威胁数据库 特洛伊木马 Trojan.Spy.Agent.AZ

Trojan.Spy.Agent.AZ

通过CagedTech在 特洛伊木马
发布时间：
最后更新：

威胁评分卡

人气排名： 22,740
威胁级别： 80 % (高的)
受感染的计算机： 15
初见： April 10, 2024
最后一次露面： August 26, 2026
受影响的操作系统： Windows

Trojan.Spy.Agent.AZ 是一款 Windows 木马，危险等级为 8（满分 10 分）。它属于间谍软件类木马，这意味着它旨在静默运行，避免引起注意，并允许攻击者访问计算机。该木马最早于 2024 年 4 月 10 日被发现，最近一次发现是在 2026 年 8 月 26 日，因此目前仍然活跃。该木马的检测记录显示，它共检测到 15 次。

威胁会造成什么影响？

根据消息来源，Spy.Agent.AZ 会隐蔽安装并在后台静默运行。安装后，攻击者可能获得对系统的完全控制权。它还可能秘密删除文件并安装其他软件。消息来源的文本到此为止，因此无法确切说明该木马还能安装哪些其他程序。

技术数据显示，这是一个未加壳的 64 位原生 Windows 图形用户界面程序。它使用了间谍软件和远程控制恶意软件的几种典型功能：

  • 网络访问：它使用 Windows 网络功能（WinHTTP 和 Winsock），像这样的木马程序通常需要这些功能与远程服务器通信。
  • 加密：它使用 Windows 加密功能。恶意软件通常这样做是为了隐藏其数据或通信内容。
  • 内存写入：它被标记为 WriteProcessMemory 函数。此函数通常用于向其他正在运行的进程注入代码，但示例并未证实它是否执行了此操作。

该样本还被发现修改了 Windows 证书下载缓存中的文件。这可能只是 Windows 检查数字签名时的副作用，因此不应将其视为特定恶意行为的证据。

它通常是如何进入电脑的

该信息源列出了三条主要路线：

  • 利用系统漏洞和安全缺陷。
  • 从恶意网站下载软件。
  • 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。

分析的文件也进行了伪装。其版本信息声称来自微软公司，并将文件伪装成名为“记事本--”的产品的“setup.exe”安装程序，标签为“记事本--安装程序”。它带有颁发给“Greenengine OU”的数字签名，但签名状态为“根目录不受信任”。名称似曾相识但签名不受信任的虚假安装程序，是避免运行它的充分理由。

用户面临的风险

由于这种木马程序可能使攻击者完全控制系统，因此潜在的危害范围很广。间谍软件类木马的典型风险包括：

  • 窃取个人数据、密码和其他敏感信息。
  • 文件丢失或删除。
  • 安装其他恶意软件。
  • 他人未经您允许使用您的电脑。

该信息流确认了文件删除、可能的完全控制权限以及额外的安装操作。其他项目描述了此类操作的典型特征。

感染迹象

木马程序运行悄无声息，因此可能没有任何明显的症状。此类感染的典型症状包括：

  • 来自您无法识别的程序的意外网络活动。
  • 无故丢失的文件。
  • 您未安装的新程序。
  • 系统运行速度变慢或出现无法解释的系统行为。
  • 最近运行的“setup.exe”或安装程序没有完成它声称要做的事情。

如何保护自己

  • 请确保 Windows 和所有已安装的软件保持最新状态，因为此木马程序可以利用已知的漏洞。
  • 仅从官方发行商网站下载软件，并对看起来像知名工具但来源不明的安装程序保持警惕。
  • 不要打开来自不受信任发件人的附件，即使文件看起来像图片或视频。伪装成图像或媒体的可执行文件是一种常见的骗局。
  • 运行文件前请检查其数字签名。诸如“不受信任的根目录”之类的警告是一个危险信号。
  • 如果怀疑系统存在问题，请使用信誉良好、版本最新的安全解决方案，并运行完整的系统扫描。
  • 定期将重要文件备份到与计算机未永久连接的驱动器或服务上。

如果您怀疑运行了可疑的安装程序，请断开计算机的网络连接，运行全面扫描并删除所有检测到的程序。之后，请使用另一台干净的设备更改您的重要密码。

分析报告

一般信息

姓： Trojan.Spy.Agent.AZ
签名状态： Root Not Trusted

已知样本

MD5: 95f79bb0f335e61e9141dd51bc91d395
SHA1: 9d4e073bc4d9f200e854f341032271cd92d08410
SHA256: 43ED1D8E0E162CD1B982B8BFA514A78BB0D7304CA773B31350966587E658A211
文件大小: 7.06 MB,7059528字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File has exports table
  • File has TLS information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

