Trojan.Spy.Agent.AZ
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Beliebtheitsrang: | 22,740 |
| Bedrohungsstufe: | 80 % (Hoch) |
| Infizierte Computer: | 15 |
| Zum ersten Mal gesehen: | April 10, 2024 |
| Zuletzt gesehen: | August 26, 2026 |
| Betroffene Betriebssysteme: | Windows |
Trojan.Spy.Agent.AZ ist ein Windows-Trojaner mit einer Gefährdungsstufe von 8 von 10. Er gehört zur Kategorie der Spyware-Trojaner und ist somit darauf ausgelegt, unauffällig im Hintergrund zu laufen, ohne Aufmerksamkeit zu erregen und Angreifern Zugriff auf einen Computer zu ermöglichen. Er wurde erstmals am 10.04.2024 und zuletzt am 26.08.2026 entdeckt und ist daher weiterhin aktiv. Der Feed verzeichnet 15 Meldungen.
Inhaltsverzeichnis
Was die Bedrohung bewirkt
Dem Bericht zufolge installiert sich Spy.Agent.AZ unbemerkt und läuft unauffällig im Hintergrund. Nach der Installation kann es Angreifern die vollständige Kontrolle über das System ermöglichen. Es kann außerdem heimlich Dateien löschen und zusätzliche Software installieren. Der Bericht bricht an dieser Stelle ab, sodass nicht genau angegeben wird, was der Trojaner sonst noch installieren kann.
Die technischen Daten deuten auf ein natives 64-Bit-Windows-GUI-Programm hin, das nicht gepackt ist. Es nutzt mehrere Funktionen, die typisch für Spionage- und Fernsteuerungs-Malware sind:
- Netzwerkzugriff: Es nutzt Windows-Netzwerkfunktionen (WinHTTP und Winsock), die ein Trojaner wie dieser typischerweise benötigt, um mit einem Remote-Server zu kommunizieren.
- Verschlüsselung: Es nutzt eine Windows-Verschlüsselungsfunktion. Schadsoftware verwendet dies typischerweise, um ihre Daten oder Kommunikation zu verbergen.
- Speicherschreiben: Es ist für WriteProcessMemory markiert. Diese Funktion wird häufig mit dem Einschleusen von Code in andere laufende Prozesse in Verbindung gebracht, obwohl der Feed nicht bestätigt, dass dies im vorliegenden Beispiel der Fall ist.
Es wurde auch beobachtet, dass die Testdatei Dateien im Windows-Zertifikat-Downloadcache veränderte. Dies könnte lediglich eine Nebenwirkung der Windows-Signaturprüfung sein und sollte daher nicht als Beweis für eine konkrete böswillige Handlung gewertet werden.
Wie es üblicherweise auf Computer gelangt
Der Feed nennt drei Hauptrouten:
- Ausnutzen von Systemschwachstellen und Sicherheitslücken.
- Software-Downloads von schädlichen Webseiten.
- E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel .exe-, .pif-, .avi- und sogar .jpg-Dateien.
Die analysierte Datei ist getarnt. Ihre Versionsinformationen geben vor, von der Microsoft Corporation zu stammen, und die Datei wird als „setup.exe“ für ein Produkt namens „Notepad --“ mit der Bezeichnung „Notepad -- Setup Installer“ präsentiert. Sie trägt eine digitale Signatur, die an die „Greenengine OU“ ausgestellt wurde, deren Signaturstatus jedoch „Root Not Trusted“ lautet. Ein gefälschtes Installationsprogramm mit einem vertraut wirkenden Namen und einer nicht vertrauenswürdigen Signatur ist ein triftiger Grund, es nicht auszuführen.
Risiken für den Nutzer
Da dieser Trojaner einem Angreifer die vollständige Kontrolle über das System ermöglichen kann, ist das Schadenspotenzial groß. Typische Risiken von Spyware-Trojanern sind:
- Diebstahl von persönlichen Daten, Passwörtern und anderen sensiblen Informationen.
- Verlust oder Löschung von Dateien.
- Installation weiterer Schadsoftware.
- Die Nutzung des Computers durch eine andere Person ohne Ihr Wissen.
Der Feed bestätigt das Löschen der Datei, die mögliche vollständige Kontrolle und die zusätzlichen Installationen. Die anderen Elemente beschreiben, was typisch für diese Kategorie ist.
Anzeichen einer Infektion
Der Trojaner läuft unbemerkt, daher treten möglicherweise keine offensichtlichen Symptome auf. Typische Anzeichen einer solchen Infektion sind:
- Unerwartete Netzwerkaktivität von Programmen, die Sie nicht kennen.
- Dateien, die ohne Erklärung verschwinden.
- Neue Programme, die Sie nicht installiert haben.
- Langsamere Leistung oder unerklärliches Systemverhalten.
- Eine kürzlich ausgeführte "setup.exe" oder ein Installationsprogramm, das nicht das getan hat, was es versprochen hat.
Wie man sich schützt
- Halten Sie Windows und alle installierten Softwareprogramme auf dem neuesten Stand, da dieser Trojaner bekannte Sicherheitslücken ausnutzen kann.
- Laden Sie Software nur von der offiziellen Website des Herausgebers herunter und seien Sie misstrauisch gegenüber Installationsprogrammen, die wie bekannte Tools aussehen, aber aus unbekannten Quellen stammen.
- Öffnen Sie keine Anhänge von unbekannten Absendern, selbst wenn die Datei wie ein Bild oder Video aussieht. Ausführbare Dateien, die als Bilder oder Medien getarnt sind, sind eine gängige Masche.
