Trojan.Agent.Gen.HEK

Trojan.Agent.Gen.HEK est le nom générique d'un cheval de Troie Windows. Notre système lui attribue une note de dangerosité de 8/10. Il a été détecté pour la première fois le 2 novembre 2026 et pour la dernière fois le 13 novembre 2026, avec seulement deux détections enregistrées durant cette période. Ce type de détection repose souvent sur le comportement et les caractéristiques des fichiers plutôt que sur un échantillon précis connu ; il peut donc concerner plusieurs fichiers apparentés.

Que fait la menace ?

D'après les informations recueillies, Trojan.Agent.Gen.HEK s'installe furtivement puis s'exécute silencieusement en arrière-plan, menant des actions malveillantes. Il peut donner aux attaquants un contrôle total sur un système infecté. Comme c'est souvent le cas pour les chevaux de Troie de ce type, cela peut inclure le téléchargement d'autres logiciels malveillants, la collecte d'informations et l'exécution de commandes envoyées par un opérateur distant. Les informations fournies ne détaillent pas les actions exactes de cet échantillon ; il s'agit donc de comportements typiques de cette catégorie, et non de faits avérés.

Le fichier analysé se présente comme un lanceur de jeu. Ses informations de version l'identifient comme « Summerblox Game Launcher » (nom du produit : « Sb Launcher », version 1.3.8.0, nom de fichier d'origine : Summerblox.exe). Il est signé avec un certificat auto-signé, ce qui signifie qu'aucune autorité de certification de confiance ne garantit l'éditeur. Les chevaux de Troie se font souvent passer pour des logiciels légitimes, et une signature auto-signée n'offre aucune garantie de sécurité.

Autres détails techniques issus du flux :

• Il s'agit d'un exécutable GUI natif Windows 32 bits, et non d'une application .NET, et il n'est pas empaqueté.
• Elle possède une entropie élevée.
• Il utilise les fonctions InternetOpen et InternetOpenUrl de Windows, ce qui lui permet de se connecter aux adresses web.
• Il a modifié un fichier nommé 1.3.8.exe dans un dossier « summerblox » situé dans les données d'application locales de l'utilisateur.
• Sur 277 blocs analysés, 72 ont été signalés comme potentiellement malveillants et 205 ont été mis sur liste blanche.

Comment cela se retrouve généralement sur les ordinateurs

Le flux indique que ce cheval de Troie se propage généralement de la manière suivante :

• Exploiter les vulnérabilités et les failles de sécurité du système.
• Téléchargements de logiciels depuis des sites web malveillants.
• Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.

Compte tenu du camouflage du lanceur dans cet exemple, un téléchargement de jeu contrefait ou modifié est une piste plausible. Le flux ne le confirme pas, il faut donc considérer cela comme un scénario classique.

Risques pour l’utilisateur

• Des attaquants distants peuvent prendre le contrôle total de l'ordinateur.
• Des données personnelles et des identifiants de compte peuvent être exposés, comme c'est généralement le cas pour les chevaux de Troie.
• Des logiciels malveillants supplémentaires peuvent être installés à votre insu.
• Le système infecté peut devenir instable ou être utilisé pour d'autres attaques.

Signes d’infection

Comme le cheval de Troie fonctionne silencieusement, il se peut qu'il n'y ait aucun symptôme évident. Les signes avant-coureurs possibles sont les suivants :

• Un lanceur de jeu dont vous ne vous souvenez pas avoir installé, surtout s'il est exécuté depuis un dossier de données d'application utilisateur.
• Activité réseau inattendue provenant d'un programme inconnu.
• Performances ralenties ou plantages inexpliqués.
• Nouveaux programmes, modifications de paramètres ou alertes de connexion que vous n'avez pas provoquées.
• Votre logiciel de sécurité signale une détection nommée Trojan.Agent.Gen.HEK.

Comment rester protégé

• Téléchargez les jeux et les lanceurs uniquement depuis la source officielle du développeur ou une boutique de confiance.