Windows PE 版本信息

姓名 价值
Company Name Microsoft Corporation
File Description setup.exe
File Version 1.2.0.400
Original Filename setup.exe
Product Name Notepad --
Product Version 1.2.0.400
Program I D Notepad -- Setup Installer

数字签名

签名者 根 地位
Greenengine OU SSL.com EV Root Certification Authority RSA R2 Root Not Trusted

文件特征

  • Installer Version
  • WriteProcessMemory
  • x64

区块信息

总区块数： 28,258
潜在恶意块： 56
白名单区块： 28,180
未知区块： 22

可视化地图

... 数据已截断
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

  • Delf.Spy.D
  • Downloader.Delf.L
  • Ousaban.J
  • Rugmi.L
  • SecureDuck.A
Show 1 more
  • Spy.Agent.AZ

文件已修改

文件 属性
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\3c42bc945025a34066dab76ef3f80a05 Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\3c42bc945025a34066dab76ef3f80a05 Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 Generic Read,Write Data,Write Attributes,Write extended,Append data

注册表修改

键::值 数据 API名称
HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob  �RĿ���Ӂ� f�K�Q� 9dI��:��d S�0��0" +��000 +�7<�0" +��000 +�7<�0g� 00 +�7<�0g� 00 +�7<� ^SSL.com EV Root Certificatio RegNtPreCreateKey
HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob h?X�R�!���2�S_t:�R��2��J��Ժ�{|.Ě~��%� 0 +V=XΌ {PV�G5� b�`����4����%�s�Fi��b .{�l�$���⪆�ua��9�;/���mN�4�B\ L0J++ +�7   RegNtPreCreateKey
HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob 䂁ᣅﱩⱆ疉ར碪嚨출얜米ቺ惟Ⲍ咼Se挰ℰଆ萪Ũɷą、〒ؐ⬊ĆĄ㞂ļ́ダء⨋梄蘁矶Ԃ܁ሰူਆثЁ舁㰷āȃ쀀ᬰԆ腧Č〃〒ؐ⬊ĆĄ㞂ļ́ীĀ吀　ْ⬈Ćԅ̇؂⬈Ćԅ̇؃⬊ĆĄ㞂̊؄⬈Ćԅ̇؄⬈Ćԅ̇؆⬈Ćԅ̇؇⬈Ćԅ RegNtPreCreateKey
HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob \ࠀ縟୵歖訒룀埖⩭ꕰ뜠㼬⼙⠆妢᤺ྦྷ鸆泥閯洬ꫲឤ꜆䑺ς瘈쯍＇췅믭벐蓢䘷b 塜赆䦎瑾船뗒က톶㝥콊ꞃꏔ뜭쑨蹀 4Certum Trusted Network CA T RegNtPreCreateKey

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAddAtomEx
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAlpcCancelMessage
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcConnectPortEx
  • ntdll.dll!NtAlpcCreatePortSection
  • ntdll.dll!NtAlpcCreateResourceReserve
  • ntdll.dll!NtAlpcCreateSectionView
  • ntdll.dll!NtAlpcCreateSecurityContext
Show 90 more
  • ntdll.dll!NtAlpcDeletePortSection
  • ntdll.dll!NtAlpcDeleteSectionView
  • ntdll.dll!NtAlpcDeleteSecurityContext
  • ntdll.dll!NtAlpcDisconnectPort
  • ntdll.dll!NtAlpcQueryInformation
  • ntdll.dll!NtAlpcQueryInformationMessage
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtAlpcSetInformation
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtCancelWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateIoCompletion
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtCreateTimer2
  • ntdll.dll!NtCreateWaitCompletionPacket
  • ntdll.dll!NtCreateWorkerFactory
  • ntdll.dll!NtDeleteAtom
  • ntdll.dll!NtDeleteValueKey
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtDuplicateToken
  • ntdll.dll!NtEnumerateKey
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtGetCompleteWnfStateSubscription
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeDirectoryFile
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSemaphore
  • ntdll.dll!NtOpenThread
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryEvent
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryObject
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtQueueApcThread
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseSemaphore
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationObject
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetSecurityObject
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl

以上未显示另外 12 件商品。

Network Winsock2
  • WSAStartup
Encryption Used
  • BCryptOpenAlgorithmProvider
Network Winhttp
  • WinHttpOpen