Trojan.Spy.Agent.AZ
Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartları, araştırma ekibimiz tarafından toplanan ve analiz edilen farklı kötü amaçlı yazılım tehditleri için değerlendirme raporlarıdır. EnigmaSoft Tehdit Puan Kartları, gerçek dünya ve potansiyel risk faktörleri, eğilimler, sıklık, yaygınlık ve kalıcılık dahil olmak üzere çeşitli ölçümleri kullanarak tehditleri değerlendirir ve sıralar. EnigmaSoft Tehdit Puan Kartları, araştırma verilerimize ve ölçümlerimize dayalı olarak düzenli olarak güncellenir ve kötü amaçlı yazılımları sistemlerinden kaldırmak için çözümler arayan son kullanıcılardan tehditleri analiz eden güvenlik uzmanlarına kadar çok çeşitli bilgisayar kullanıcıları için yararlıdır.
EnigmaSoft Tehdit Puan Kartları, aşağıdakiler de dahil olmak üzere çeşitli yararlı bilgiler görüntüler:
Popülerlik Sıralaması: Belirli bir tehdidin EnigmaSoft'un Tehdit Veritabanındaki sıralaması.
Önem Düzeyi: Tehdit Değerlendirme Kriterlerimizde açıklandığı gibi, risk modelleme sürecimize ve araştırmamıza dayalı olarak sayısal olarak gösterilen, bir nesnenin belirlenen önem düzeyi.
Enfekte Bilgisayarlar: SpyHunter tarafından bildirildiği üzere, virüslü bilgisayarlarda tespit edilen belirli bir tehdidin doğrulanmış ve şüphelenilen vakalarının sayısı.
Ayrıca bkz. Tehdit Değerlendirme Kriterleri .
| Popülerlik Sıralaması: | 22,740 |
| Tehlike seviyesi: | 80 % (Yüksek) |
| Etkilenen Bilgisayarlar: | 15 |
| İlk görüş: | April 10, 2024 |
| Son görülen: | August 26, 2026 |
| Etkilenen İşletim Sistemleri: | Windows |
Trojan.Spy.Agent.AZ, 10 üzerinden 8 tehlike seviyesine sahip bir Windows Truva atıdır. Casus yazılım tarzı Truva atı kategorisine aittir; yani sessizce çalışmak, dikkat çekmemek ve saldırganlara bilgisayara erişim sağlamak üzere tasarlanmıştır. İlk olarak 10 Nisan 2024'te ve en son 26 Ağustos 2026'da görüldü, yani hala aktiftir. Beslemede 15 tespit listelenmiştir.
İçindekiler
Tehdidin yaptığı şey
Haber kaynağına göre, Spy.Agent.AZ kendini gizlice kuruyor ve arka planda sessizce çalışıyor. Kurulumdan sonra saldırganlara sistem üzerinde tam kontrol sağlayabiliyor. Ayrıca gizlice dosyaları silebilir ve ek yazılımlar yükleyebilir. Haber kaynağı metni bu noktada kesildiği için, Truva atının başka neler yükleyebileceği tam olarak belirtilmiyor.
Teknik veriler, paketlenmemiş, 64 bitlik, yerel bir Windows grafik arayüzü (GUI) programına işaret ediyor. Casusluk ve uzaktan kontrol amaçlı kötü amaçlı yazılımların tipik özelliklerinden bazılarını kullanıyor:
- Ağ erişimi: Bu tür bir Truva atının uzak bir sunucuyla iletişim kurabilmesi için genellikle ihtiyaç duyduğu Windows ağ işlevlerini (WinHTTP ve Winsock) kullanır.
- Şifreleme: Windows'un şifreleme işlevini kullanır. Kötü amaçlı yazılımlar genellikle verilerini veya iletişimini gizlemek için bunu yapar.
- Belleğe yazma: WriteProcessMemory için işaretlenmiştir. Bu işlev genellikle çalışan diğer süreçlere kod enjekte etmekle ilişkilendirilir, ancak besleme bunun örnekte yapılan şey olduğunu doğrulamamaktadır.
Örnekte ayrıca Windows sertifika indirme önbelleğindeki dosyaların değiştirildiği de görüldü. Bu, Windows'un dijital imzayı kontrol etmesinin basit bir yan etkisi olabilir, bu nedenle belirli bir kötü amaçlı eylemin kanıtı olarak değerlendirilmemelidir.
Bilgisayarlara genellikle nasıl bulaşıyor?
Haber akışında üç ana rota belirtiliyor:
- Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanmak.
- Zararlı web sitelerinden yazılım indirmeleri.
- Güvenilmeyen kaynaklardan gelen e-posta ekleri, genellikle .exe, .pif, .avi ve hatta .jpg dosyalarıdır.
