Trojan.Agent.Gen.DFO
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Beliebtheitsrang: | 12,359 |
| Bedrohungsstufe: | 80 % (Hoch) |
| Zum ersten Mal gesehen: | June 24, 2026 |
| Zuletzt gesehen: | November 11, 2026 |
| Betroffene Betriebssysteme: | Windows |
Trojan.Agent.Gen.DFO ist die generische Bezeichnung für einen Trojaner, der Windows-Computer angreift. Sicherheitsexperten stufen ihn mit einer Gefährlichkeitsstufe von 8 von 10 ein. Laut den Aufzeichnungen wurde er erstmals am 24.06.2026 und zuletzt am 11.11.2026 gesichtet, insgesamt wurden 9 Fälle registriert. Trojaner tarnen sich als harmlose oder nützliche Programme; dieser hier gibt sich beispielsweise als Spiele-Launcher aus.
Inhaltsverzeichnis
Was die Bedrohung bewirkt
Dem Bericht zufolge installiert sich Trojan.Agent.Gen.DFO unbemerkt und läuft anschließend im Hintergrund, wo er schädliche Funktionen ausführt. Angreifer können dadurch die vollständige Kontrolle über ein infiziertes System erlangen.
Die analysierte Datei ist ein natives 64-Bit-Windows-GUI-Programm, das nicht gepackt ist. Laut Versionsinformationen handelt es sich um den „Stellar Horizons Launcher“ von „Orbitgate Studio“ mit dem ursprünglichen Dateinamen Launcher.exe. Es ist mit einem selbstsignierten Zertifikat signiert, was bedeutet, dass keine vertrauenswürdige Zertifizierungsstelle dafür bürgt. Da die Beschreibung nur unvollständig ist, erhebt dieser Artikel keinen Anspruch darauf, alle Aktionen des Trojaners zu kennen.
Zu den technischen Merkmalen der Stichprobe gehören:
- Funktionen wie WriteProcessMemory, VirtualQueryEx und NtReadVirtualMemory, die typischerweise verwendet werden, um Daten aus anderen laufenden Prozessen zu lesen oder in diese zu schreiben.
- CryptUnprotectData wird typischerweise verwendet, um von Windows geschützte Daten wie gespeicherte Anmeldeinformationen zu entschlüsseln. Der Feed gibt nicht an, auf welche Daten dieses Beispiel tatsächlich zugreift.
- WinHTTP-Funktionen, die anzeigen, dass die Datei in der Lage ist, Webanfragen zu stellen und über das Netzwerk zu kommunizieren.
- Eine IsDebuggerPresent-Prüfung, eine typische Anti-Analyse-Technik.
- Hohe Entropie und eine imgui-Komponente, was auf eine grafische Benutzeroberfläche hindeutet, die denen von Spiele-Tools ähnelt.
Das Beispiel veränderte eine launcher.ini-Einstellungsdatei in einem Roaming-Anwendungsdatenordner sowie Windows-Benutzerregistrierungstransaktionsdateien.
Der Feed listet ähnliche Familien wie Gametool.DBA, PUP.GameHack.Gen.BD, Trojan.Downloader.Gen.JF und Trojan.Kryptik.Gen.IOT auf. Dies deutet auf einen Zusammenhang mit spielbezogenen Tools und Downloader-Bedrohungen hin, der Feed gibt jedoch nicht an, wie eng diese miteinander verwandt sind.
Wie es üblicherweise auf Computer gelangt
Laut dem Feed gelangt dieser Trojaner am häufigsten über folgende Wege ins Land:
- Ausnutzen von Systemschwachstellen und Sicherheitslücken.
- Software-Downloads von schädlichen Webseiten.
- E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel .exe-, .pif-, .avi- und sogar .jpg-Dateien.
Da die Bedrohungen als Launcher getarnt sind, ist es typisch, dass sie zusammen mit gefälschten Spiele-Launchern, Cheats oder gecrackter Software verbreitet werden. Der Feed bestätigt dies jedoch nicht als spezifischen Verbreitungsweg.
