Trojan.Agent.NIS
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 威胁级别： | 80 % (高的) |
| 受感染的计算机： | 2 |
| 初见： | October 3, 2026 |
| 最后一次露面： | October 19, 2026 |
| 受影响的操作系统： | Windows |
Trojan.Agent.NIS是一种恶意程序，被归类为木马程序，专门针对运行 Windows 系统的计算机。与此类威胁中的大多数一样，它旨在悄无声息地渗透系统，隐藏自身存在，并在用户不知情或未经同意的情况下在后台执行有害操作。安全研究人员认为它是一种高风险感染，因为它一旦安装即可执行多种破坏性活动。
目录
Trojan.Agent.NIS 的作用
一旦在计算机上激活，Agent.NIS 便会在后台静默运行，执行恶意操作。它伪装成合法的 Windows 组件，文件细节模仿核心系统进程，从而巧妙地融入系统，避免引起用户注意。该木马能够访问存储的用户数据，例如用户名和计算机名，并且可以与 Windows 剪贴板交互，从而可能泄露复制的文本和敏感信息。它还会建立网络连接，用于与远程服务器通信、接收进一步指令或将其他威胁下载到受感染的计算机上。为了维持自身存在，Agent.NIS 会创建计划任务，在用户每次登录时自动重新启动其可执行文件，确保即使在系统重启后也能继续运行。在许多情况下，这类木马能够赋予攻击者对受感染系统的高度控制权，允许他们删除文件、安装其他恶意软件，并以未经所有者授权的方式操纵计算机。
它通常是如何进入电脑的
Agent.NIS 通常通过欺骗或机会主义手段传播，而非直接攻击。它通常利用未修补的系统漏洞和安全缺陷，以及过时的软件来安装自身。它也可能与从不可信或恶意网站下载的软件捆绑在一起，或者隐藏在来自未知或不受信任发件人的电子邮件附件中。这些附件并非总是显而易见的危险文件类型；它们可能伪装成可执行文件、媒体文件，甚至是图像文件，诱骗用户打开。
用户面临的风险
由于这种木马程序能够赋予攻击者对受感染系统的广泛控制权，因此风险十分严重。潜在后果包括个人信息被盗、文件未经授权访问、安装其他恶意软件（例如密码窃取程序或挖矿程序）、数据丢失或损坏以及系统性能下降。任何涉及剪贴板或已存储用户凭据的活动都可能导致敏感数据（包括密码或财务信息）被截获并发送给攻击者。
感染迹象
此类感染旨在保持隐蔽，但用户可能会注意到一些警告信号，例如启动文件夹中出现意外的新文件、不熟悉的计划任务、异常的网络活动、系统性能缓慢、后台运行着无法解释的新进程，或者安全工具被阻止或禁用。
如何做好防护
用户可以通过保持 Windows 操作系统和所有已安装软件的更新，以修复已知的安全漏洞，从而降低风险。此外，明智的做法是避免从非官方或可疑网站下载程序，切勿打开来自未知发件人的电子邮件附件，并对任何来路不明的文件保持谨慎，即使它看起来是无害的文档或图像。运行最新的安全软件、定期进行系统扫描以及维护重要文件的备份，可以进一步帮助检测和减少 Trojan.Agent.NIS 等威胁造成的损害。
分析报告
一般信息
| 姓： | Trojan.Agent.NIS |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
914f93f9191327a9a454b6eb0cafdde1
SHA1:
ef154e3903f84845257d1eb5b60e7260a8ee7a68
SHA256:
2E2DE2A9175351644FC9DBE395F4F813FE8E7D57B8E85A168E614ED09A424A01
文件大小:
2.30 MB,2297856字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
显示更多
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Windows PE 版本信息
Windows PE 版本信息
本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。| 姓名 | 价值 |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | Windows Runtime Broker |
| File Version | 10.0.19041.1 (WinBuild.160101.0800) |
| Internal Name | RuntimeBroker |
| Legal Copyright | © Microsoft Corporation. All rights reserved. |
| Original Filename | RuntimeBroker.exe |
| Product Name | Microsoft® Windows® Operating System |
| Product Version | 10.0.19041.1 |
文件特征
- CryptUnprotectData
- x64
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 13,634 |
|---|---|
| 潜在恶意块： | 1,844 |
| 白名单区块： | 11,790 |
| 未知区块： | 0 |
可视化地图
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
x
x
0
0
0
0
0
0
0
0
0
0
0
x
x
x
0
x
x
x
x
x
x
x
x
0
0
x
0
x
x
x
x
0
0
x
0
x
x
0
0
x
0
0
0
x
0
0
x
0
0
x
0
0
0
x
x
x
x
0
x