Analiz edilen dosya aynı zamanda kendini de gizliyor. Sürüm bilgileri Microsoft Corporation'dan geldiğini iddia ediyor ve dosyayı "Notepad --" adlı bir ürün için "setup.exe" olarak, "Notepad -- Kurulum Yükleyicisi" olarak etiketlenmiş şekilde sunuyor. "Greenengine OU"ya verilmiş bir dijital imza taşıyor, ancak imza durumu "Kök Güvenilir Değil" olarak belirtilmiş. Tanıdık gelen bir isme ve güvenilmeyen bir imzaya sahip sahte bir yükleyici, çalıştırılmaması için geçerli bir nedendir.
Kullanıcı için riskler
Bu Truva atı, saldırgana sistemin tam kontrolünü verebileceğinden, potansiyel zararı geniş kapsamlıdır. Casus yazılım türündeki Truva atları için tipik riskler şunlardır:
- Kişisel verilerin, şifrelerin ve diğer hassas bilgilerin çalınması.
- Dosyaların kaybolması veya silinmesi.
- Diğer zararlı yazılımların yüklenmesi.
- Bilgisayarın sizin bilginiz dışında başka biri tarafından kullanılması.
Bu akış, dosya silme işlemini, olası tam kontrolü ve ek kurulumları doğrular. Diğer öğeler ise bu kategori için tipik olan durumları açıklar.
Enfeksiyon belirtileri
Bu parazit sessizce ilerler, bu nedenle belirgin belirtiler olmayabilir. Bu tür enfeksiyonun tipik belirtileri şunlardır:
- Tanımadığınız programlardan kaynaklanan beklenmedik ağ etkinliği.
- Açıklama yapılmadan kaybolan dosyalar.
- Yüklemediğiniz yeni programlar.
- Daha yavaş performans veya açıklanamayan sistem davranışı.
- Yakın zamanda çalıştırılan ve iddia ettiği işlemi yapmayan bir "setup.exe" veya yükleyici.
Nasıl korunabilirsiniz?
- Windows'u ve yüklü tüm yazılımları güncel tutun, çünkü bu Truva atı bilinen güvenlik açıklarından yararlanabilir.
- Yazılımları yalnızca resmi yayıncının web sitesinden indirin ve bilinen araçlara benzeyen ancak bilinmeyen kaynaklardan gelen kurulum dosyalarına karşı şüpheci olun.
- Güvenmediğiniz göndericilerden gelen ekleri, dosya resim veya video gibi görünse bile açmayın. Resim veya medya gibi görünen yürütülebilir dosyalar yaygın bir hile yöntemidir.
- Bir dosyayı çalıştırmadan önce dijital imzasını kontrol edin. Güvenilmeyen kök dizin gibi bir uyarı, tehlike işaretidir.
- Şüpheli bir sorun varsa, güvenilir ve güncel bir güvenlik çözümü kullanın ve tam sistem taraması yapın.
- Önemli dosyalarınızın düzenli yedeklerini, bilgisayarınıza kalıcı olarak bağlı olmayan bir sürücüye veya hizmete kaydedin.
Şüpheli bir yükleyici çalıştırdığınızı düşünüyorsanız, bilgisayarın internet bağlantısını kesin, tam tarama yapın ve tespit edilen her şeyi kaldırın. Ardından, önemli şifrelerinizi farklı, temiz bir cihazdan değiştirin.
Analiz raporu
Genel bilgi
| Soyadı: | Trojan.Spy.Agent.AZ |
|---|---|
| İmza durumu: | Root Not Trusted |
Bilinen Örnekler
Bilinen Örnekler
Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.|
MD5:
95f79bb0f335e61e9141dd51bc91d395
SHA1:
9d4e073bc4d9f200e854f341032271cd92d08410
SHA256:
43ED1D8E0E162CD1B982B8BFA514A78BB0D7304CA773B31350966587E658A211
Dosya boyutu:
7.06 MB.7059528 bayt
|
Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri
- File doesn't have "Rich" header
- File doesn't have debug information
- File has exports table
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Dosya Simgeleri
Dosya Simgeleri
Bu bölümde, aile örnekleri içinde bulunan simge kaynakları gösterilmektedir. Kötü amaçlı yazılımlar, kullanıcıları kötü amaçlı yazılımın güvenli olduğuna inandırmak için genellikle meşru yazılımlarla ilişkilendirilen simgeleri kopyalar.
