Trojan.Agent.Gen.DFO
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Classement de popularité : | 12,359 |
| Niveau de menace: | 80 % (Haute) |
| Vu la première fois: | June 24, 2026 |
| Vu pour la dernière fois : | November 11, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.Agent.Gen.DFO est le nom générique d'un cheval de Troie ciblant les ordinateurs Windows. Les chercheurs en sécurité lui attribuent un niveau de danger de 8 sur 10. Les données indiquent qu'il a été détecté pour la première fois le 24 juin 2026 et pour la dernière fois le 11 novembre 2026, avec 9 détections enregistrées. Un cheval de Troie se dissimule sous l'apparence d'un élément inoffensif ou utile ; celui-ci a été observé se faisant passer pour un lanceur de jeu.
Table des matières
Que fait la menace ?
D'après les informations recueillies, le cheval de Troie Trojan.Agent.Gen.DFO s'installe furtivement puis s'exécute silencieusement en arrière-plan, menant des actions malveillantes. Il peut ainsi donner aux attaquants un contrôle total sur un système infecté.
L'échantillon analysé est un programme natif Windows 64 bits avec interface graphique, non compressé. Ses informations de version indiquent qu'il s'agit de « Stellar Horizons Launcher » d'« Orbitgate Studio », avec le nom de fichier original Launcher.exe. Il est signé avec un certificat auto-signé, ce qui signifie qu'aucune autorité de confiance ne le garantit. Le flux ne fournissant qu'une description partielle, cet article ne prétend pas connaître toutes les actions effectuées par le cheval de Troie.
Les caractéristiques techniques observées dans l'échantillon comprennent :
- Des fonctions telles que WriteProcessMemory, VirtualQueryEx et NtReadVirtualMemory, qui sont généralement utilisées pour lire ou écrire dans d'autres processus en cours d'exécution.
- CryptUnprotectData est généralement utilisé pour déchiffrer des données protégées par Windows, comme les identifiants enregistrés. Le flux ne précise pas à quelles données cet échantillon accède.
- Les fonctions WinHTTP indiquent que le fichier est capable d'effectuer des requêtes web et de communiquer sur le réseau.
- Une vérification IsDebuggerPresent, une technique anti-analyse typique.
- Une entropie élevée et un composant imgui suggèrent une interface graphique similaire à celles que l'on trouve dans les outils de jeu.
L'exemple modifiait un fichier de paramètres launcher.ini dans un dossier de données d'application Roaming, ainsi que des fichiers de transactions du registre utilisateur Windows.
Le flux répertorie des familles similaires telles que Gametool.DBA, PUP.GameHack.Gen.BD, Trojan.Downloader.Gen.JF et Trojan.Kryptik.Gen.IOT. Cela suggère un lien avec des outils liés aux jeux et des menaces de type téléchargeur, mais le flux ne précise pas le degré de parenté.
Comment cela se retrouve généralement sur les ordinateurs
Le flux indique que ce cheval de Troie arrive le plus souvent par :
- Exploiter les vulnérabilités et les failles de sécurité du système.
- Téléchargements de logiciels depuis des sites web malveillants.
- Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.
Étant donné que le lanceur est dissimulé, il est fréquent que ce type de menace soit associé à de faux lanceurs de jeux, des logiciels de triche ou des logiciels piratés. Le flux ne confirme pas qu'il s'agisse d'un mode de distribution spécifique.
Risques pour l’utilisateur
Avec un niveau de danger de 8, le principal risque est la perte de contrôle de votre ordinateur. Les chevaux de Troie de ce type permettent généralement le vol de mots de passe enregistrés et de données personnelles, l'installation de logiciels malveillants supplémentaires et l'accès à distance par des pirates. Le bulletin d'information prévient spécifiquement que les pirates peuvent obtenir un contrôle total du système. Les comptes de messagerie, bancaires, de jeux et de réseaux sociaux pourraient être menacés si les identifiants sont volés.
Signes d’infection
Comme le cheval de Troie fonctionne silencieusement, il se peut qu'il n'y ait aucun symptôme évident. Les signes avant-coureurs possibles sont les suivants :
- Un lanceur ou un outil de jeu dont vous ne vous souvenez pas avoir installé, ou qui ne correspond pas à son éditeur revendiqué.
- Activité réseau inexpliquée, ou programmes se connectant à Internet sans raison apparente.
- Performances plus lentes ou processus d'arrière-plan inconnus.
Comment rester protégé
- Maintenez Windows et tous vos logiciels à jour afin de corriger les vulnérabilités connues.
- Téléchargez les logiciels uniquement depuis la source officielle de l'éditeur et évitez les cracks, les cheats et les lanceurs non officiels.
- N’ouvrez pas les pièces jointes provenant d’expéditeurs inconnus, en particulier les fichiers .exe ou .pif, ou les fichiers multimédias qui se comportent de manière inattendue.
- Soyez prudent avec les programmes qui ne possèdent pas de signature numérique valide ou dont le signataire vous est inconnu.
- Effectuez régulièrement des analyses complètes du système avec un outil de sécurité à jour et réputé.
- Utilisez des mots de passe uniques et la vérification en deux étapes, afin qu'un mot de passe volé ne permette pas de déverrouiller plusieurs comptes.
