Trojan.Zegost.AH
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Beliebtheitsrang: | 21,225 |
| Bedrohungsstufe: | 80 % (Hoch) |
| Infizierte Computer: | 32 |
| Zum ersten Mal gesehen: | May 9, 2021 |
| Zuletzt gesehen: | September 4, 2026 |
| Betroffene Betriebssysteme: | Windows |
Trojan.Zegost.AH ist ein gefährlicher Backdoor-Trojaner, der Windows-Computer angreift. Diese Malware, die als hochgefährlich eingestuft ist, ist darauf ausgelegt, unbemerkt in ein System einzudringen, Angreifern die Fernsteuerung des infizierten Rechners zu ermöglichen und im Hintergrund ohne Wissen des Benutzers zu agieren. Sie wurde seit Mitte 2021 beobachtet und taucht weiterhin auf Systemen auf, weshalb sie eine anhaltende Bedrohung darstellt, die Benutzer ernst nehmen sollten.
Inhaltsverzeichnis
Was Trojan.Zegost.AH tut
Sobald Trojan.Zegost.AH auf einem System aktiv ist, läuft er unbemerkt und tarnt sich häufig als legitime Systemkomponente. In untersuchten Fällen verwendet die Schadsoftware Dateinamen und Versionsinformationen, die echten Microsoft Windows-Dateien ähneln. Dadurch fällt sie bei einer flüchtigen Überprüfung nicht auf. Diese Tarntechnik ist ein typisches Merkmal von Trojanern dieser Familie, da sie die manuelle Erkennung für den durchschnittlichen Benutzer erheblich erschwert.
Hinter dieser Fassade verbirgt sich eine Reihe schädlicher Funktionen. Der Trojaner ermöglicht es Angreifern, aus der Ferne umfassende Kontrolle über den infizierten Computer zu erlangen und potenziell Befehle auszuführen, laufende Prozesse zu manipulieren und direkt auf den Systemspeicher zuzugreifen. Es wurde beobachtet, dass der Trojaner Techniken zur Prozessmanipulation und -umgehung einsetzt, wie beispielsweise das Entfernen von Speicherbereichen und die Verwendung von Anti-Debugging-Prüfungen. Diese Methoden nutzen Malware-Autoren, um der Analyse und Erkennung durch Sicherheitstools zu entgehen. Der Trojaner kann außerdem unbemerkt Dateien löschen, zusätzliche Schadsoftware installieren und andere schädliche Aktionen durchführen, ohne den Benutzer zu warnen.
Wie es üblicherweise auf Computer gelangt
Trojan.Zegost.AH verbreitet sich üblicherweise durch Ausnutzung von Systemschwachstellen und Sicherheitslücken. Er wird außerdem über Schadsoftware-Downloads von unseriösen Websites und über E-Mail-Anhänge unbekannter oder nicht verifizierter Absender verbreitet. Diese Anhänge können in verschiedenen getarnten Formaten auftreten, darunter ausführbare Dateien und andere Dateitypen, die Benutzer zum Öffnen verleiten sollen. Wie für diese Bedrohungskategorie typisch, setzt der Trojaner darauf, den Benutzer zu täuschen oder ungepatchte Software auszunutzen, anstatt seine Anwesenheit offenzulegen.
Risiken für den Nutzer
Die Folgen einer Zegost.AH-Infektion können gravierend sein. Da der Trojaner Angreifern Fernzugriff ermöglicht, besteht für die Opfer die Gefahr, dass persönliche Daten, Anmeldeinformationen, Finanzdaten und andere sensible Dateien gestohlen oder offengelegt werden. Die Fähigkeit der Schadsoftware, zusätzliche Bedrohungen zu installieren, verschärft die Gefahr zusätzlich und kann eine einzelne Infektion zu einem deutlich größeren Sicherheitsvorfall ausweiten. Aufgrund seiner schwer erkennbaren Funktionsweise kann ein infiziertes System über einen längeren Zeitraum kompromittiert bleiben, bevor Probleme erkennbar werden.
