Agent Trojan.GDD

Trojan.Agent.GDD est un cheval de Troie Windows dont le niveau de dangerosité est évalué à 8 sur 10. Comme la plupart des chevaux de Troie, il se fait passer pour inoffensif ou se dissimule, puis s'exécute discrètement en arrière-plan tout en commettant des actes malveillants. Cet article explique ce que l'on sait de ce cheval de Troie et comment réduire les risques.

Que fait Trojan.Agent.GDD ?

D'après la description du flux, Agent.GDD s'exécute discrètement en arrière-plan et effectue des actions malveillantes. Après son installation, il peut donner aux attaquants un contrôle total sur le système infecté. Il peut également supprimer des fichiers à leur insu et installer d'autres logiciels malveillants. La description étant incomplète, son comportement exact ne peut être confirmé.

Les données techniques de l'échantillon analysé indiquent qu'il s'agit d'un exécutable Windows natif 32 bits (x86), et non d'une application .NET. C'est une application avec interface graphique, qui peut donc s'exécuter sans afficher de fenêtre de console. Le fichier n'est pas compressé, mais présente une entropie élevée, aucune information de version, aucune signature numérique et aucune information de débogage. L'absence d'informations de version et de signature est fréquente dans les fichiers malveillants, bien que cela ne constitue pas en soi une preuve de malice.

L'analyse a porté sur 501 blocs. Parmi ceux-ci, 125 ont été signalés comme potentiellement malveillants, 376 ont été autorisés et aucun n'était d'origine inconnue. Une modification de fichier a été enregistrée dans le dossier Téléchargements de l'utilisateur, et la seule catégorie d'API relevée concernait l'accès aux données utilisateur. Ce constat est partiel, et le flux ne contient qu'une seule détection ; il ne saurait donc constituer un profil complet de la menace.

Comment cela se retrouve généralement sur les ordinateurs

Le flux indique qu'Agent.GDD s'installe furtivement, le plus souvent par :

• Exploiter les vulnérabilités et les failles de sécurité du système ;
• téléchargements de logiciels depuis des sites web malveillants ;
• Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.

Les fichiers à double sens ou aux extensions trompeuses sont une ruse courante. Un fichier qui ressemble à une image ou à une vidéo peut en réalité être un programme exécutable.

Risques pour l’utilisateur

Si un système est infecté, les risques décrits dans le flux incluent :

• prise de contrôle à distance de votre ordinateur par des attaquants ;
• suppression de vos fichiers ;
• installation de logiciels malveillants supplémentaires.

Les chevaux de Troie de ce type entraînent généralement le vol de données personnelles, le vol d'identifiants de compte ou l'utilisation d'un ordinateur à des fins criminelles. Le flux ne confirme pas ces conséquences spécifiques pour Agent.GDD ; il convient donc de les considérer comme des risques typiques de cette catégorie plutôt que comme un comportement avéré.

Signes d’infection

Le cheval de Troie étant conçu pour être silencieux, il est possible qu'aucun symptôme évident ne soit présent. Le guide ne mentionne pas de symptômes spécifiques, mais les signes typiques d'une infection par un cheval de Troie incluent :

• ralentissements inattendus ou utilisation élevée des ressources ;
• Des fichiers disparaissent ou changent sans explication ;
• apparition de programmes ou de processus inconnus ;
• les paramètres changent d'eux-mêmes ;
• Activité réseau inhabituelle ou outils de sécurité désactivés.

La présence d'un fichier inconnu dans votre dossier Téléchargements, que vous n'avez pas enregistré sciemment, peut également être un signe d'alerte.

Comment rester protégé

• Maintenez Windows et tous les programmes installés à jour, car ce cheval de Troie exploiterait les vulnérabilités du système.
• Téléchargez les logiciels uniquement à partir de sources officielles et fiables et évitez les sites web inconnus.

Si vous soupçonnez une infection, déconnectez l'ordinateur d'Internet, effectuez une analyse complète et modifiez vos mots de passe importants depuis un appareil sain. Si l'ordinateur contient des données sensibles, il est conseillé de faire appel à un professionnel pour garantir un nettoyage complet du système.

Bulletin d'analyse

Informations générales

Nom de famille :	Trojan.Agent.GDD
Statut de la signature :	No Signature

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: e2cc65db170c25641bcff50cec580c9d SHA1: 6d7b7bc0437d90c355237f76e6088cb7df593eeb SHA256: D110D6F6E54425DA013D36196E438AB9CE72FC9DD8D95FA76D9B2DBB826484BE Taille du fichier: 442.37 KB 442368 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icônes de fichiers

i

Icônes de fichiers

Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.

Caractéristiques du fichier

• HighEntropy
• No Version Info
• x86

Informations sur le bloc

i

Informations sur le bloc

Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.

Nombre total de blocs :	501
Blocages potentiellement malveillants :	125
Blocs autorisés :	376
Blocs inconnus :	0

Carte visuelle

0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Fichiers modifiés

i

Fichiers modifiés

Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.

Déposer	Attributs
c:\users\user\downloads\matrix.uc	Generic Read,Write Data,Write Attributes,Write extended,Append data

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
User Data Access	GetUserObjectInformation