Trojan.Agent.PFDB
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 人气排名： | 18,263 |
| 威胁级别： | 80 % (高的) |
| 初见： | February 24, 2025 |
| 最后一次露面： | November 8, 2026 |
| 受影响的操作系统： | Windows |
Trojan.Agent.PFDB是一款针对 Windows 计算机的木马程序。它的危险等级为 8 级（满分 10 级），因此应将其视为严重威胁。与其他木马程序一样，它会伪装成无害程序或隐藏在其他程序中，然后在用户不知情的情况下在后台悄悄运行。
目录
Trojan.Agent.PFDB 的作用
根据现有数据，Agent.PFDB 会隐蔽地安装自身，并在后台静默运行，执行恶意功能。安装后，攻击者可能完全控制受感染的系统。它还可能秘密删除文件并安装其他恶意软件。
对该样本的技术分析表明，它是一个高熵的 64 位 Windows 原生 DLL，这通常意味着其内容经过了压缩或混淆处理。它没有数字签名、资源信息和调试信息，但包含导出表和 TLS 信息。它调用 ntdll.dll 中的底层系统函数，包括用于写入文件、管理虚拟内存和查询进程信息的函数。此外，它还使用了IsDebuggerPresent检查，这是一种常见的反分析技术，可以让恶意软件检测到何时有人正在检查它。
它的检测结果与 Trojan.Kryptik.Gen.IPF、Trojan.Kryptik.Gen.KGK 和 Trojan.Metasploit.Gen.MQ 等类似家族相关。由于该信息源并未描述这些相关家族的具体行为，因此除了名称相似性之外，我们不对它们之间的共同点做任何假设。
它通常是如何进入电脑的
该信息源显示，Agent.PFDB 最常见的传播方式有以下几种：
- 通过利用系统漏洞和安全缺陷。
- 通过恶意网站下载软件。
- 通过来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。
将恶意文件伪装成视频或图像是一种常见的伎俩，目的是使附件看起来无害。
用户面临的风险
- 失去控制：攻击者可能能够控制计算机。
- 文件删除：文件可能会在您不知情的情况下被删除。
- 更多恶意软件：系统上可能安装了其他恶意程序。
通常情况下，具有远程访问功能的木马程序也会泄露个人数据和密码，但该信息源并未具体证实 Agent.PFDB 是否存在这种情况。
感染迹象
这种木马程序设计得悄无声息，因此可能不会出现明显的症状。此类威胁的典型警告信号包括：
- 无法解释的运行速度下降或资源使用量过高。
- 文件丢失或意外更改。
- 您未安装的陌生程序或进程。
- 网络活动异常。
- 自动更改的安全设置。
由于可能没有任何可见的迹象，因此使用信誉良好、最新的安全工具进行全面扫描是最可靠的检查方法。
如何保护自己
- 保持 Windows 系统和所有已安装软件更新，以便修补已知漏洞。
- 不要打开来自未知或不受信任的发件人的附件，尤其是 .exe 或 .pif 文件，或具有意外扩展名的媒体文件。
- 请仅从官方、可信来源下载软件。
- 在 Windows 系统中显示文件扩展名，以便更容易发现伪装的文件。
如果您怀疑电脑感染了病毒，请断开电脑与互联网的连接，运行完整的系统扫描并清除所有检测到的恶意软件。之后，请在干净的设备上更改您的重要密码。如果系统可能曾被远程控制，请考虑从已知的干净备份中恢复系统。
分析报告
一般信息
| 姓： | Trojan.Agent.PFDB |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
0b2076b20c3d79df5037adf68808d8e6
SHA1:
3238c05f6e672074d90b698f86e850fcfa3fe461
SHA256:
1712C96A46EDC25118A360B061D091A8BBCCF1F179828718C5334E40431DF21B
文件大小:
293.89 KB,293888字节
|
|
MD5:
29d4da70f064669b2063e54f967284ce
SHA1:
417bd069afcb8b3aae24b85b8d144cf3f313c746
SHA256:
1DF0328A95C0948A5EB968872C7936241FC1E407D6F6A12187A161FCE8ACDB99
文件大小:
279.55 KB,279552字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have resources
- File doesn't have security information
- File has exports table
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
Show 3 more
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件特征
- dll
- HighEntropy
- x64
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 375 |
|---|---|
| 潜在恶意块： | 5 |
| 白名单区块： | 359 |
| 未知区块： | 11 |
可视化地图
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- Agent.PFDB
- Trojan.Kryptik.Gen.IPF
- Trojan.Kryptik.Gen.KGK
- Trojan.Metasploit.Gen.MQ
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| Syscall Use |
Show 90 more
以上未显示另外 8 件商品。 |
| User Data Access |
|
| Anti Debug |
|