Anzeichen einer Infektion
Da Trojaner wie Zegost.AH so programmiert sind, dass sie unbemerkt agieren, sind sichtbare Symptome oft minimal oder fehlen ganz. Benutzer bemerken jedoch möglicherweise ungewöhnliche Systemverlangsamungen, unerwartete Netzwerkaktivitäten, unbekannte Hintergrundprozesse oder unerklärliche Änderungen an Dateien und Einstellungen. Das deutlichste Anzeichen einer Infektion ist oft, wenn Sicherheitssoftware verdächtige Dateien markiert oder unautorisierte Fernverbindungen erkennt.
Wie Sie sich schützen können
Um das Infektionsrisiko zu minimieren, sollten Sie Ihr Windows-Betriebssystem und alle installierten Programme stets auf dem neuesten Stand halten. Dadurch werden Sicherheitslücken geschlossen, die Angreifer häufig ausnutzen. Laden Sie keine Programme von unbekannten Websites herunter und öffnen Sie niemals E-Mail-Anhänge von unbekannten oder nicht verifizierten Absendern. Sichern Sie regelmäßig wichtige Dateien, verwenden Sie sichere und einzigartige Passwörter und nutzen Sie eine zuverlässige, aktuelle Sicherheitssoftware, die versteckte Bedrohungen erkennt und entfernt. Vorsicht beim Herunterladen und Öffnen von Anhängen ist nach wie vor eine der effektivsten Methoden, um Trojaner wie Zegost.AH zu vermeiden.
Analysebericht
Allgemeine Information
| Nachname: | Trojan.Zegost.AH |
|---|---|
| Signaturstatus: | No Signature |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
8b2beb749a6e2afd687832c617cdb948
SHA1:
2c5d7e0a4598b5a0c3929153c135dfd8a36f9b71
SHA256:
26F68DB402B9FD4810B422ADC309C4C3F70D24B05CA69D7B902C7BDCE47E707C
Dateigröße:
148.65 KB, 148647 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Windows PE Versionsinformationen
Windows PE Versionsinformationen
Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.| Name | Wert |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | Dynamic Interface Manager |
| File Version | 10.0.17763.1 |
| Internal Name | MPRLOG.DLL |
| Legal Copyright | ?Microsoft Corporation. All rights reserved. |
| Original Filename | MPRLOG.DLL |
| Product Name | Microsoft? Windows? Operating System |
| Product Version | 10.0.17763.1 |
Dateieigenschaften
- dll
- WriteProcessMemory
- x86
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 450 |
|---|---|
| Potenziell schädliche Blöcke: | 40 |
| Zugelassene Blocker: | 407 |
| Unbekannte Blöcke: | 3 |
Visuelle Karte
? – Unbekannter Block
x – Potenziell schädliche Sperre
Ähnliche Familien
Ähnliche Familien
Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.- Stealer.FDG
Geänderte Dateien
Geänderte Dateien
Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.| Datei | Attribute |
|---|---|
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Änderungen der Registrierung
Änderungen der Registrierung
Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.| Schlüssel::Wert | Daten | API-Name |
|---|---|---|
| HKLM\system\controlset001\services\aspnet_staters::connectgroup | Default | RegNtPreCreateKey |
| HKLM\system\controlset001\services\aspnet_staters::marktime | 2026-09-04 17:29 | RegNtPreCreateKey |
| HKLM\system\controlset001\services\aspnet_staters::work | 1 | RegNtPreCreateKey |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey |
Show 4 more
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\content::cacheprefix | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\cookies::cacheprefix | Cookie: | RegNtPreCreateKey |
| HKCU\software\microsoft\windows\currentversion\internet settings\5.0\cache\history::cacheprefix | Visited: | RegNtPreCreateKey |
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| Syscall Use |
Show 18 more
|
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Anti Debug |
|
Shell-Befehlsausführung
Shell-Befehlsausführung
Dieser Abschnitt listet die Windows-Shell-Befehle auf, die von den in dieser Familie enthaltenen Malware-Beispielen ausgeführt werden. Windows-Shell-Befehle werden häufig von Malware für schädliche Zwecke missbraucht und können verwendet werden, um Sicherheitsberechtigungen zu erweitern, andere Malware herunterzuladen und auszuführen, Sicherheitslücken auszunutzen, Daten zu sammeln und zu exfiltrieren sowie schädliche Aktivitäten zu verschleiern.
C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\2c5d7e0a4598b5a0c3929153c135dfd8a36f9b71_0000148647.,LiQMAxHB
|