Trojan.Agent.Gen.HEK

Trojan.Agent.Gen.HEK 是 Windows 木马的通用检测名称。根据我们的数据，其危险等级为 8 分（满分 10 分）。该木马最早出现于 2026 年 11 月 2 日，最后一次出现于 2026 年 11 月 13 日，在此期间仅记录到 2 次检测结果。此类检测通常基于行为和文件特征，而非某个已知的特定样本，因此可能涵盖多个相关文件。

威胁会造成什么影响？

根据信息来源，Trojan.Agent.Gen.HEK 会悄悄安装自身，然后在后台静默运行，执行恶意操作。它可能使攻击者完全控制受感染的系统。与此类木马的典型行为一样，这些行为可能包括下载其他恶意软件、收集信息以及执行远程操作员发送的命令。信息来源并未列出此样本的具体操作，因此这些是此类木马的典型行为，并非确凿的事实。

分析的文件伪装成游戏启动器。其版本信息显示其名称为“Summerblox 游戏启动器”（产品名称“Sb Launcher”，版本 1.3.8.0，原始文件名 Summerblox.exe）。该文件使用自签名证书进行签名，这意味着没有任何受信任的证书颁发机构为发布者担保。木马程序通常伪装成合法软件，而自签名并不能保证其安全性。

来自数据源的其他技术细节：

• 这是一个 32 位原生 Windows GUI 可执行文件，不是 .NET 应用程序，也没有打包。
• 它具有高熵值。
• 它使用 Windows Internet 功能 InternetOpen 和 InternetOpenUrl，因此可以连接到网址。
• 它修改了用户本地应用程序数据中名为“summerblox”的文件夹下的名为 1.3.8.exe 的文件。
• 在分析的 277 个区块中，72 个被标记为潜在恶意区块，205 个被列入白名单。

它通常是如何进入电脑的

该消息源称，这种木马通常通过以下方式传播：

• 利用系统漏洞和安全缺陷。
• 从恶意网站下载软件。
• 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。

鉴于此样本中启动器的伪装，伪造或修改后的游戏下载是一种合理的途径。但该信息源并未证实这一点，因此请将其视为典型情况。

用户面临的风险

• 远程攻击者可能完全控制计算机。
• 个人数据和账户凭证可能会泄露，这是木马病毒的典型特征。
• 可能在您不知情的情况下安装其他恶意软件。
• 受感染的系统可能变得不稳定，或者被用于进一步的攻击。

感染迹象

由于木马程序运行悄无声息，可能不会出现任何明显的症状。可能的预警信号包括：

• 一个你不记得安装过的游戏启动器，尤其是一个从用户应用程序数据文件夹运行的游戏启动器。
• 来自陌生程序的意外网络活动。
• 运行速度变慢或出现不明原因的崩溃。
• 出现您未触发的新程序、设置更改或登录提醒。
• 您的安全软件报告检测到名为 Trojan.Agent.Gen.HEK 的木马。

如何保护自己

• 请仅从开发商的官方渠道或可信赖的应用商店下载游戏和启动器。

如果您怀疑电脑感染了病毒，请断开电脑与互联网的连接，使用最新的反恶意软件工具进行全面扫描，并清除扫描到的所有恶意软件。之后，请在干净的设备上更改您的重要密码。

分析报告

一般信息

姓：	Trojan.Agent.Gen.HEK
签名状态：	Self Signed

已知样本

i

已知样本

本节列出了其他据信与该家族有关的文件样本。

MD5: c6842a4e6fa277a89a04dbf43558012d SHA1: 75e171b5c6c3636fa26aeabe6ff284bebabbada5 SHA256: E4F36632BA93C5E885481DBBB33590C7BBD710212AF2FA917316625F1E4F5A8D 文件大小: 896.81 KB,896808字节

Windows 可移植可执行文件属性

i

Windows 可移植可执行文件属性

本节列出了在恶意软件家族样本中发现的文件属性。这些属性提取自文件的 Windows PE（可移植可执行文件）规范和各种系统标志。可移植可执行文件属性使恶意软件研究人员能够深入了解文件的功能、可执行文件的详细信息、平台和运行时环境。

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

i

文件图标

本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。

Windows PE 版本信息

i

Windows PE 版本信息

本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。

姓名	价值
Company Name	Summerblox Community
File Description	Summerblox Game Launcher
File Version	1.3.8.0
Internal Name	SummerbloxLauncher
Legal Copyright	Copyright (C) 2026 Summerblox
Original Filename	Summerblox.exe
Product Name	Sb Launcher
Product Version	1.3.8.0

数字签名

i

数字签名

本节列出了该系列样本所附带的数字签名。在分析和验证数字签名时，务必确认签名的根授权机构是知名且可信的实体，并且签名状态良好。恶意软件通常使用不可信的“自签名”数字签名（恶意软件作者可以轻松创建此类签名，无需任何验证）。恶意软件也可能使用状态无效的合法签名，或者使用来自可疑根授权机构且签名者名称虚假或具有误导性的签名。

签名者	根	地位
SummerbloxDevelopment	SummerbloxDevelopment	Self Signed

文件特征

• HighEntropy
• x86

区块信息

i

区块信息

在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。

总区块数：	277
潜在恶意块：	72
白名单区块：	205
未知区块：	0

可视化地图

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

i

相似家庭

本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。

• Trojan.Agent.Gen.HAT
• Trojan.Agent.Gen.HEK
• Trojan.Agent.Gen.HLY
• Trojan.Agent.Gen.HNJ

文件已修改

i

文件已修改

本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。

文件	属性
c:\users\user\appdata\local\summerblox\1.3.8.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

注册表修改

i

注册表修改

本节列出了此系列样本创建、修改和/或删除的注册表项和值。Windows 注册表活动可以提供关于恶意软件功能的宝贵信息。此外，恶意软件通常会创建注册表值，以便在初始感染系统后自动启动并无限期地持续存在。

键::值	数据	API名称
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n �8��" a jg�8 �� �v�Z ��T��������% ��Bx#�� $kF &� (�(X�(� )�`*J*9 *�" -!R1`1�1HO1��5,]=�@V�A��D� G�IH[uH�pI��K��N$ N�U_* _�zb"hc�we�vg�Xh�rj�bk`k�ql(�lR p* q�Xr�B tǤ	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n �8��" a jg�8 �� �v�Z ��T��������% ��Bx#�� $kF %� &� (�(X�(� )�`*J*9 *�" -!R1`1�1HO1��5,]=�@V�A��D� G�IH[uH�pI��K��N$ N�U_* _�za$ b"hc�we�vg�Xh�rj�bk`k�ql(�lR p* q�X	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n �8��" a jg�8 �� �v�Z ��T��������% ��Bx#�� $kF %� &� (�(X�(� )�`*J*9 *�" ,=�-!R1`1�1HO1��5,]=�@V�A��D� G�IH[uH�pI��K��N$ N�U_* _�za$ b"hc�we�vg�Xh�rj�bk`k�ql(�lR p*	RegNtPreCreateKey

Windows API 使用情况

i

Windows API 使用情况

本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。

类别	API
Network Wininet	InternetOpen InternetOpenUrl