Trojan.Agent.GDD

Trojan.Agent.GDD ist ein Windows-Trojaner, der laut Bewertung eine Gefährlichkeitsstufe von 8 von 10 aufweist. Wie die meisten Trojaner gibt er sich harmlos oder versteckt sich, um dann unbemerkt im Hintergrund schädliche Aktionen auszuführen. Dieser Artikel erklärt, was über ihn bekannt ist und wie Sie Ihr Risiko minimieren können.

Was Trojan.Agent.GDD tut

Laut der Beschreibung im Feed läuft Agent.GDD unbemerkt im Hintergrund und führt schädliche Aktionen aus. Nach der Installation kann es Angreifern die vollständige Kontrolle über das infizierte System ermöglichen. Es kann außerdem heimlich Dateien löschen und weitere Schadsoftware installieren. Die Beschreibung im Feed ist abgeschnitten, daher lässt sich das weitere Verhalten hier nicht bestätigen.

Die technischen Daten der analysierten Datei zeigen, dass es sich um eine native 32-Bit-Windows-Anwendung (x86) handelt, nicht um eine .NET-Anwendung. Da es sich um eine GUI-Anwendung handelt, kann sie ohne Konsolenfenster ausgeführt werden. Die Datei ist nicht gepackt, weist aber eine hohe Entropie, keine Versionsinformationen, keine digitale Signatur und keine Debug-Informationen auf. Fehlende Versionsinformationen und Signaturen sind zwar typisch für Schadsoftware, beweisen aber allein noch keine Schadsoftware-Gefahr.

Im Rahmen der Analyse wurden 501 Blöcke untersucht. Davon wurden 125 als potenziell schädlich eingestuft, 376 auf die Whitelist gesetzt und keiner war unbekannt. Eine Dateiänderung wurde im Download-Ordner des Nutzers protokolliert, und die einzige festgestellte API-Kategorie war der Zugriff auf Nutzerdaten. Dies ist ein unvollständiges Bild, und die Anzahl der im Feed erfassten Vorfälle beträgt lediglich 1. Daher sollte dies nicht als vollständiges Bedrohungsprofil interpretiert werden.

Wie es üblicherweise auf Computer gelangt

Laut dem Feed installiert sich Agent.GDD unbemerkt, meistens auf folgende Weise:

• Ausnutzung von Systemschwachstellen und Sicherheitslücken;
• Software-Downloads von schädlichen Webseiten;
• E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel .exe-, .pif-, .avi- und sogar .jpg-Dateien.

Dateien mit doppelter Bedeutung oder verschleierten Dateiendungen sind ein typischer Trick. Eine Datei, die wie ein Bild oder ein Video aussieht, kann in Wirklichkeit ein ausführbares Programm sein.

Risiken für den Nutzer

Wenn ein System infiziert ist, umfassen die im Feed beschriebenen Risiken Folgendes:

• Fernsteuerung Ihres Computers durch Angreifer;
• Löschung Ihrer Dateien;
• Installation weiterer Schadsoftware.

Trojaner dieser Art führen häufig zum Diebstahl persönlicher Daten, Zugangsdaten oder zur Nutzung eines Computers für andere kriminelle Aktivitäten. Der Feed bestätigt diese spezifischen Folgen für Agent.GDD nicht; daher sollten sie als typische Risiken dieser Kategorie und nicht als nachgewiesenes Verhalten betrachtet werden.

Anzeichen einer Infektion

Da der Trojaner so konzipiert ist, dass er unbemerkt bleibt, können offensichtliche Symptome fehlen. Im Feed werden keine spezifischen Symptome aufgeführt, typische Anzeichen einer Trojanerinfektion sind jedoch:

• unerwartete Verlangsamungen oder hoher Ressourcenverbrauch;
• Dateien verschwinden oder verändern sich ohne Erklärung;
• unbekannte Programme oder Prozesse treten auf;
• Einstellungen ändern sich von selbst;
• Ungewöhnliche Netzwerkaktivitäten oder die Deaktivierung von Sicherheitstools.

Eine unbekannte Datei in Ihrem Download-Ordner, die Sie nicht wissentlich gespeichert haben, kann ebenfalls ein Warnsignal sein.

Wie man sich schützt

• Halten Sie Windows und alle installierten Programme auf dem neuesten Stand, da der Trojaner angeblich Systemschwachstellen ausnutzt.
• Laden Sie Software nur von offiziellen, vertrauenswürdigen Quellen herunter und meiden Sie unbekannte Websites.

Bei Verdacht auf eine Infektion trennen Sie den Computer vom Internet, führen Sie einen vollständigen Scan durch und ändern Sie wichtige Passwörter von einem sauberen Gerät aus. Falls sich auf dem Computer sensible Daten befinden, sollten Sie professionelle Hilfe in Anspruch nehmen, um eine vollständige Systembereinigung sicherzustellen.

Analysebericht

Allgemeine Information

Nachname:	Trojan.Agent.GDD
Signaturstatus:	No Signature

Bekannte Proben

i

Bekannte Proben

Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.

MD5: e2cc65db170c25641bcff50cec580c9d SHA1: 6d7b7bc0437d90c355237f76e6088cb7df593eeb SHA256: D110D6F6E54425DA013D36196E438AB9CE72FC9DD8D95FA76D9B2DBB826484BE Dateigröße: 442.37 KB, 442368 Bytes

Attribute der portablen Windows-Ausführungsdatei

i

Attribute der portablen Windows-Ausführungsdatei

Dieser Abschnitt listet die in den Familienbeispielen gefundenen Dateiattribute auf. Diese Attribute werden aus der Windows PE-Spezifikation (Portable Executable) der Dateien und verschiedenen Systemflags extrahiert. Die Attribute portabler ausführbarer Dateien geben Malware-Forschern Einblick in die Funktionalität einer Datei, Details zur Ausführung, Plattform und Laufzeitumgebung.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dateisymbole

i

Dateisymbole

Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.

Dateieigenschaften

• HighEntropy
• No Version Info
• x86

Blockinformationen

i

Blockinformationen

Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.

Gesamtanzahl der Blöcke:	501
Potenziell schädliche Blöcke:	125
Zugelassene Blocker:	376
Unbekannte Blöcke:	0

Visuelle Karte

0 – Wahrscheinlich sichere Blockierung
? – Unbekannter Block
x – Potenziell schädliche Sperre

Geänderte Dateien

i

Geänderte Dateien

Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.

Datei	Attribute
c:\users\user\downloads\matrix.uc	Generic Read,Write Data,Write Attributes,Write extended,Append data

Windows-API-Nutzung

i

Windows-API-Nutzung

Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.

Kategorie	API
User Data Access	GetUserObjectInformation