威胁数据库 特洛伊木马 Trojan.Agent.IUW

Trojan.Agent.IUW

通过CagedTech在 特洛伊木马
发布时间：
最后更新：

威胁评分卡

人气排名： 23,696
威胁级别： 80 % (高的)
初见： April 7, 2025
最后一次露面： November 4, 2026
受影响的操作系统： Windows

Trojan.Agent.IUW 是一款 Windows 木马程序，危险等级为 8 分（满分 10 分）。木马程序伪装成无害或有用的文件，同时在后台执行恶意操作。数据显示，该木马程序最早出现于 2025 年 4 月 7 日，最近一次出现于 2026 年 11 月 4 日。虽然记录到的检测数量不多，但如下所述的行为表明，该木马程序值得高度重视。

威胁会造成什么影响？

根据描述，Agent.IUW 会悄无声息地安装自身并在后台静默运行。安装后，攻击者可能获得对受感染系统的完全控制权。它还可能秘密删除文件并安装其他恶意软件。

分析的样本是一个 64 位 Windows 原生 GUI 可执行文件。它未打包，没有数字签名，并且包含大量覆盖层（附加到文件的额外数据）。其文件头中也没有安全信息。它的行为表明其具有以下几种功能：

  • 网络通信：它使用 Winsock 和 WinHTTP 函数来建立连接、发送和接收数据以及解析主机名。这是恶意软件的典型特征，这类恶意软件会联系远程服务器以接收命令或发送数据。
  • 系统分析：它会查询计算机名称、默认区域设置和网络适配器信息。恶意软件通常会收集这些信息来识别受感染的计算机。
  • 进程操控：它会调用一个函数，将内存段从进程中取消映射。这通常与试图将恶意代码隐藏在其他进程中有关。
  • 权限变更：它会调整令牌权限，恶意软件经常这样做以获得对系统的更广泛访问权限。
  • 加密和直接系统调用：它使用 Windows 加密提供程序和底层系统调用。这两种方式都是旨在保护数据或逃避监控的威胁的典型特征。

该样本还会修改用户临时文件夹中的一个文件。在分析的 102 个代码块中，有一个被标记为潜在恶意代码块，其余代码块均被列入白名单，因此有害部分可能很小，容易被忽略。

它通常是如何进入电脑的

饲料数据列出了以下典型路线：

  • 利用系统漏洞和安全缺陷。
  • 从恶意网站下载软件。
  • 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。

使用具有误导性扩展名的附件是一种常见的骗局。看起来像图片或视频的文件实际上可能是一个程序。

用户面临的风险

如果木马程序运行，其他人就可能控制您的计算机。此类访问的典型后果包括文件丢失或删除、安装其他恶意软件以及个人信息和帐户泄露。由于该样本通过网络通信，因此受感染的计算机也可能在所有者不知情的情况下被攻击者利用。

感染迹象

此类木马程序旨在悄无声息地运行，因此可能不会出现明显的症状。信息源数据中也没有列出具体的症状。此类木马程序的典型警告信号包括：

  • 运行不熟悉的程序或进程，尤其是从临时文件夹运行的程序或进程。
  • 当您未使用互联网时，出现意外的网络活动。
  • 文件无故消失或更改。
  • 系统运行速度较慢或设置会自动更改。
  • 您未安装的新软件。

    • 如何保护自己

    • 保持 Windows 系统和所有已安装程序更新，以便修复已知漏洞。
    • 请仅从供应商的官方渠道下载软件。
    • 不要打开来自未知发件人的附件。对任何要求运行的“图像”或“视频”，或具有双重扩展名的文件都要保持警惕。
    • 在文件资源管理器中显示文件扩展名，以便更容易发现伪装的可执行文件。
    • 使用信誉良好、功能最新的安全程序，并具备实时保护功能，定期运行完整的系统扫描。
    • 将重要文件备份到与计算机没有永久连接的位置。

    如果您怀疑电脑感染了病毒，请断开电脑与互联网的连接，使用最新的安全工具进行全面扫描，并清除所有检测到的恶意软件。之后，请在干净的设备上更改密码。如果系统仍然运行异常，请考虑寻求专业帮助或全新安装 Windows 系统。