Si vous soupçonnez une infection, déconnectez l'ordinateur d'Internet, effectuez une analyse complète avec un logiciel anti-malware à jour et supprimez les éléments détectés. Ensuite, modifiez vos mots de passe importants depuis un appareil sain.

Bulletin d'analyse

Informations générales

Nom de famille :	Trojan.Agent.Gen.HEK
Statut de la signature :	Self Signed

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: c6842a4e6fa277a89a04dbf43558012d SHA1: 75e171b5c6c3636fa26aeabe6ff284bebabbada5 SHA256: E4F36632BA93C5E885481DBBB33590C7BBD710212AF2FA917316625F1E4F5A8D Taille du fichier: 896.81 KB 896808 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icônes de fichiers

i

Icônes de fichiers

Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.

Informations sur la version de Windows PE

i

Informations sur la version de Windows PE

Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.

Nom	Évaluer
Company Name	Summerblox Community
File Description	Summerblox Game Launcher
File Version	1.3.8.0
Internal Name	SummerbloxLauncher
Legal Copyright	Copyright (C) 2026 Summerblox
Original Filename	Summerblox.exe
Product Name	Sb Launcher
Product Version	1.3.8.0

Signatures numériques

i

Signatures numériques

Cette section répertorie les signatures numériques associées aux échantillons de cette famille. Lors de l'analyse et de la vérification des signatures numériques, il est essentiel de s'assurer que l'autorité racine de la signature est une entité reconnue et digne de confiance, et que le statut de la signature est valide. Les logiciels malveillants sont souvent signés avec des signatures numériques « auto-signées » non fiables (facilement créables par un auteur de logiciel malveillant sans vérification). Ils peuvent également être signés par des signatures légitimes dont le statut est invalide, ou par des signatures provenant d'autorités racines douteuses, avec des noms de « signataire » falsifiés ou trompeurs.

Signataire	Racine	Statut
SummerbloxDevelopment	SummerbloxDevelopment	Self Signed

Caractéristiques du fichier

• HighEntropy
• x86

Informations sur le bloc

i

Informations sur le bloc

Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.

Nombre total de blocs :	277
Blocages potentiellement malveillants :	72
Blocs autorisés :	205
Blocs inconnus :	0

Carte visuelle

0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Familles similaires

i

Familles similaires

Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.

• Trojan.Agent.Gen.HAT
• Trojan.Agent.Gen.HEK
• Trojan.Agent.Gen.HLY
• Trojan.Agent.Gen.HNJ

Fichiers modifiés

i

Fichiers modifiés

Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.

Déposer	Attributs
c:\users\user\appdata\local\summerblox\1.3.8.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

Modifications du registre

i

Modifications du registre

Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.

Clé::Valeur	Données	Nom de l'API
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n �8��" a jg�8 �� �v�Z ��T��������% ��Bx#�� $kF &� (�(X�(� )�`*J*9 *�" -!R1`1�1HO1��5,]=�@V�A��D� G�IH[uH�pI��K��N$ N�U_* _�zb"hc�we�vg�Xh�rj�bk`k�ql(�lR p* q�Xr�B tǤ	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n �8��" a jg�8 �� �v�Z ��T��������% ��Bx#�� $kF %� &� (�(X�(� )�`*J*9 *�" -!R1`1�1HO1��5,]=�@V�A��D� G�IH[uH�pI��K��N$ N�U_* _�za$ b"hc�we�vg�Xh�rj�bk`k�ql(�lR p* q�X	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n �8��" a jg�8 �� �v�Z ��T��������% ��Bx#�� $kF %� &� (�(X�(� )�`*J*9 *�" ,=�-!R1`1�1HO1��5,]=�@V�A��D� G�IH[uH�pI��K��N$ N�U_* _�za$ b"hc�we�vg�Xh�rj�bk`k�ql(�lR p*	RegNtPreCreateKey

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
Network Wininet	InternetOpen InternetOpenUrl