Trojan.Zegost.AH
Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartları, araştırma ekibimiz tarafından toplanan ve analiz edilen farklı kötü amaçlı yazılım tehditleri için değerlendirme raporlarıdır. EnigmaSoft Tehdit Puan Kartları, gerçek dünya ve potansiyel risk faktörleri, eğilimler, sıklık, yaygınlık ve kalıcılık dahil olmak üzere çeşitli ölçümleri kullanarak tehditleri değerlendirir ve sıralar. EnigmaSoft Tehdit Puan Kartları, araştırma verilerimize ve ölçümlerimize dayalı olarak düzenli olarak güncellenir ve kötü amaçlı yazılımları sistemlerinden kaldırmak için çözümler arayan son kullanıcılardan tehditleri analiz eden güvenlik uzmanlarına kadar çok çeşitli bilgisayar kullanıcıları için yararlıdır.
EnigmaSoft Tehdit Puan Kartları, aşağıdakiler de dahil olmak üzere çeşitli yararlı bilgiler görüntüler:
Popülerlik Sıralaması: Belirli bir tehdidin EnigmaSoft'un Tehdit Veritabanındaki sıralaması.
Önem Düzeyi: Tehdit Değerlendirme Kriterlerimizde açıklandığı gibi, risk modelleme sürecimize ve araştırmamıza dayalı olarak sayısal olarak gösterilen, bir nesnenin belirlenen önem düzeyi.
Enfekte Bilgisayarlar: SpyHunter tarafından bildirildiği üzere, virüslü bilgisayarlarda tespit edilen belirli bir tehdidin doğrulanmış ve şüphelenilen vakalarının sayısı.
Ayrıca bkz. Tehdit Değerlendirme Kriterleri .
| Popülerlik Sıralaması: | 21,225 |
| Tehlike seviyesi: | 80 % (Yüksek) |
| Etkilenen Bilgisayarlar: | 32 |
| İlk görüş: | May 9, 2021 |
| Son görülen: | September 4, 2026 |
| Etkilenen İşletim Sistemleri: | Windows |
Trojan.Zegost.AH, Windows bilgisayarları hedef alan tehlikeli bir arka kapı Truva atıdır. Yüksek tehlike seviyesinde sınıflandırılan bu kötü amaçlı yazılım, sisteme sessizce sızmak, uzaktan saldırganlara bulaşmış makine üzerinde kontrol sağlamak ve kullanıcının bilgisi olmadan arka planda çalışmak üzere tasarlanmıştır. 2021 yılının ortalarından beri sistemlerde gözlemlenmiştir ve görünmeye devam etmektedir; bu da kullanıcıların ciddiye alması gereken sürekli bir tehdit oluşturmaktadır.
İçindekiler
Trojan.Zegost.AH Ne Yapar?
Bir sisteme bulaştıktan sonra, Trojan.Zegost.AH sessizce çalışır ve genellikle kendisini meşru bir sistem bileşeni gibi gizler. Gözlemlenen örneklerde, kötü amaçlı yazılım, gerçek Microsoft Windows dosyalarını taklit eden dosya adları ve sürüm bilgileri kullanmıştır; bu da onun göze batmasını ve sıradan bir inceleme sırasında şüphe uyandırmamasını sağlar. Bu gizleme tekniği, bu ailedeki Truva atlarının ayırt edici özelliğidir, çünkü ortalama kullanıcı için manuel tespiti çok daha zor hale getirir.
Bu görünümün ardında, Zegost.AH bir dizi kötü amaçlı işlev gerçekleştirir. Uzaktan saldırganların enfekte olmuş bilgisayar üzerinde kapsamlı kontrol elde etmelerine olanak tanıyarak, komut çalıştırmalarına, çalışan süreçleri manipüle etmelerine ve sistem belleğiyle doğrudan etkileşim kurmalarına imkan sağlar. Truva atının, bellek bölümlerinin eşlemesini kaldırma ve hata ayıklama önleyici kontroller kullanma gibi süreç manipülasyonu ve kaçınma ile ilişkili teknikler kullandığı görülmüştür; bunlar, kötü amaçlı yazılım yazarlarının güvenlik araçları tarafından analiz ve tespit edilmeye direnmek için kullandıkları yöntemlerdir. Ayrıca, kullanıcıya herhangi bir görünür uyarı vermeden gizlice dosya silme, ek kötü amaçlı yazılım yükleme ve diğer zararlı eylemleri gerçekleştirme yeteneğine de sahip olabilir.