0
x
x
0
x
x
x
x
0
x
0
x
x
x
x
0
x
x
x
0
x
0
x
0
0
x
0
0
0
0
x
0
0
0
x
x
0
0
x
x
0
0
x
0
0
0
0
x
0
x
x
x
x
0
0
0
x
0
x
x
x
0
x
x
0
x
x
0
x
x
x
x
0
0
x
0
x
0
x
x
0
0
0
x
x
0
x
0
x
0
0
x
x
x
0
0
x
0
x
x
x
0
0
0
x
0
0
x
0
0
x
x
x
0
0
0
0
0
0
x
0
x
x
x
x
0
0
0
x
0
x
0
x
x
x
x
x
x
x
x
x
0
x
0
0
x
0
x
x
0
x
x
0
x
x
x
x
x
x
x
x
x
x
x
0
0
x
x
0
x
x
0
0
x
x
x
x
x
x
0
0
0
x
x
0
x
x
x
0
x
0
x
x
x
0
0
x
x
x
x
0
0
0
0
x
x
0
x
0
x
x
0
0
0
x
x
0
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
0
0
x
x
0
x
0
x
0
x
x
0
x
x
0
x
x
x
x
x
0
x
x
x
x
0
0
0
0
0
0
0
0
0
0
x
x
x
x
x
x
x
x
0
x
x
x
x
0
0
x
0
0
x
x
0
x
x
x
x
x
x
x
0
x
0
x
x
x
x
0
x
x
0
x
0
0
0
x
x
x
x
0
0
x
0
x
0
0
x
x
x
x
0
x
x
0
x
x
x
0
x
0
0
x
x
0
x
0
x
0
x
0
x
x
0
0
0
0
0
0
0
0
0
x
0
0
x
0
0
x
0
x
x
0
x
x
x
x
0
x
0
x
0
x
0
x
0
0
0
0
x
x
x
x
0
0
0
0
0
0
0
x
x
0
0
0
x
0
0
x
0
0
x
0
0
0
x
x
0
x
0
0
0
x
0
x
0
0
x
0
x
x
x
x
x
0
0
0
0
x
0
0
0
0
0
x
0
x
x
0
x
x
x
x
x
x
0
0
0
0
0
x
x
x
x
x
x
0
x
x
x
0
x
0
0
x
0
x
x
x
x
0
0
x
x
x
x
x
0
0
x
x
0
x
x
0
0
0
x
x
x
x
0
x
x
0
x
0
0
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
0
x
x
x
x
x
x
0
x
x
x
x
x
0
x
x
x
0
x
x
x
x
0
0
0
x
x
x
0
0
x
0
x
0
0
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
x
0
0
x
0
0
0
0
1
0
x
0
x
0
x
x
x
0
x
x
x
x
x
0
x
x
x
0
0
x
0
x
x
x
0
x
x
x
x
x
x
0
0
x
0
x
x
x
x
0
0
x
x
x
x
x
x
x
x
x
0
x
x
x
x
0
x
x
x
0
x
x
x
x
x
x
x
x
0
x
0
x
x
x
x
x
0
x
x
0
x
x
x
x
x
0
x
x
x
x
x
x
x
x
0
x
x
x
x
x
0
x
x
x
x
x
0
0
x
x
x
0
x
x
x
0
0
x
x
x
x
x
x
x
x
x
x
x
x
0
x
0
x
x
x
x
x
x
0
x
x
x
x
x
x
x
0
x
x
0
0
0
x
x
0
x
x
0
x
0
x
x
0
0
x
0
0
x
0
x
x
x
x
x
x
x
x
x
0
0
0
x
x
x
0
x
0
x
x
x
x
x
0
x
x
0
x
x
0
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
0
0
0
x
x
x
x
x
x
0
x
x
0
x
0
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
0
x
0
x
x
x
x
x
0
x
x
x
0
x
x
0
x
x
x
0
x
x
0
0
0
x
x
x
x
x
0
x
x
x
0
x
x
x
x
0
x
x
x
x
0
x
x
0
0
x
x
x
0
0
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
x
0
x
x
x
0
0
x
x
x
x
x
x
0
x
x
0
x
0
x
0
x
0
0
x
0
x
0
x
0
x
0
x
x
0
x
x
x
x
x
x
0
x
x
x
x
x
x
0
x
0
x
x
x
x
x
0
x
x
x
x
x
x
0
0
0
x
x
0
0
x
x
0
x
x
0
x
x
0
x
x
x
x
x
x
0
0
x
x
x
x
x
x
x
x
x
0
x
0
x
x
x
x
x
x
x
x
x
0
0
x
0
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
0
0
x
x
0
0
x
x
0
x
0
0
0
x
x
x
x
0
0
0
x
x
0
0
x
0
x
0
0
x
x
0
0
x
x
0
0
x
x
x
0
x
0
x
0
x
x
x
x
x
x
x
x
x
x
x
0
0
x
x
x
0
x
0
x
x
0
0
x
0
x
0
x
0
0
0
x
x
x
x
x
0
x
0
0
x
x
x
x
x
x
0
x
0
0
0
0
0
0
0
0
x
0
0
0
0
0
x
x
x
0
x
0
x
x
0
0
0
x
0
0
0
0
0
x
x
0
x
x
0
x
x
0
0
0
x
x
x
x
0
x
0
x
0
x
x
0
x
x
x
x
x
x
x
x
0
x
x
0
0
