessMemory. Обычно она используется для внедрения кода в другие запущенные процессы, хотя в репозитории не подтверждается, что именно это делает данный пример.
Также было замечено, что образец изменял файлы в кэше загрузки сертификатов Windows. Это может быть просто побочным эффектом проверки цифровой подписи Windows, поэтому это не следует рассматривать как доказательство конкретного вредоносного действия.
Как это обычно попадает на компьютеры
В ленте указаны три основных маршрута:
- Использование уязвимостей системы и недостатков безопасности.
- Загрузка программного обеспечения с вредоносных веб-сайтов.
- Вложения в электронные письма из ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi и даже .jpg.
Анализируемый файл также маскируется. Информация о его версии утверждает, что он получен от корпорации Microsoft, и представляет файл как "setup.exe" для продукта под названием "Блокнот --", обозначенного как "Установщик Блокнота --". Он содержит цифровую подпись, выданную подразделению "Greenengine OU", но статус подписи - "Root Not Trusted". Поддельный установщик с похожим именем и недоверенной подписью - веская причина не запускать его.
Риски для пользователя
Поскольку этот троян может предоставить злоумышленнику полный контроль над системой, потенциальный ущерб весьма значителен. Типичные риски, связанные с троянами-шпионами, включают:
- Кража личных данных, паролей и другой конфиденциальной информации.
- Потеря или удаление файлов.
- Установка дополнительного вредоносного ПО.
- Использование компьютера посторонним лицом без вашего ведома.
В сообщении подтверждается удаление файла, возможность полного контроля и дополнительные установки. Остальные пункты описывают типичные характеристики этой категории.
Признаки инфекции
Троянская программа работает незаметно, поэтому явных симптомов может не быть. Типичные признаки такого рода инфекции включают:
- Неожиданная сетевая активность от программ, которые вам незнакомы.
- Файлы, пропавшие без объяснения причин.
- Новые программы, которые вы не устанавливали.
- Снижение производительности или необъяснимое поведение системы.
- Недавно запущенный файл "setup.exe" или установщик, который не выполнил заявленные функции.
Как обеспечить свою безопасность
- Регулярно обновляйте Windows и все установленное программное обеспечение, поскольку этот троян может использовать известные уязвимости.
- Загружайте программное обеспечение только с официального сайта издателя и с подозрением относитесь к установщикам, которые выглядят как известные инструменты, но поступают из неизвестных источников.
- Не открывайте вложения от ненадежных отправителей, даже если файл выглядит как изображение или видео. Исполняемые файлы, замаскированные под изображения или медиафайлы, — распространенный способ обмана.
- Перед запуском файла проверьте его цифровую подпись. Предупреждение, например, о наличии недоверенного root-пользователя, является тревожным сигналом.
- Используйте надежное и современное решение для обеспечения безопасности и выполните полное сканирование системы, если подозреваете наличие проблемы.
- Регулярно создавайте резервные копии важных файлов на диске или в сервисе, который не подключен постоянно к вашему компьютеру.
Если вы считаете, что запустили подозрительный установщик, отключите компьютер от интернета, выполните полное сканирование и удалите все обнаруженные вредоносные программы. После этого смените важные пароли на другом, чистом устройстве.
Аналитический отчет
Главная Информация
| Фамилия: | Trojan.Spy.Agent.AZ |
|---|---|
| Статус подписи: | Root Not Trusted |
Известные образцы
Известные образцы
В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.|
MD5:
95f79bb0f335e61e9141dd51bc91d395
ША1:
9d4e073bc4d9f200e854f341032271cd92d08410
SHA256:
43ED1D8E0E162CD1B982B8BFA514A78BB0D7304CA773B31350966587E658A211
Размер файла:
7.06 MB, 7059528 байт
|
Атрибуты исполняемого файла Windows Portable
- File doesn't have "Rich" header
- File doesn't have debug information
- File has exports table
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Значки файлов
Значки файлов
В этом разделе отображаются значки, найденные в образцах вредоносных программ. Вредоносные программы часто копируют значки, обычно ассоциируемые с легитимным программным обеспечением, чтобы ввести пользователей в заблуждение и заставить их поверить в безопасность вредоносной программы.