    分析报告

    一般信息

    姓： Trojan.Agent.IUW
    签名状态： No Signature

    已知样本

    MD5: 788b9ff20bb5d2c85db1438cde21dc59
    SHA1: f57a376a2d0b9eefef1b156bf37c1d4326344056
    SHA256: 521211BE268938C8F9E7E705386D2F20ADC6584515D57254D225CDD825B33519
    文件大小: 629.14 KB,629145字节

    Windows 可移植可执行文件属性

    • File doesn't have "Rich" header
    • File doesn't have exports table
    • File doesn't have security information
    • File is 64-bit executable
    • File is either console or GUI application
    • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
    • File is Native application (NOT .NET application)
    • File is not packed
    • IMAGE_FILE_DLL is not set inside PE header (Executable)
    • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

    文件特征

    • big overlay
    • dll
    • x64

    区块信息

    总区块数： 102
    潜在恶意块： 1
    白名单区块： 101
    未知区块： 0

    可视化地图

    0 - 可能的保险箱
    ? - 未知区块
    x - 潜在恶意拦截

    文件已修改

    文件 属性
    c:\users\user\appdata\local\temp\fontdrvhost.exe Generic Write,Read Attributes

    注册表修改

    键::值 数据 API名称
    HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n* �v �Z����Bx#��(�1`1�1HO@V�A��H[uH�pN$_�zb"hk`k�ql(�{b��P���!���� ���3������������.�m�Ù��gi�V����$�8წ���l��&MA�~�=�SB1_B��T�Vw���%���������AE��D��&�� RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::enablefiletracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::filetracingmask ￿ RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::consoletracingmask ￿ RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::maxfilesize  RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasapi32::filedirectory %windir%\tracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::enablefiletracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing RegNtPreCreateKey
    Show 5 more
    HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::filetracingmask ￿ RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::consoletracingmask ￿ RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::maxfilesize  RegNtPreCreateKey
    HKLM\software\microsoft\tracing\rasmancs::filedirectory %windir%\tracing RegNtPreCreateKey

