Agent Trojan.IUW
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Classement de popularité : | 23,696 |
| Niveau de menace: | 80 % (Haute) |
| Vu la première fois: | April 7, 2025 |
| Vu pour la dernière fois : | November 4, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.Agent.IUW est un cheval de Troie détecté sous Windows, classé 8/10 en termes de dangerosité. Ce type de cheval de Troie se fait passer pour un fichier inoffensif ou utile tout en exécutant des actions malveillantes en arrière-plan. Les données du flux de données indiquent que cette détection a été observée pour la première fois le 7 avril 2025 et plus récemment le 4 novembre 2026. Bien que peu de détections soient enregistrées, le comportement décrit ci-dessous justifie qu'on y prête attention.
Table des matières
Que fait la menace ?
D'après sa description, Agent.IUW s'installe furtivement et s'exécute silencieusement en arrière-plan. Une fois installé, il peut donner aux attaquants un contrôle total sur le système infecté. Il peut également supprimer des fichiers à leur insu et installer d'autres logiciels malveillants.
L'échantillon analysé est un exécutable natif Windows 64 bits avec interface graphique. Il n'est pas compressé, ne possède pas de signature numérique et contient une importante superposition (données supplémentaires ajoutées au fichier). Son en-tête ne contient aucune information de sécurité. Son comportement suggère plusieurs fonctionnalités :
- Communication réseau : ce logiciel utilise les fonctions Winsock et WinHTTP pour établir des connexions, envoyer et recevoir des données, et résoudre les noms d’hôtes. Ce mécanisme est typique des logiciels malveillants qui contactent un serveur distant pour recevoir des commandes ou envoyer des données.
- Profilage système : cette opération interroge le nom de l’ordinateur, les paramètres régionaux par défaut et les informations relatives à la carte réseau. Les logiciels malveillants collectent généralement ces données afin d’identifier la machine infectée.
- Manipulation de processus : cette opération appelle une fonction qui libère des sections de mémoire d’un processus. Elle est généralement associée à des tentatives d’infiltration de code malveillant dans d’autres processus.
- Modifications des privilèges : il ajuste les privilèges des jetons, ce que font souvent les logiciels malveillants pour obtenir un accès plus étendu au système.
- Chiffrement et appels système directs : ce logiciel malveillant utilise un fournisseur de chiffrement Windows et des appels système de bas niveau. Ces deux techniques sont typiques des menaces qui cherchent à protéger leurs données ou à échapper à la surveillance.
L'échantillon modifie également un fichier dans le dossier temporaire de l'utilisateur. Sur 102 blocs de code analysés, un seul a été signalé comme potentiellement malveillant, les autres étant autorisés. La partie nuisible est donc probablement minime et facile à négliger.
Comment cela se retrouve généralement sur les ordinateurs
Les données du flux répertorient ces itinéraires typiques :
- Exploiter les vulnérabilités et les failles de sécurité du système.
- Téléchargements de logiciels depuis des sites web malveillants.
- Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.
Les pièces jointes avec des extensions trompeuses sont une arnaque courante. Un fichier qui ressemble à une image ou à une vidéo peut en réalité être un programme.
Risques pour l’utilisateur
Si le cheval de Troie s'exécute, une autre personne pourrait prendre le contrôle de votre ordinateur. Les conséquences typiques de ce type d'accès incluent la perte ou la suppression de fichiers, l'installation de logiciels malveillants supplémentaires et la divulgation d'informations personnelles et de comptes. Étant donné que le programme communique via le réseau, une machine infectée pourrait également être utilisée par des attaquants à l'insu de son propriétaire.
Signes d’infection
Les chevaux de Troie de ce type sont conçus pour rester silencieux, il est donc possible qu'aucun symptôme évident ne se manifeste. Les données du flux RSS ne mentionnent pas de symptômes spécifiques. Les signes d'alerte typiques pour cette catégorie sont les suivants :
- Des programmes ou processus inconnus sont en cours d'exécution, en particulier à partir de dossiers temporaires.
- Activité réseau inattendue alors que vous n'utilisez pas Internet.
- Des fichiers qui disparaissent ou changent sans explication.
- Un système plus lent ou des paramètres qui changent tout seuls.
Comment rester protégé
- Maintenez Windows et tous les programmes installés à jour afin de corriger les vulnérabilités connues.
- Téléchargez les logiciels uniquement à partir des sources officielles du fournisseur.
- N’ouvrez pas les pièces jointes provenant d’expéditeurs inconnus. Méfiez-vous de toute image ou vidéo qui demande à être exécutée, ou qui possède une double extension.
- Afficher les extensions de fichiers dans l'Explorateur de fichiers afin de repérer plus facilement les fichiers exécutables dissimulés.
- Utilisez un programme de sécurité réputé et à jour, doté d'une protection en temps réel, et effectuez régulièrement des analyses complètes du système.
- Sauvegardez vos fichiers importants sur un support qui n'est pas connecté en permanence à votre ordinateur.
Si vous soupçonnez une infection, déconnectez l'ordinateur d'Internet, effectuez une analyse complète avec un logiciel de sécurité à jour et supprimez tout élément détecté. Ensuite, changez vos mots de passe depuis un appareil sain. Si le système présente toujours des anomalies, envisagez de faire appel à un professionnel ou de réinstaller Windows.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.Agent.IUW |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
788b9ff20bb5d2c85db1438cde21dc59
SHA1:
f57a376a2d0b9eefef1b156bf37c1d4326344056
SHA256:
521211BE268938C8F9E7E705386D2F20ADC6584515D57254D225CDD825B33519
Taille du fichier:
629.14 KB 629145 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Caractéristiques du fichier
- big overlay
- dll
- x64
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 102 |
|---|---|
| Blocages potentiellement malveillants : | 1 |
| Blocs autorisés : | 101 |
| Blocs inconnus : | 0 |
Carte visuelle
? - Bloc inconnu
x - Blocage potentiellement malveillant
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| c:\users\user\appdata\local\temp\fontdrvhost.exe | Generic Write,Read Attributes |
Modifications du registre
Modifications du registre
Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.| Clé::Valeur | Données | Nom de l'API |
|---|---|---|
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | �n * �v �Z����Bx #��(�1`1�1HO @V� A��H[uH�pN$_�zb"hk`k�ql(�{b��P� ��!���� � ��3�� ��� �������.�m� Ù� �gi�V ����$�8წ���l� �&M A�~ �=�SB1_ B�� T�Vw���%�������� �AE��D��&�� | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey |
Show 5 more
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Syscall Use |
Show 90 more
9 articles supplémentaires ne sont pas affichés ci-dessus. |
| Process Manipulation Evasion |
|
| User Data Access |
|
| Encryption Used |
|
| Other Suspicious |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|