En cas de suspicion d'infection, déconnectez-vous d'Internet, effectuez une analyse complète et supprimez tout élément détecté. Changez ensuite vos mots de passe depuis un appareil sain. Pensez à vérifier vos comptes pour détecter toute activité suspecte.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.Agent.Gen.DFO |
|---|---|
| Statut de la signature : | Self Signed |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
e8315cbadf8ff1eccf1a6f739547ff07
SHA1:
34f32f1e2107fb1a91d55aebd5023eedb85849b1
SHA256:
193C6DAF2755473EA6524EC1724B13271A29F30024EE2260DF2C1AF13286034E
Taille du fichier:
974.34 KB 974336 octets
|
|
MD5:
dc2615eab7c926afd4a2cbaa6ee71d1e
SHA1:
399b4a210b7ed02fff15308cccc43522ab31b065
SHA256:
3186A594BC23CBD818C010A1295215842D53C3D93387AF7A7477497080AD7F07
Taille du fichier:
911.87 KB 911872 octets
|
|
MD5:
e811822fd9f8450249ac0ccd41f33b6e
SHA1:
7c06411bd76c3e244cb3881cea32bcf4d67ae45e
SHA256:
85A9C3254A5AF7A6544A2CC02436BC407A3ACC270C182E0EE83EBBB655CFBA61
Taille du fichier:
979.46 KB 979456 octets
|
|
MD5:
b0486e21a342208295d3af65c7f0d462
SHA1:
871523b5f89fd3cdf68ed0fa3a3e8aac8f73a276
SHA256:
54AEC7CA4D5B9CCA83DE7A5F1B9A71661D160561E7F6962150A5E03B97B9CE63
Taille du fichier:
1.01 MB 1010688 octets
|
|
MD5:
98288a90e63dbf577fd29a2d6f96af6e
SHA1:
d67420e191a76bfc2ea50722056735895e598abb
SHA256:
54E61AC49B0D6E8541A9403FCB7FC704B240D5F976B8634980BFE54DA4599631
Taille du fichier:
1.56 MB 1557504 octets
|
Show 3 more
|
MD5:
33e32eac2b63c8d25e41a1de4cd7d7ae
SHA1:
6686df8f8f6c6d8b47cecb685c1005167480e527
SHA256:
8F5576F9C2012B98B99CA878A3D8A2BAE09F1B56295CB19BDEAC45F29E3BCA0C
Taille du fichier:
3.33 MB 3325952 octets
|
|
MD5:
49efee3ba437d8e73d746417e3f1431f
SHA1:
c101fe17bec13e45bba4037a0e91033c0d311afa
SHA256:
269D2B31F345A50D269FFE709D2A5033E01F76A8B9EED70CC61E0DF7DD31674F
Taille du fichier:
1.67 MB 1671168 octets
|
|
MD5:
6718bc25df99fa0248a70ecf33d85f47
SHA1:
cf8567ac6d78a7d0d24a5841a3e5eae55f9e143a
SHA256:
DEA66CCB1584ABD49FAEB427EC256722D771D2E96AAFCF14A201388FFD600C53
Taille du fichier:
2.32 MB 2316112 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icônes de fichiers
Icônes de fichiers
Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.
Informations sur la version de Windows PE
Informations sur la version de Windows PE
Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.| Nom | Évaluer |
|---|---|
| Company Name | Orbitgate Studio |
| File Description | Stellar Horizons Launcher |
| File Version | 3.3 |
| Internal Name | Launcher |
| Legal Copyright | (c) 2026 Orbitgate Studio |
| Original Filename | Launcher.exe |
| Product Name | Stellar Horizons Launcher |
| Product Version | 3.3 |
Signatures numériques
Signatures numériques
Cette section répertorie les signatures numériques associées aux échantillons de cette famille. Lors de l'analyse et de la vérification des signatures numériques, il est essentiel de s'assurer que l'autorité racine de la signature est une entité reconnue et digne de confiance, et que le statut de la signature est valide. Les logiciels malveillants sont souvent signés avec des signatures numériques « auto-signées » non fiables (facilement créables par un auteur de logiciel malveillant sans vérification). Ils peuvent également être signés par des signatures légitimes dont le statut est invalide, ou par des signatures provenant d'autorités racines douteuses, avec des noms de « signataire » falsifiés ou trompeurs.| Signataire | Racine | Statut |
|---|---|---|
| World Works | World Works | Self Signed |
Caractéristiques du fichier
- CryptUnprotectData
- GetConsoleWindow
- HighEntropy
- imgui
- No Version Info
- VirtualQueryEx
- WriteProcessMemory
- x64
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 6,527 |
|---|---|
| Blocages potentiellement malveillants : | 1,076 |
| Blocs autorisés : | 4,594 |
| Blocs inconnus : | 857 |
Carte visuelle
... Données tronquées? - Bloc inconnu
x - Blocage potentiellement malveillant
Familles similaires
Familles similaires
Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.- Gametool.DBA
- Kryptik.BEZD
- PUP.GameHack.Gen.BD
- Trojan.Downloader.Gen.JF
- Trojan.Kryptik.Gen.IOT
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\roaming\stellarhorizons\launcher.ini | Generic Write,Read Attributes |
Modifications du registre
Modifications du registre
Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.| Clé::Valeur | Données | Nom de l'API |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 犕㜿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ⡔軱㥿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 俳䃚㴏ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ꝟԋ䍾ǝ | RegNtPreCreateKey |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Syscall Use |
Show 90 more
5 articles supplémentaires ne sont pas affichés ci-dessus. |
| Anti Debug |
|
| User Data Access |
|
| Network Winhttp |
|