Risiken für den Nutzer
Bei einer Gefahrenstufe von 8 besteht die Hauptgefahr im Kontrollverlust über Ihren PC. Trojaner dieser Art ermöglichen typischerweise den Diebstahl gespeicherter Passwörter und persönlicher Daten, die Installation weiterer Schadsoftware und den Fernzugriff durch Angreifer. Der Bericht warnt ausdrücklich davor, dass Hacker die vollständige Kontrolle über das System erlangen können. Konten für E-Mail, Online-Banking, Spiele und soziale Medien könnten gefährdet sein, wenn Zugangsdaten gestohlen werden.
Anzeichen einer Infektion
Da der Trojaner unbemerkt arbeitet, treten möglicherweise keine offensichtlichen Symptome auf. Mögliche Warnzeichen sind:
- Ein Launcher oder ein Spieltool, an dessen Installation Sie sich nicht erinnern, oder eines, das nicht mit dem angegebenen Herausgeber übereinstimmt.
- Unerklärliche Netzwerkaktivität oder Programme, die ohne ersichtlichen Grund eine Verbindung zum Internet herstellen.
- Langsamere Leistung oder ungewohnte Hintergrundprozesse.
Wie man sich schützt
- Halten Sie Windows und Ihre gesamte Software auf dem neuesten Stand, damit bekannte Sicherheitslücken geschlossen werden.
- Laden Sie Software nur von der offiziellen Quelle des Herausgebers herunter und vermeiden Sie Cracks, Cheats und inoffizielle Launcher.
- Öffnen Sie keine Anhänge von unbekannten Absendern, insbesondere keine .exe- oder .pif-Dateien oder Mediendateien, die sich unerwartet verhalten.
- Seien Sie vorsichtig bei Programmen ohne gültige digitale Signatur oder mit einem unbekannten Unterzeichner.
- Führen Sie regelmäßig vollständige Systemscans mit einem aktuellen und seriösen Sicherheitstool durch.
- Verwenden Sie individuelle Passwörter und eine Zwei-Faktor-Authentifizierung, damit ein gestohlenes Passwort nicht mehrere Konten entsperren kann.
Bei Verdacht auf eine Infektion trennen Sie die Internetverbindung, führen Sie einen vollständigen Scan durch und entfernen Sie alle gefundenen Schadprogramme. Ändern Sie anschließend Ihre Passwörter von einem sauberen Gerät aus. Überprüfen Sie Ihre Konten auf verdächtige Aktivitäten.
Analysebericht
Allgemeine Information
| Nachname: | Trojan.Agent.Gen.DFO |
|---|---|
| Signaturstatus: | Self Signed |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
e8315cbadf8ff1eccf1a6f739547ff07
SHA1:
34f32f1e2107fb1a91d55aebd5023eedb85849b1
SHA256:
193C6DAF2755473EA6524EC1724B13271A29F30024EE2260DF2C1AF13286034E
Dateigröße:
974.34 KB, 974336 Bytes
|
|
MD5:
dc2615eab7c926afd4a2cbaa6ee71d1e
SHA1:
399b4a210b7ed02fff15308cccc43522ab31b065
SHA256:
3186A594BC23CBD818C010A1295215842D53C3D93387AF7A7477497080AD7F07
Dateigröße:
911.87 KB, 911872 Bytes
|
|
MD5:
e811822fd9f8450249ac0ccd41f33b6e
SHA1:
7c06411bd76c3e244cb3881cea32bcf4d67ae45e
SHA256:
85A9C3254A5AF7A6544A2CC02436BC407A3ACC270C182E0EE83EBBB655CFBA61
Dateigröße:
979.46 KB, 979456 Bytes
|
|
MD5:
b0486e21a342208295d3af65c7f0d462
SHA1:
871523b5f89fd3cdf68ed0fa3a3e8aac8f73a276
SHA256:
54AEC7CA4D5B9CCA83DE7A5F1B9A71661D160561E7F6962150A5E03B97B9CE63
Dateigröße:
1.01 MB, 1010688 Bytes
|
|
MD5:
98288a90e63dbf577fd29a2d6f96af6e
SHA1:
d67420e191a76bfc2ea50722056735895e598abb
SHA256:
54E61AC49B0D6E8541A9403FCB7FC704B240D5F976B8634980BFE54DA4599631
Dateigröße:
1.56 MB, 1557504 Bytes
|
Show 3 more
|
MD5:
33e32eac2b63c8d25e41a1de4cd7d7ae
SHA1:
6686df8f8f6c6d8b47cecb685c1005167480e527
