威胁数据库 特洛伊木马 Trojan.Agent.MTGC

Trojan.Agent.MTGC

通过CagedTech在 特洛伊木马
发布时间：
翻译为：

威胁评分卡

威胁级别： 80 % (高的)
受感染的计算机： 2
初见： October 10, 2026
最后一次露面： October 15, 2026
受影响的操作系统： Windows

Trojan.Agent.MTGC是一种恶意程序，属于 Windows 木马“Agent”家族。它伪装成无害的系统实用程序，但实际上却能悄无声息地潜入计算机，执行破坏性的后台活动，并为其他威胁打开方便之门。该木马的危险等级为 8 级（满分 10 级），因此应将其视为严重的安全隐患，而非小麻烦。

Trojan.Agent.MTGC 的作用

Trojan.Agent.MTGC 一旦在系统中激活，便会在后台静默运行，通常会伪装成合法的“支持模块”或系统同步组件，并添加文件和产品详细信息。这种伪装旨在使该文件与正常的 Windows 进程融为一体，从而避免引起用户的注意。在这种伪装之下，该木马程序可以执行一系列恶意功能，包括为远程攻击者提供控制受感染计算机的途径。此类木马程序通常用于秘密删除文件、安装其他恶意软件、窃取敏感数据或向网络犯罪分子提供更广泛的访问权限。与此威胁相关的样本还使用了与进程操纵和规避相关的技术，使其能够躲避基本的监控，并增加清除难度。

它通常是如何进入电脑的

Trojan.Agent.MTGC 通常利用尚未修复的系统漏洞和安全缺陷进行传播。它也经常通过恶意或被入侵网站的软件下载以及来自不可信或未知发件人的电子邮件附件进行传播。这些附件可能伪装成看似普通的文件，例如带有 .exe、.pif、.avi 等扩展名的可执行文件，甚至是 .jpg 等图像文件，诱骗用户打开。一旦执行，该木马程序会悄悄地安装自身，通常会在隐藏的用户文件夹中放置一个副本以保持其在系统中的持久存在。

用户面临的风险

这种木马程序存在于系统中会带来重大风险。由于它能赋予攻击者远程控制权，受害者可能面临个人文件、财务信息、密码和其他敏感数据被未经授权访问的风险。它能够静默删除文件，导致数据丢失；同时，它还能安装其他恶意软件，这意味着一次感染就可能迅速演变成更大规模的攻击，涉及勒索软件、间谍软件或其他威胁。鉴于其隐蔽性，该木马程序可能长时间不被察觉地运行，从而加剧潜在的损害。

感染迹象

由于这类木马程序旨在静默运行，因此通常难以发现明显的警告信号。用户可能会注意到系统运行速度无故变慢、后台运行着陌生的进程、出现异常的网络活动，或者系统文件夹中出现他们未创建的新文件。安全软件标记可疑的可执行文件，尤其是那些描述笼统或模糊不清的文件（例如“支持模块”），也可能是一个值得调查的线索。

如何做好防护

为降低感染风险，用户应确保操作系统和所有已安装软件保持最新状态，因为未修补的漏洞是此类木马的常见入侵途径。避免从非官方或可疑网站下载软件，切勿打开来自未知或意外发件人的电子邮件附件，即使文件名看起来无害。强烈建议使用信誉良好且保持更新的安全软件扫描下载内容并监控系统活动。定期备份重要文件也有助于在系统遭到入侵时最大限度地减少损失。

分析报告

一般信息

姓： Trojan.Agent.MTGC
签名状态： No Signature

已知样本

MD5: 9bbb769935c5b06adfb622d2271d62d2
SHA1: 88bd3ca95ee76049d8025ce428dab189e93e624c
SHA256: ACBAF3298BF4B85AEA1B47C1F00CBA7051D34FEF6AB98DCA830662578ECE9328
文件大小: 4.04 MB,4040192字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have security information
  • File has TLS information
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
显示更多
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE 版本信息

姓名 价值
Comments Support module for device synchronization.
Company Name Blue Mesa Systems
File Description Host process support module
File Version 2.1.23.2046
Internal Name Task Relay
Legal Copyright Copyright (C) 2021-2024 Blue Mesa Systems
Legal Trademarks Licensed software.
Original Filename Task Relay.exe
Private Build 2.1.23 build 2046
Product Name Task Relay
Product Version 2.1.23.2046
Special Build Release

文件特征

  • GetConsoleWindow
  • HighEntropy
  • x86

区块信息

总区块数： 1,498
潜在恶意块： 218
白名单区块： 1,262
未知区块： 18

可视化地图

0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x x x x x x x x x x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? 0 x x x x x x 0 x x x x x x x x 0 x x x x x x 0 0 0 0 x x x x x x 0 0 0 0 x 0 0 0 0 x x x x x x x x x x 0 0 x 0 0 0 x x x 0 x x x 0 0 0 x 0 0 0 x 0 x x 0 x x 0 0 0 x ? x ? ? ? x x x ? 0 x x 1 x 0 0 x 0 x x 0 x x x 0 0 x x x x x x x x x x x x x x x x x 0 x x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x x x x x x x x x x x x x x x 0 x 0 x ? x ? ? 0 x x x x x x x x x x x x x x x x x x x x x x x ? 0 0 x x x x x x x ? x x x 0 x x x 0 0 x x x x 0 x x 0 x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x 0 x x x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 x 0 0 x 0 0 0 0 0 0 0 0 0 x 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x x 0 x x x x 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 ? ? ? ? ? ?
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

  • Agent.MTGC

文件已修改

文件 属性
c:\users\user\appdata\local\microsoft\windows\settingsync\vgi7uu.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

注册表修改

键::值 数据 API名称
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n$ �v����Bx(�1`1�1HO@V�A��H[uN$_�zb"hk`k�q{b��P���!���� ���3�����������m�Ù��V����$�8წ���l��&M�~�=�SB1_T�Vw��R���%���������AE��D��&��$���LA*�"C�� RegNtPreCreateKey

Windows API 使用情况

类别 API
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess

Shell命令执行

C:\Users\Hvmxiicn\AppData\Local\Microsoft\Windows\SettingSync\vgi7uu.exe "C:\Users\Hvmxiicn\AppData\Local\Microsoft\Windows\SettingSync\vgi7uu.exe"