Trojan.Agent.NIS
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Bedrohungsstufe: | 80 % (Hoch) |
| Infizierte Computer: | 2 |
| Zum ersten Mal gesehen: | October 3, 2026 |
| Zuletzt gesehen: | October 19, 2026 |
| Betroffene Betriebssysteme: | Windows |
Trojan.Agent.NIS ist ein Schadprogramm, das als Trojaner klassifiziert wird und Windows-Computer angreift. Wie die meisten Bedrohungen dieser Kategorie ist es darauf ausgelegt, unbemerkt in ein System einzudringen, seine Anwesenheit zu verschleiern und im Hintergrund ohne Wissen oder Zustimmung des Benutzers schädliche Aktionen auszuführen. Sicherheitsforscher stufen es aufgrund der Vielzahl an schädlichen Aktivitäten, die es nach der Installation ausführen kann, als hochriskante Infektion ein.
Inhaltsverzeichnis
Was Trojan.Agent.NIS tut
Sobald Agent.NIS auf einem Rechner aktiv ist, läuft es unbemerkt im Hintergrund und führt dabei schädliche Aktionen aus. Es ist so konzipiert, dass es sich als legitime Windows-Komponente tarnt. Die Dateidetails imitieren einen zentralen Systemprozess, wodurch es sich unauffällig einfügt und keine Aufmerksamkeit des Benutzers erregt. Der Trojaner kann auf gespeicherte Benutzerdaten wie Benutzernamen und Computernamen zugreifen und mit der Windows-Zwischenablage interagieren, wodurch kopierter Text und sensible Informationen offengelegt werden können. Er stellt außerdem Netzwerkverbindungen her, über die er mit einem Remote-Server kommunizieren, weitere Anweisungen empfangen oder zusätzliche Schadsoftware auf den infizierten Rechner herunterladen kann. Um seine Präsenz aufrechtzuerhalten, erstellt Agent.NIS geplante Aufgaben, die seine ausführbare Datei bei jeder Benutzeranmeldung automatisch neu starten. So wird sichergestellt, dass es auch nach einem Systemneustart weiterläuft. In vielen Fällen kann diese Art von Trojaner Angreifern ein hohes Maß an Kontrolle über das kompromittierte System verschaffen. Sie können Dateien löschen, weitere Schadsoftware installieren und den Computer auf eine Weise manipulieren, die der Besitzer nie autorisiert hat.
Wie es üblicherweise auf Computer gelangt
Agent.NIS verbreitet sich typischerweise durch Täuschung und opportunistische Methoden anstatt durch offensichtliche direkte Angriffe. Es installiert sich häufig, indem es ungepatchte Systemschwachstellen und Sicherheitslücken ausnutzt und veraltete Software verwendet. Es kann auch zusammen mit Software von unseriösen oder bösartigen Websites heruntergeladen oder in E-Mail-Anhängen unbekannter oder nicht vertrauenswürdiger Absender versteckt sein. Diese Anhänge sind nicht immer offensichtlich gefährliche Dateien; sie können als ausführbare Dateien, Mediendateien oder sogar Bilddateien getarnt sein und Benutzer so zum Öffnen verleiten.
Risiken für den Nutzer
Da dieser Trojaner Angreifern weitreichende Kontrolle über ein infiziertes System ermöglicht, sind die Risiken gravierend. Zu den möglichen Folgen zählen der Diebstahl persönlicher Daten, unbefugter Zugriff auf Dateien, die Installation weiterer Schadsoftware wie Passwortdiebstahl- oder Krypto-Mining-Programme, Datenverlust oder -beschädigung sowie eine verminderte Systemleistung. Jede Aktivität, die die Zwischenablage oder gespeicherte Benutzerdaten betrifft, birgt das Risiko, dass sensible Daten, einschließlich Passwörter oder Finanzinformationen, abgefangen und an Angreifer übermittelt werden.
