威胁数据库 特洛伊木马 Trojan.Agent.EC

Trojan.Agent.EC

通过CagedTech在 特洛伊木马
发布时间：
翻译为：

Trojan.Agent.EC是一个检测名称，用于识别 Trojan.Agent 恶意程序家族中的一个成员。由于该家族中的检测结果是根据共同的行为或代码特征而非单一的特定有效载荷进行分组的，因此每个 Trojan.Agent.EC 感染的具体行为可能有所不同。但总的来说，这类威胁旨在悄无声息地渗透计算机，并在用户不知情或未经用户同意的情况下执行有害操作。

Trojan.Agent.EC 的作用

与其他木马程序一样，Trojan.Agent.EC 通常伪装成合法或无害的文件，以避免引起怀疑。一旦在系统上运行，它可能会静默地在后台执行一项或多项恶意活动。此类木马程序通常会尝试：

  • 在受感染的计算机上下载并安装其他恶意软件。
  • 修改系统设置或安全配置，削弱设备的防御能力。
  • 收集有关系统或用户活动的信息。
  • 建立与攻击者控制的远程服务器的连接，允许向受感染的机器发送进一步的指令或文件。
  • 消耗系统资源，这会导致计算机运行速度变慢或系统不稳定。

由于特定 Trojan.Agent.EC 样本的具体功能并非总是公开记录的，因此最安全的做法是将检测到此威胁视为潜在的严重入侵的迹象，需要立即予以关注。

它通常是如何进入电脑的

木马程序通常不会像蠕虫或病毒那样自行传播。相反，它们通常依靠诱骗用户安装来传播。像 Trojan.Agent.EC 这样的威胁的常见感染方法包括：

  • 垃圾邮件和钓鱼邮件中的电子邮件附件或链接。
  • 捆绑式安装程序，用于盗版软件、破解程序或密钥生成器。
  • 在不可信的网站上投放虚假软件更新或使用欺骗性下载按钮。
  • 恶意广告会将用户重定向到受感染的下载页面。
  • 受损或感染病毒的移动存储设备。

这些是木马病毒感染的典型传播方式，用户应警惕任何意外或未经核实的下载来源。

用户面临的风险

活跃的 Trojan.Agent.EC 感染会使用户面临多种风险。这些风险包括敏感信息（例如登录凭证或个人数据）被盗、未经授权的远程访问受感染设备、安装其他恶意软件（例如勒索软件或间谍软件）以及系统性能下降。在某些情况下，受感染的计算机还可能被纳入一个更大的受感染计算机网络，用于进行进一步的恶意活动。

感染迹象

由于木马程序旨在隐蔽运行，因此可能很少出现明显的症状。但是，用户应注意与此类恶意软件相关的常见警告信号，例如：系统运行速度无故变慢、意外弹出窗口或浏览器重定向、后台运行着陌生的程序或进程、计算机空闲时网络活动异常增加、安全软件无故被禁用，或者系统中出现新的、无法识别的文件。

如何做好防护

为了降低遭遇 Trojan.Agent.EC 等威胁的风险，用户应保持操作系统和所有已安装软件的更新，避免从非官方或盗版来源下载程序，谨慎对待来自未知发件人的电子邮件附件和链接，使用信誉良好且更新的反恶意软件解决方案扫描和监控系统，并定期备份重要文件。养成安全的浏览习惯并时刻警惕可疑的系统行为，仍然是预防木马感染、避免其造成损害的最有效方法。

分析报告

一般信息

姓： Trojan.Agent.EC
包装工队： UPX!
签名状态： No Signature

已知样本

MD5: ee5417c7d91c35a6ebfae9d6ad6fcaa4
SHA1: 7bfd0fd0d949b314d9f1b4abf78e07860e757744
SHA256: 6A1872A5A57DD989B81956926355BD5B8210D9A042ED8499A143908C996981BF
文件大小: 192.51 KB,192512字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have security information
  • File has been packed
  • File has exports table
  • File has TLS information
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
显示更多
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE 版本信息