    Windows API 使用情况

    类别 API
    Syscall Use
    • ntdll.dll!NtAccessCheck
    • ntdll.dll!NtAlertThreadByThreadId
    • ntdll.dll!NtAlpcConnectPort
    • ntdll.dll!NtAlpcConnectPortEx
    • ntdll.dll!NtAlpcCreatePortSection
    • ntdll.dll!NtAlpcCreateSectionView
    • ntdll.dll!NtAlpcCreateSecurityContext
    • ntdll.dll!NtAlpcDeleteSecurityContext
    • ntdll.dll!NtAlpcQueryInformation
    • ntdll.dll!NtAlpcQueryInformationMessage
    Show 90 more
    • ntdll.dll!NtAlpcSendWaitReceivePort
    • ntdll.dll!NtAlpcSetInformation
    • ntdll.dll!NtApphelpCacheControl
    • ntdll.dll!NtAssociateWaitCompletionPacket
    • ntdll.dll!NtCancelWaitCompletionPacket
    • ntdll.dll!NtClearEvent
    • ntdll.dll!NtClose
    • ntdll.dll!NtConnectPort
    • ntdll.dll!NtCreateEvent
    • ntdll.dll!NtCreateFile
    • ntdll.dll!NtCreateIoCompletion
    • ntdll.dll!NtCreateKey
    • ntdll.dll!NtCreateMutant
    • ntdll.dll!NtCreatePrivateNamespace
    • ntdll.dll!NtCreateSection
    • ntdll.dll!NtCreateSemaphore
    • ntdll.dll!NtCreateThreadEx
    • ntdll.dll!NtCreateTimer2
    • ntdll.dll!NtCreateWaitCompletionPacket
    • ntdll.dll!NtCreateWorkerFactory
    • ntdll.dll!NtDeviceIoControlFile
    • ntdll.dll!NtDuplicateObject
    • ntdll.dll!NtDuplicateToken
    • ntdll.dll!NtEnumerateKey
    • ntdll.dll!NtEnumerateValueKey
    • ntdll.dll!NtFlushProcessWriteBuffers
    • ntdll.dll!NtFreeVirtualMemory
    • ntdll.dll!NtGetCompleteWnfStateSubscription
    • ntdll.dll!NtMapViewOfSection
    • ntdll.dll!NtNotifyChangeKey
    • ntdll.dll!NtOpenDirectoryObject
    • ntdll.dll!NtOpenEvent
    • ntdll.dll!NtOpenFile
    • ntdll.dll!NtOpenKey
    • ntdll.dll!NtOpenKeyEx
    • ntdll.dll!NtOpenProcess
    • ntdll.dll!NtOpenProcessToken
    • ntdll.dll!NtOpenProcessTokenEx
    • ntdll.dll!NtOpenSection
    • ntdll.dll!NtOpenSemaphore
    • ntdll.dll!NtOpenThread
    • ntdll.dll!NtOpenThreadToken
    • ntdll.dll!NtOpenThreadTokenEx
    • ntdll.dll!NtProtectVirtualMemory
    • ntdll.dll!NtQueryAttributesFile
    • ntdll.dll!NtQueryDebugFilterState
    • ntdll.dll!NtQueryDefaultLocale
    • ntdll.dll!NtQueryDirectoryFileEx
    • ntdll.dll!NtQueryEvent
    • ntdll.dll!NtQueryFullAttributesFile
    • ntdll.dll!NtQueryInformationFile
    • ntdll.dll!NtQueryInformationJobObject
    • ntdll.dll!NtQueryInformationProcess
    • ntdll.dll!NtQueryInformationThread
    • ntdll.dll!NtQueryInformationToken
    • ntdll.dll!NtQueryKey
    • ntdll.dll!NtQueryLicenseValue
    • ntdll.dll!NtQueryPerformanceCounter
    • ntdll.dll!NtQuerySecurityAttributesToken
    • ntdll.dll!NtQuerySecurityObject
    • ntdll.dll!NtQuerySystemInformation
    • ntdll.dll!NtQuerySystemInformationEx
    • ntdll.dll!NtQueryValueKey
    • ntdll.dll!NtQueryVirtualMemory
    • ntdll.dll!NtQueryVolumeInformationFile
    • ntdll.dll!NtQueryWnfStateData
    • ntdll.dll!NtQueueApcThread
    • ntdll.dll!NtQueueApcThreadEx2
    • ntdll.dll!NtReadFile
    • ntdll.dll!NtReadVirtualMemory
    • ntdll.dll!NtReleaseMutant
    • ntdll.dll!NtReleaseSemaphore
    • ntdll.dll!NtReleaseWorkerFactoryWorker
    • ntdll.dll!NtRequestWaitReplyPort
    • ntdll.dll!NtResumeThread
    • ntdll.dll!NtSetEvent
    • ntdll.dll!NtSetInformationKey
    • ntdll.dll!NtSetInformationObject
    • ntdll.dll!NtSetInformationProcess
    • ntdll.dll!NtSetInformationThread
    • ntdll.dll!NtSetInformationVirtualMemory
    • ntdll.dll!NtSetInformationWorkerFactory
    • ntdll.dll!NtSetTimer2
    • ntdll.dll!NtSetValueKey
    • ntdll.dll!NtSubscribeWnfStateChange
    • ntdll.dll!NtTestAlert
    • ntdll.dll!NtTraceControl
    • ntdll.dll!NtUnmapViewOfSection
    • ntdll.dll!NtUnmapViewOfSectionEx
    • ntdll.dll!NtUnsubscribeWnfStateChange

    以上未显示另外 9 件商品。

    Process Manipulation Evasion
    • NtUnmapViewOfSection
    User Data Access
    • GetComputerName
    • GetUserDefaultLocaleName
    • GetUserObjectInformation
    Encryption Used
    • BCryptOpenAlgorithmProvider
    Other Suspicious
    • AdjustTokenPrivileges
    Network Winsock2
    • WSAConnect
    • WSASocket
    • WSAStartup
    • WSAttemptAutodialName
    Network Winsock
    • closesocket
    • freeaddrinfo
    • getaddrinfo
    • recv
    • send
    • setsockopt
    Network Winhttp
    • WinHttpOpen
    Network Info Queried
    • GetAdaptersAddresses
    • GetNetworkParams