Информация о версии Windows PE
Информация о версии Windows PE
В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.| имя | Ценность |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | setup.exe |
| File Version | 1.2.0.400 |
| Original Filename | setup.exe |
| Product Name | Notepad -- |
| Product Version | 1.2.0.400 |
| Program I D | Notepad -- Setup Installer |
Цифровые подписи
Цифровые подписи
В этом разделе перечислены цифровые подписи, прикрепленные к образцам из этого семейства. При анализе и проверке цифровых подписей важно убедиться, что корневой орган, ответственный за подпись, является известным и заслуживающим доверия субъектом, а также что статус подписи является действительным. Вредоносное ПО часто подписывается ненадежными «самоподписанными» цифровыми подписями (которые могут быть легко созданы автором вредоносного ПО без проверки). Вредоносное ПО также может быть подписано легитимными подписями, имеющими недействительный статус, а также подписями от сомнительных корневых органов с поддельными или вводящими в заблуждение именами «подписывающих лиц».| Подписавший | Корень | Статус |
|---|---|---|
| Greenengine OU | SSL.com EV Root Certification Authority RSA R2 | Root Not Trusted |
Характеристики файла
- Installer Version
- WriteProcessMemory
- x64
Информация о блоке
Информация о блоке
В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.| Всего блоков: | 28,258 |
|---|---|
| Потенциально вредоносные блоки: | 56 |
| Блоки, внесенные в белый список: | 28,180 |
| Неизвестные блоки: | 22 |
Визуальная карта
... Данные усечены? - Неизвестный блок
x - Потенциально вредоносная блокировка
Похожие семьи
Похожие семьи
В этом разделе перечислены другие семейства вредоносных программ, имеющие сходства с данным семейством, на основе анализа EnigmaSoft. Многие семейства вредоносных программ создаются с использованием одних и тех же наборов инструментов и применяют одни и те же методы упаковки и шифрования, но обладают уникальными расширенными функциональными возможностями. Схожие семейства могут также иметь общий исходный код, атрибуты, значки, субкомпоненты, скомпрометированные и/или недействительные цифровые подписи и сетевые характеристики. Исследователи используют эти сходства для быстрой и эффективной сортировки образцов файлов и расширения правил обнаружения вредоносных программ.- Delf.Spy.D
- Downloader.Delf.L
- Ousaban.J
- Rugmi.L
- SecureDuck.A
Show 1 more
- Spy.Agent.AZ
Файлы изменены
Файлы изменены
В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.| Файл | Атрибуты |
|---|---|
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Изменения в реестре
Изменения в реестре
В этом разделе перечислены ключи и значения реестра, которые были созданы, изменены и/или удалены образцами из этого семейства. Активность реестра Windows может дать ценную информацию о функциональности вредоносных программ. Кроме того, вредоносные программы часто создают значения реестра, чтобы автоматически запускаться и неограниченно существовать после того, как первоначальное заражение скомпрометировало систему.| Ключ::Значение | Данные | Название API |
|---|---|---|
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | �RĿ���Ӂ� f�K�Q� 9dI��:��d S � 0��0" +��000 +�7< �0" +��000 +�7< �0g� 00 +�7< �0g� 00 +�7< � ^ S S L . c o m E V R o o t C e r t i f i c a t i o | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | h?X�R�!���2� S_ t:�R��2��J��Ժ�{|.Ě~ ��%� 0 + V=XΌ {PV�G5� b �`����4����%�s�Fi��b .{�l�$���⪆�ua��9�;/���mN�4�B\ L 0J++ +�7 | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | 䂁ᣅﱩⱆ疉ར碪 嚨출얜米ቺ惟Ⲍ咼S e 挰ℰଆ萪Ũɷą、〒ؐ⬊ĆĄ㞂ļ́ダء⨋梄蘁矶Ԃ܁ሰူਆثЁ舁㰷āȃ쀀ᬰԆ腧Č〃〒ؐ⬊ĆĄ㞂ļ́ী Ā 吀 ْ⬈Ćԅ̇⬈Ćԅ̇⬊ĆĄ㞂̊⬈Ćԅ̇⬈Ćԅ̇؆⬈Ćԅ̇؇⬈Ćԅ | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | \ ࠀ 縟୵歖訒룀埖⩭ꕰ 뜠㼬⼙⠆妢᤺ྦྷ鸆 泥閯洬ꫲឤ꜆䑺ς 瘈쯍＇췅믭벐蓢䘷b 塜赆䦎瑾船뗒က톶㝥콊ꞃꏔ뜭쑨蹀 4 Certum Trusted Network CA T | RegNtPreCreateKey |
Использование API Windows
Использование API Windows
В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.| Категория | API |
|---|---|
| Syscall Use |
Show 90 more
12 дополнительных товаров не отображаются выше. |
| Network Winsock2 |
|
| Encryption Used |
|
| Network Winhttp |
|