SHA256:
8F5576F9C2012B98B99CA878A3D8A2BAE09F1B56295CB19BDEAC45F29E3BCA0C
Dateigröße:
3.33 MB, 3325952 Bytes
|
|
MD5:
49efee3ba437d8e73d746417e3f1431f
SHA1:
c101fe17bec13e45bba4037a0e91033c0d311afa
SHA256:
269D2B31F345A50D269FFE709D2A5033E01F76A8B9EED70CC61E0DF7DD31674F
Dateigröße:
1.67 MB, 1671168 Bytes
|
|
MD5:
6718bc25df99fa0248a70ecf33d85f47
SHA1:
cf8567ac6d78a7d0d24a5841a3e5eae55f9e143a
SHA256:
DEA66CCB1584ABD49FAEB427EC256722D771D2E96AAFCF14A201388FFD600C53
Dateigröße:
2.32 MB, 2316112 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Dateisymbole
Dateisymbole
Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.
Windows PE Versionsinformationen
Windows PE Versionsinformationen
Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.| Name | Wert |
|---|---|
| Company Name | Orbitgate Studio |
| File Description | Stellar Horizons Launcher |
| File Version | 3.3 |
| Internal Name | Launcher |
| Legal Copyright | (c) 2026 Orbitgate Studio |
| Original Filename | Launcher.exe |
| Product Name | Stellar Horizons Launcher |
| Product Version | 3.3 |
Digitale Signaturen
Digitale Signaturen
Dieser Abschnitt listet digitale Signaturen auf, die den Samples dieser Familie zugeordnet sind. Bei der Analyse und Überprüfung digitaler Signaturen ist es wichtig sicherzustellen, dass die ausstellende Zertifizierungsstelle eine bekannte und vertrauenswürdige Instanz ist und der Status der Signatur gültig ist. Malware wird häufig mit nicht vertrauenswürdigen, selbstsignierten digitalen Signaturen signiert (die von Malware-Autoren ohne Überprüfung leicht erstellt werden können). Malware kann auch mit legitimen Signaturen signiert sein, die jedoch ungültig sind, sowie mit Signaturen fragwürdiger Zertifizierungsstellen, die gefälschte oder irreführende Namen als „Signierer“ verwenden.| Unterzeichner | Wurzel | Status |
|---|---|---|
| World Works | World Works | Self Signed |
Dateieigenschaften
- CryptUnprotectData
- GetConsoleWindow
- HighEntropy
- imgui
- No Version Info
- VirtualQueryEx
- WriteProcessMemory
- x64
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 6,527 |
|---|---|
| Potenziell schädliche Blöcke: | 1,076 |
| Zugelassene Blocker: | 4,594 |
| Unbekannte Blöcke: | 857 |
Visuelle Karte
... Daten gekürzt? – Unbekannter Block
x – Potenziell schädliche Sperre
Ähnliche Familien
Ähnliche Familien
Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.- Gametool.DBA
- Kryptik.BEZD
- PUP.GameHack.Gen.BD
- Trojan.Downloader.Gen.JF
- Trojan.Kryptik.Gen.IOT
Geänderte Dateien
Geänderte Dateien
Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.| Datei | Attribute |
|---|---|
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\roaming\stellarhorizons\launcher.ini | Generic Write,Read Attributes |
Änderungen der Registrierung
Änderungen der Registrierung
Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.| Schlüssel::Wert | Daten | API-Name |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 犕㜿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ⡔軱㥿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 俳䃚㴏ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ꝟԋ䍾ǝ | RegNtPreCreateKey |
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| Syscall Use |
Show 90 more
5 weitere Artikel werden oben nicht angezeigt. |
| Anti Debug |
|
| User Data Access |
|
| Network Winhttp |
|