Windows PE Sürüm Bilgileri
Windows PE Sürüm Bilgileri
Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.| isim | Değer |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | setup.exe |
| File Version | 1.2.0.400 |
| Original Filename | setup.exe |
| Product Name | Notepad -- |
| Product Version | 1.2.0.400 |
| Program I D | Notepad -- Setup Installer |
Dijital İmzalar
Dijital İmzalar
Bu bölümde, bu aile içindeki örneklere eklenmiş dijital imzalar listelenmiştir. Dijital imzaları analiz ederken ve doğrularken, imzanın kök otoritesinin tanınmış ve güvenilir bir kuruluş olduğunu ve imzanın durumunun iyi olduğunu doğrulamak önemlidir. Kötü amaçlı yazılımlar genellikle güvenilir olmayan "Kendinden İmzalı" dijital imzalarla imzalanır (bu imzalar, kötü amaçlı yazılım yazarı tarafından doğrulama yapılmadan kolayca oluşturulabilir). Kötü amaçlı yazılımlar ayrıca geçersiz duruma sahip meşru imzalarla ve sahte veya yanıltıcı "İmzalayan" adlarına sahip şüpheli kök otoritelerden gelen imzalarla da imzalanabilir.| İmzalayan | Kök | Durum |
|---|---|---|
| Greenengine OU | SSL.com EV Root Certification Authority RSA R2 | Root Not Trusted |
Dosya Özellikleri
- Installer Version
- WriteProcessMemory
- x64
Blok Bilgileri
Blok Bilgileri
Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.| Toplam Blok Sayısı: | 28,258 |
|---|---|
| Potansiyel Olarak Zararlı Bloklar: | 56 |
| Beyaz Listeye Alınan Bloklar: | 28,180 |
| Bilinmeyen Bloklar: | 22 |
Görsel Harita
... Veriler kırpıldı? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme
Benzer Aileler
Benzer Aileler
Bu bölümde, EnigmaSoft'un analizine dayanarak bu aileyle benzerlikler gösteren diğer aileler listelenmiştir. Birçok kötü amaçlı yazılım ailesi aynı kötü amaçlı yazılım araç setlerinden oluşturulur ve aynı paketleme ve şifreleme tekniklerini kullanır, ancak işlevselliği benzersiz bir şekilde genişletir. Benzer aileler ayrıca kaynak kodunu, öznitelikleri, simgeleri, alt bileşenleri, tehlikeye atılmış ve/veya geçersiz dijital imzaları ve ağ özelliklerini de paylaşabilir. Araştırmacılar, dosya örneklerini hızlı ve etkili bir şekilde sınıflandırmak ve kötü amaçlı yazılım tespit kurallarını genişletmek için bu benzerliklerden yararlanır.- Delf.Spy.D
- Downloader.Delf.L
- Ousaban.J
- Rugmi.L
- SecureDuck.A
Show 1 more
- Spy.Agent.AZ
Değiştirilen Dosyalar
Değiştirilen Dosyalar
Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.| Dosya | Özellikler |
|---|---|
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Sicil Değişiklikleri
Sicil Değişiklikleri
Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen ve/veya silinen kayıt defteri anahtarları ve değerleri listelenmiştir. Windows Kayıt Defteri etkinliği, kötü amaçlı yazılımların işlevselliği hakkında değerli bilgiler sağlayabilir. Ek olarak, kötü amaçlı yazılımlar genellikle, ilk enfeksiyon sistemi tehlikeye attıktan sonra otomatik olarak başlamasına ve süresiz olarak kalmasına olanak sağlamak için kayıt defteri değerleri oluşturur.| Anahtar::Değer | Veri | API Adı |
|---|---|---|
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | �RĿ���Ӂ� f�K�Q� 9dI��:��d S � 0��0" +��000 +�7< �0" +��000 +�7< �0g� 00 +�7< �0g� 00 +�7< � ^ S S L . c o m E V R o o t C e r t i f i c a t i o | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | h?X�R�!���2� S_ t:�R��2��J��Ժ�{|.Ě~ ��%� 0 + V=XΌ {PV�G5� b �`����4����%�s�Fi��b .{�l�$���⪆�ua��9�;/���mN�4�B\ L 0J++ +�7 | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | 䂁ᣅﱩⱆ疉ར碪 嚨출얜米ቺ惟Ⲍ咼S e 挰ℰଆ萪Ũɷą、〒ؐ⬊ĆĄ㞂ļ́ダء⨋梄蘁矶Ԃ܁ሰူਆثЁ舁㰷āȃ쀀ᬰԆ腧Č〃〒ؐ⬊ĆĄ㞂ļ́ী Ā 吀 ْ⬈Ćԅ̇⬈Ćԅ̇⬊ĆĄ㞂̊⬈Ćԅ̇⬈Ćԅ̇؆⬈Ćԅ̇؇⬈Ćԅ | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | \ ࠀ 縟୵歖訒룀埖⩭ꕰ 뜠㼬⼙⠆妢᤺ྦྷ鸆 泥閯洬ꫲឤ꜆䑺ς 瘈쯍＇췅믭벐蓢䘷b 塜赆䦎瑾船뗒က톶㝥콊ꞃꏔ뜭쑨蹀 4 Certum Trusted Network CA T | RegNtPreCreateKey |
Windows API Kullanımı
Windows API Kullanımı
Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.| Kategori | API |
|---|---|
| Syscall Use |
Show 90 more
Yukarıda gösterilmeyen 12 ek ürün daha bulunmaktadır. |
| Network Winsock2 |
|
| Encryption Used |
|
| Network Winhttp |
|