- Überprüfen Sie die digitale Signatur einer Datei, bevor Sie sie ausführen. Eine Warnung wie „Nicht vertrauenswürdige Stammdatei“ ist ein Warnsignal.
- Verwenden Sie eine seriöse, aktuelle Sicherheitslösung und führen Sie einen vollständigen Systemscan durch, wenn Sie ein Problem vermuten.
- Erstellen Sie regelmäßig Sicherungskopien wichtiger Dateien auf einem Laufwerk oder einem Speichermedium, das nicht permanent mit Ihrem Computer verbunden ist.
Wenn Sie vermuten, dass Sie ein verdächtiges Installationsprogramm ausgeführt haben, trennen Sie den Computer vom Internet, führen Sie einen vollständigen Scan durch und entfernen Sie alle gefundenen Bedrohungen. Ändern Sie anschließend Ihre wichtigen Passwörter von einem anderen, sauberen Gerät aus.
Analysebericht
Allgemeine Information
| Nachname: | Trojan.Spy.Agent.AZ |
|---|---|
| Signaturstatus: | Root Not Trusted |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
95f79bb0f335e61e9141dd51bc91d395
SHA1:
9d4e073bc4d9f200e854f341032271cd92d08410
SHA256:
43ED1D8E0E162CD1B982B8BFA514A78BB0D7304CA773B31350966587E658A211
Dateigröße:
7.06 MB, 7059528 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have debug information
- File has exports table
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Dateisymbole
Dateisymbole
Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.
Windows PE Versionsinformationen
Windows PE Versionsinformationen
Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.| Name | Wert |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | setup.exe |
| File Version | 1.2.0.400 |
| Original Filename | setup.exe |
| Product Name | Notepad -- |
| Product Version | 1.2.0.400 |
| Program I D | Notepad -- Setup Installer |
Digitale Signaturen
Digitale Signaturen
Dieser Abschnitt listet digitale Signaturen auf, die den Samples dieser Familie zugeordnet sind. Bei der Analyse und Überprüfung digitaler Signaturen ist es wichtig sicherzustellen, dass die ausstellende Zertifizierungsstelle eine bekannte und vertrauenswürdige Instanz ist und der Status der Signatur gültig ist. Malware wird häufig mit nicht vertrauenswürdigen, selbstsignierten digitalen Signaturen signiert (die von Malware-Autoren ohne Überprüfung leicht erstellt werden können). Malware kann auch mit legitimen Signaturen signiert sein, die jedoch ungültig sind, sowie mit Signaturen fragwürdiger Zertifizierungsstellen, die gefälschte oder irreführende Namen als „Signierer“ verwenden.| Unterzeichner | Wurzel | Status |
|---|---|---|
| Greenengine OU | SSL.com EV Root Certification Authority RSA R2 | Root Not Trusted |
Dateieigenschaften
- Installer Version
- WriteProcessMemory
- x64
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 28,258 |
|---|---|
| Potenziell schädliche Blöcke: | 56 |
| Zugelassene Blocker: | 28,180 |
| Unbekannte Blöcke: | 22 |
Visuelle Karte
... Daten gekürzt? – Unbekannter Block
x – Potenziell schädliche Sperre
Ähnliche Familien
Ähnliche Familien
Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.- Delf.Spy.D
- Downloader.Delf.L
- Ousaban.J
- Rugmi.L
- SecureDuck.A
Show 1 more
- Spy.Agent.AZ
Geänderte Dateien
Geänderte Dateien
Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.| Datei | Attribute |
|---|---|
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Änderungen der Registrierung
Änderungen der Registrierung
Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.| Schlüssel::Wert | Daten | API-Name |
|---|---|---|
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | �RĿ���Ӂ� f�K�Q� 9dI��:��d S � 0��0" +��000 +�7< �0" +��000 +�7< �0g� 00 +�7< �0g� 00 +�7< � ^ S S L . c o m E V R o o t C e r t i f i c a t i o | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | h?X�R�!���2� S_ t:�R��2��J��Ժ�{|.Ě~ ��%� 0 + V=XΌ {PV�G5� b �`����4����%�s�Fi��b .{�l�$���⪆�ua��9�;/���mN�4�B\ L 0J++ +�7 | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | 䂁ᣅﱩⱆ疉ར碪 嚨출얜米ቺ惟Ⲍ咼S e 挰ℰଆ萪Ũɷą、〒ؐ⬊ĆĄ㞂ļ́ダء⨋梄蘁矶Ԃ܁ሰူਆثЁ舁㰷āȃ쀀ᬰԆ腧Č〃〒ؐ⬊ĆĄ㞂ļ́ী Ā 吀 ْ⬈Ćԅ̇⬈Ćԅ̇⬊ĆĄ㞂̊⬈Ćԅ̇⬈Ćԅ̇؆⬈Ćԅ̇؇⬈Ćԅ | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | \ ࠀ 縟୵歖訒룀埖⩭ꕰ 뜠㼬⼙⠆妢᤺ྦྷ鸆 泥閯洬ꫲឤ꜆䑺ς 瘈쯍＇췅믭벐蓢䘷b 塜赆䦎瑾船뗒က톶㝥콊ꞃꏔ뜭쑨蹀 4 Certum Trusted Network CA T | RegNtPreCreateKey |
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| Syscall Use |
Show 90 more
12 weitere Artikel werden oben nicht angezeigt. |
| Network Winsock2 |
|
| Encryption Used |
|
| Network Winhttp |
|