x
x
x
x
x
x
0
x
0
x
x
x
x
x
0
x
x
x
0
x
0
x
x
x
x
0
x
x
x
x
0
x
0
0
x
x
x
x
x
0
x
x
0
0
x
x
0
x
x
x
0
0
0
0
0
0
0
x
x
x
x
x
x
x
x
0
0
0
x
x
x
x
x
x
x
x
x
0
0
x
x
x
x
x
x
0
0
x
x
x
x
x
0
0
x
0
0
x
x
0
x
x
x
0
x
x
x
0
x
0
x
x
x
x
x
x
x
0
x
0
0
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
0
x
x
0
x
0
x
0
x
0
x
0
0
0
x
x
x
x
x
x
0
x
x
0
x
x
x
x
0
0
x
0
x
x
x
x
x
x
x
0
x
x
x
0
x
x
x
x
x
x
0
x
0
0
0
0
0
0
x
x
x
0
x
x
0
x
x
0
0
x
0
x
0
0
0
0
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
0
0
x
x
x
0
x
0
x
x
x
x
0
x
0
x
x
x
x
x
x
x
x
x
x
x
0
0
x
x
x
x
x
x
0
x
x
x
x
0
x
x
x
x
x
x
0
0
x
x
x
x
x
x
x
x
0
0
0
x
0
0
0
x
x
x
0
0
0
x
0
x
x
0
0
x
0
0
x
x
x
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
0
0
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
0
x
x
0
0
x
x
x
0
0
x
0
0
0
x
0
0
0
x
x
x
x
0
x
x
0
x
x
x
x
x
0
0
0
x
0
0
x
x
x
x
x
x
x
x
0
0
x
0
0
x
x
x
x
0
0
x
x
x
x
x
0
0
x
x
x
x
x
0
x
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
0
x
x
0
x
x
0
x
0
x
x
x
x
x
x
0
x
x
x
0
x
0
x
x
0
x
x
x
0
x
0
x
x
0
x
x
x
x
x
x
x
x
x
0
x
x
0
x
0
x
x
0
0
x
x
0
0
0
x
0
0
x
x
0
0
0
x
x
0
0
x
x
0
0
0
0
x
0
0
x
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
...
数据已截断
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- Agent.NIS
- Coinminer.BDH
- Coinminer.OGD
- PSW.Agent.LDG
- PSW.Agent.TUI
显示更多
- PSW.Agent.TUK
文件已修改
文件已修改
本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。| 文件 | 属性 |
|---|---|
| c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe | Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144 |
| c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe | Synchronize,Write Attributes |
| c:\users\user\appdata\roaming\programs\svcruntimemtx\svcruntimemtx.exe | Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144 |
注册表修改
注册表修改
本节列出了此系列样本创建、修改和/或删除的注册表项和值。Windows 注册表活动可以提供关于恶意软件功能的宝贵信息。此外，恶意软件通常会创建注册表值，以便在初始感染系统后自动启动并无限期地持续存在。| 键::值 | 数据 | API名称 |
|---|---|---|
| HKCU\software\microsoft\windows\currentversion\run::svcruntimemtx | "C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe" | RegNtPreCreateKey |
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| Syscall Use |
显示更多
|
| Anti Debug |
|
| User Data Access |
|
| Process Shell Execute |
|
| Other Suspicious |
|
| Network Winhttp |
|
Shell命令执行
Shell命令执行
本节列出了此系列样本运行的 Windows Shell 命令。恶意软件经常利用 Windows Shell 命令进行恶意活动，例如提升安全权限、下载和启动其他恶意软件、利用漏洞、收集和窃取数据以及隐藏恶意活动。
schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /rl highest /f
|
schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /f
|