姓名 价值
File Version 0.1.0
Product Name qlibws
Product Version 1.0.0.1

文件特征

  • dll
  • HighEntropy
  • packed
  • x86

区块信息

总区块数： 1,102
潜在恶意块： 50
白名单区块： 648
未知区块： 404

可视化地图

? 0 0 0 0 0 0 0 0 0 0 0 0 ? 1 0 ? 0 ? ? ? ? ? ? ? 0 0 ? ? ? ? 0 0 ? 0 ? ? 0 0 0 0 0 ? 0 ? ? ? ? ? 0 0 0 0 0 0 0 ? x ? x x x ? ? ? 0 ? 0 ? ? 0 ? 0 x 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 x 0 0 x 0 0 ? ? 0 0 0 0 0 0 0 0 ? ? 0 0 0 0 ? x 0 0 0 0 0 0 0 0 0 0 ? 0 0 0 0 0 0 ? 0 0 0 ? 0 0 0 0 0 x 0 ? 0 x ? 0 0 0 ? 0 ? ? ? 0 0 0 0 0 ? 0 0 x 0 ? 0 0 0 0 ? 0 ? 0 0 0 x 0 0 0 ? ? ? ? 0 ? ? x 0 ? ? ? ? ? ? 0 ? ? ? ? 0 ? 0 0 0 0 ? 0 x 0 ? ? x 0 0 0 0 ? 0 x x x ? 0 ? 0 0 x ? ? 0 x 0 ? x x 0 0 0 ? 0 0 0 ? 0 0 ? 0 ? ? 0 ? ? ? x ? x ? ? 0 ? 0 0 ? ? ? x x 0 x 0 0 x x 0 0 0 ? ? ? ? ? ? ? ? ? ? ? ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? 0 ? 0 0 0 ? 0 ? ? 0 ? 0 ? 0 0 0 ? ? ? 0 ? 0 0 0 0 ? ? 0 0 0 ? 0 0 0 0 0 0 0 0 ? ? 0 0 0 ? ? ? 0 0 0 ? 0 ? 0 ? x 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 ? 0 0 0 0 0 ? 0 0 0 ? ? ? 0 ? ? 0 0 0 0 0 0 0 0 0 0 0 ? ? 0 ? ? 0 0 0 0 0 0 0 0 0 0 ? 0 ? 0 ? 0 ? 0 0 0 ? ? x ? 0 ? ? 0 0 ? ? 0 0 ? ? 0 0 ? ? 0 ? 0 0 0 ? ? ? 0 ? ? 0 0 0 ? ? 0 ? ? 0 0 ? 0 0 0 ? 0 0 ? ? 0 ? 0 0 0 ? 0 0 0 0 0 0 ? 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 ? ? ? 0 ? 0 0 0 0 0 0 ? ? ? ? 0 ? ? ? ? ? 0 ? 0 0 0 0 0 ? ? ? 0 0 0 0 0 0 0 0 0 ? ? 0 0 ? ? 0 0 0 ? 0 ? 0 0 0 x ? ? ? ? ? ? 0 0 0 0 ? 0 0 0 0 0 ? 0 0 0 0 0 ? ? 0 0 0 ? ? ? ? ? 0 ? 0 0 0 0 ? ? ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? 0 0 0 0 0 0 ? 0 0 ? 0 ? 0 ? 0 0 0 ? ? 0 0 0 0 ? 0 ? 0 ? 0 0 0 0 ? 0 0 0 ? 0 0 ? 0 0 ? ? 0 0 ? 0 0 0 0 0 0 0 0 0 0 ? ? 0 0 ? 0 ? 0 0 ? x x 0 0 0 0 0 0 ? 0 0 0 ? 0 x x 0 x ? ? 0 0 x 0 ? ? ? ? ? ? 0 0 ? ? ? ? 0 0 0 0 ? 0 ? x ? 0 x 0 0 0 0 ? 0 0 ? ? ? ? 0 ? ? 0 0 ? 0 0 ? 0 ? 0 0 ? 0 0 ? ? 0 ? 0 0 0 0 0 0 0 0 ? 0 ? 0 ? ? 0 ? ? 0 ? 0 0 0 ? 0 0 ? 0 0 0 0 ? ? 0 0 0 0 0 0 0 0 ? ? ? ? 0 0 0 ? 0 ? ? ? 0 ? 0 0 ? ? 0 ? ? 0 ? ? ? ? ? ? ? 0 ? 0 0 0 ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 0 0 0 0 0 ? ? 0 ? ? ? 0 0 ? ? 0 ? ? ? ? 0 0 ? ? 0 0 ? ? ? ? 0 0 0 x 0 0 0 x 0 0 x 0 0 0 0 0 0 x 0 0 0 0 0 0 x 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x ? ? x ? ? ? 0 ? ? ? 1 0 0 0 0 0 1 0 0 1 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtQueryAttributesFile
显示更多
  • ntdll.dll!NtQueryDebugFilterState
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationFile
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWriteFile
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
Anti Debug
  • NtQuerySystemInformation

Shell命令执行

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\7bfd0fd0d949b314d9f1b4abf78e07860e757744_0000192512.,LiQMAxHB