Genellikle Bilgisayarlara Nasıl Bulaşır?
Trojan.Zegost.AH genellikle sistem güvenlik açıklarından ve zafiyetlerinden yararlanarak yayılır. Ayrıca güvenilmez web sitelerinden indirilen kötü amaçlı yazılımlar ve bilinmeyen veya doğrulanmamış kaynaklardan gönderilen e-posta ekleri aracılığıyla da dağıtılır. Bu ekler, kullanıcıları açmaya kandırmak için tasarlanmış yürütülebilir dosyalar ve diğer dosya türleri de dahil olmak üzere çeşitli gizlenmiş biçimlerde görünebilir. Bu tehdit kategorisi için tipik olduğu gibi, Truva atı varlığını duyurmak yerine kullanıcıyı kandırmaya veya yamalanmamış yazılımlardan yararlanmaya dayanır.
Kullanıcı İçin Riskler
Zegost.AH enfeksiyonunun sonuçları ciddi olabilir. Truva atı saldırganlara uzaktan erişim sağlayabildiği için, mağdurlar kişisel verilerinin, giriş bilgilerinin, finansal bilgilerinin ve diğer hassas dosyalarının çalınması veya ifşa edilmesi riskiyle karşı karşıya kalırlar. Kötü amaçlı yazılımın ek tehditler yükleme yeteneği tehlikeyi artırarak, tek bir enfeksiyonu çok daha büyük bir güvenlik olayına dönüştürebilir. Gizli tasarımı nedeniyle, enfekte olmuş bir sistem, herhangi bir sorun ortaya çıkmadan önce uzun bir süre boyunca tehlikeye girebilir.
Enfeksiyon Belirtileri
Zegost.AH gibi Truva atları gizlice çalışacak şekilde tasarlandığı için, görünür belirtiler genellikle minimal veya hiç yoktur. Bununla birlikte, kullanıcılar olağandışı sistem yavaşlamaları, beklenmedik ağ etkinliği, arka planda çalışan alışılmadık işlemler veya dosyalarda ve ayarlarda açıklanamayan değişiklikler fark edebilirler. Şüpheli dosyaları işaretleyen veya yetkisiz uzaktan bağlantıları tespit eden güvenlik yazılımları genellikle bir enfeksiyonun en açık göstergesidir.
Korunmanın Yolları
Bulaşma riskini azaltmak için, Windows işletim sistemini ve yüklü tüm yazılımları tamamen güncel tutun, çünkü bu, saldırganların sıklıkla kullandığı güvenlik açıklarını kapatır. Güvenilmeyen web sitelerinden program indirmekten kaçının ve bilinmeyen veya doğrulanmamış göndericilerden gelen e-posta eklerini asla açmayın. Önemli dosyalarınızı düzenli olarak yedekleyin, güçlü ve benzersiz şifreler kullanın ve gizli tehditleri tespit edip kaldırabilen saygın, güncel güvenlik yazılımları çalıştırın. İndirmeler ve ekler konusunda dikkatli olmak, Zegost.AH gibi Truva atlarından kaçınmanın en etkili yollarından biridir.