Anzeichen einer Infektion
Infektionen wie diese sind darauf ausgelegt, unentdeckt zu bleiben. Benutzer bemerken jedoch möglicherweise Warnzeichen wie unerwartete neue Dateien in Autostart-Ordnern, unbekannte geplante Aufgaben, ungewöhnliche Netzwerkaktivitäten, eine träge Systemleistung, unerklärliche neue Prozesse, die im Hintergrund laufen, oder dass Sicherheitstools blockiert oder deaktiviert werden.
Wie Sie sich schützen können
Nutzer können ihr Risiko minimieren, indem sie ihr Windows-Betriebssystem und alle installierten Programme stets auf dem neuesten Stand halten, um bekannte Sicherheitslücken zu schließen. Es ist ratsam, keine Programme von inoffiziellen oder verdächtigen Websites herunterzuladen, niemals E-Mail-Anhänge unbekannter Absender zu öffnen und bei unerwarteten Dateien Vorsicht walten zu lassen, selbst wenn diese harmlos erscheinen. Die Verwendung aktueller Sicherheitssoftware, regelmäßige Systemscans und die Sicherung wichtiger Dateien tragen zusätzlich dazu bei, Schäden durch Bedrohungen wie Trojan.Agent.NIS zu erkennen und zu begrenzen.
Analysebericht
Allgemeine Information
| Nachname: | Trojan.Agent.NIS |
|---|---|
| Signaturstatus: | No Signature |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
914f93f9191327a9a454b6eb0cafdde1
SHA1:
ef154e3903f84845257d1eb5b60e7260a8ee7a68
SHA256:
2E2DE2A9175351644FC9DBE395F4F813FE8E7D57B8E85A168E614ED09A424A01
Dateigröße:
2.30 MB, 2297856 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Mehr anzeigen
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Windows PE Versionsinformationen
Windows PE Versionsinformationen
Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.| Name | Wert |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | Windows Runtime Broker |
| File Version | 10.0.19041.1 (WinBuild.160101.0800) |
| Internal Name | RuntimeBroker |
| Legal Copyright | © Microsoft Corporation. All rights reserved. |
| Original Filename | RuntimeBroker.exe |
| Product Name | Microsoft® Windows® Operating System |
| Product Version | 10.0.19041.1 |
Dateieigenschaften
- CryptUnprotectData
- x64
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 13,634 |
|---|---|
| Potenziell schädliche Blöcke: | 1,844 |
| Zugelassene Blocker: | 11,790 |
| Unbekannte Blöcke: | 0 |
Visuelle Karte
? – Unbekannter Block
x – Potenziell schädliche Sperre
Ähnliche Familien
Ähnliche Familien
Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.- Agent.NIS
- Coinminer.BDH
- Coinminer.OGD
- PSW.Agent.LDG
- PSW.Agent.TUI
Mehr anzeigen
- PSW.Agent.TUK
Geänderte Dateien
Geänderte Dateien
Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.| Datei | Attribute |
|---|---|
| c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe | Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144 |
| c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe | Synchronize,Write Attributes |
| c:\users\user\appdata\roaming\programs\svcruntimemtx\svcruntimemtx.exe | Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144 |
Änderungen der Registrierung
Änderungen der Registrierung
Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.| Schlüssel::Wert | Daten | API-Name |
|---|---|---|
| HKCU\software\microsoft\windows\currentversion\run::svcruntimemtx | "C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe" | RegNtPreCreateKey |
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| Syscall Use |
Mehr anzeigen
|
| Anti Debug |
|
| User Data Access |
|
| Process Shell Execute |
|
| Other Suspicious |
|
| Network Winhttp |
|
Shell-Befehlsausführung
Shell-Befehlsausführung
Dieser Abschnitt listet die Windows-Shell-Befehle auf, die von den in dieser Familie enthaltenen Malware-Beispielen ausgeführt werden. Windows-Shell-Befehle werden häufig von Malware für schädliche Zwecke missbraucht und können verwendet werden, um Sicherheitsberechtigungen zu erweitern, andere Malware herunterzuladen und auszuführen, Sicherheitslücken auszunutzen, Daten zu sammeln und zu exfiltrieren sowie schädliche Aktivitäten zu verschleiern.
schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /rl highest /f
|
schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /f
|