Analiz raporu
Genel bilgi
| Soyadı: | Trojan.Zegost.AH |
|---|---|
| İmza durumu: | No Signature |
Bilinen Örnekler
Bilinen Örnekler
Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.|
MD5:
8b2beb749a6e2afd687832c617cdb948
SHA1:
2c5d7e0a4598b5a0c3929153c135dfd8a36f9b71
SHA256:
26F68DB402B9FD4810B422ADC309C4C3F70D24B05CA69D7B902C7BDCE47E707C
Dosya boyutu:
148.65 KB.148647 bayt
|
Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Windows PE Sürüm Bilgileri
Windows PE Sürüm Bilgileri
Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.| isim | Değer |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | Dynamic Interface Manager |
| File Version | 10.0.17763.1 |
| Internal Name | MPRLOG.DLL |
| Legal Copyright | ?Microsoft Corporation. All rights reserved. |
| Original Filename | MPRLOG.DLL |
| Product Name | Microsoft? Windows? Operating System |
| Product Version | 10.0.17763.1 |
Dosya Özellikleri
- dll
- WriteProcessMemory
- x86
Blok Bilgileri
Blok Bilgileri
Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.| Toplam Blok Sayısı: | 450 |
|---|---|
| Potansiyel Olarak Zararlı Bloklar: | 40 |
| Beyaz Listeye Alınan Bloklar: | 407 |
| Bilinmeyen Bloklar: | 3 |
Görsel Harita
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme
Benzer Aileler
Benzer Aileler
Bu bölümde, EnigmaSoft'un analizine dayanarak bu aileyle benzerlikler gösteren diğer aileler listelenmiştir. Birçok kötü amaçlı yazılım ailesi aynı kötü amaçlı yazılım araç setlerinden oluşturulur ve aynı paketleme ve şifreleme tekniklerini kullanır, ancak işlevselliği benzersiz bir şekilde genişletir. Benzer aileler ayrıca kaynak kodunu, öznitelikleri, simgeleri, alt bileşenleri, tehlikeye atılmış ve/veya geçersiz dijital imzaları ve ağ özelliklerini de paylaşabilir. Araştırmacılar, dosya örneklerini hızlı ve etkili bir şekilde sınıflandırmak ve kötü amaçlı yazılım tespit kurallarını genişletmek için bu benzerliklerden yararlanır.- Stealer.FDG
Değiştirilen Dosyalar
Değiştirilen Dosyalar
Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.| Dosya | Özellikler |
|---|---|
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Sicil Değişiklikleri
Sicil Değişiklikleri
Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen ve/veya silinen kayıt defteri anahtarları ve değerleri listelenmiştir. Windows Kayıt Defteri etkinliği, kötü amaçlı yazılımların işlevselliği hakkında değerli bilgiler sağlayabilir. Ek olarak, kötü amaçlı yazılımlar genellikle, ilk enfeksiyon sistemi tehlikeye attıktan sonra otomatik olarak başlamasına ve süresiz olarak kalmasına olanak sağlamak için kayıt defteri değerleri oluşturur.| Anahtar::Değer | Veri | API Adı |
|---|---|---|
| HKLM\system\controlset001\services\aspnet_staters::connectgroup | Default | RegNtPreCreateKey |
| HKLM\system\controlset001\services\aspnet_staters::marktime | 2026-09-04 17:29 | RegNtPreCreateKey |
| HKLM\system\controlset001\services\aspnet_staters::work | 1 | RegNtPreCreateKey |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey |
Show 4 more
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\content::cacheprefix | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\cookies::cacheprefix | Cookie: | RegNtPreCreateKey |
| HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\history::cacheprefix | Visited: | RegNtPreCreateKey |
Windows API Kullanımı
Windows API Kullanımı
Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.| Kategori | API |
|---|---|
| Syscall Use |
Show 18 more
|
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Anti Debug |
|
Kabuk Komutu Yürütme
Kabuk Komutu Yürütme
Bu bölümde, bu ailedeki örnekler tarafından çalıştırılan Windows kabuk komutları listelenmiştir. Windows kabuk komutları genellikle kötü amaçlı yazılımlar tarafından zararlı amaçlarla kullanılır ve güvenlik ayrıcalıklarını yükseltmek, diğer kötü amaçlı yazılımları indirip çalıştırmak, güvenlik açıklarından yararlanmak, veri toplamak ve sızdırmak ve kötü amaçlı faaliyetleri gizlemek için kullanılabilir.
C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\2c5d7e0a4598b5a0c3929153c135dfd8a36f9b71_0000148647.,LiQMAxHB
|