Trojan.Agent.NIS
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Niveau de menace: | 80 % (Haute) |
| Ordinateurs infectés : | 2 |
| Vu la première fois: | October 3, 2026 |
| Vu pour la dernière fois : | October 19, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.Agent.NIS est un programme malveillant de type cheval de Troie ciblant les ordinateurs sous Windows. Comme la plupart des menaces de cette catégorie, il est conçu pour s'infiltrer discrètement dans un système, dissimuler sa présence et exécuter des actions malveillantes en arrière-plan, à l'insu de l'utilisateur. Les chercheurs en sécurité le considèrent comme une infection à haut risque en raison de l'éventail important d'activités nuisibles qu'il peut mener une fois installé.
Table des matières
Que fait Trojan.Agent.NIS ?
Une fois actif sur une machine, Agent.NIS s'exécute silencieusement en arrière-plan, menant des actions malveillantes. Conçu pour se faire passer pour un composant Windows légitime, avec des détails de fichier imitant un processus système essentiel, il se fond dans le décor et passe inaperçu. Ce cheval de Troie peut accéder aux données utilisateur stockées, telles que le nom d'utilisateur et le nom de l'ordinateur, et interagir avec le presse-papiers Windows, exposant potentiellement le texte copié et des informations sensibles. Il établit également des connexions réseau, lui permettant de communiquer avec un serveur distant, de recevoir des instructions supplémentaires ou de télécharger d'autres menaces sur la machine infectée. Pour assurer sa persistance, Agent.NIS crée des tâches planifiées qui relancent automatiquement son exécutable à chaque ouverture de session, garantissant ainsi son fonctionnement même après un redémarrage du système. Dans de nombreux cas, ce type de cheval de Troie confère aux attaquants un contrôle étendu sur le système compromis, leur permettant de supprimer des fichiers, d'installer d'autres logiciels malveillants et de manipuler l'ordinateur sans l'autorisation de son propriétaire.
Comment cela se retrouve généralement sur les ordinateurs
Agent.NIS se propage généralement par des méthodes trompeuses ou opportunistes plutôt que par des attaques directes évidentes. Il s'installe souvent en exploitant des vulnérabilités et des failles de sécurité non corrigées des systèmes, tirant parti de logiciels obsolètes. Il peut également être inclus dans des logiciels téléchargés depuis des sites web non fiables ou malveillants, ou dissimulé dans des pièces jointes d'e-mails provenant d'expéditeurs inconnus ou non fiables. Ces pièces jointes ne sont pas toujours des fichiers manifestement dangereux ; elles peuvent se faire passer pour des fichiers exécutables, des fichiers multimédias, voire des images, incitant ainsi les utilisateurs à les ouvrir.
Risques pour l’utilisateur
Ce cheval de Troie confère aux attaquants un contrôle étendu sur un système infecté, ce qui engendre des risques importants. Parmi les conséquences potentielles figurent le vol d'informations personnelles, l'accès non autorisé à des fichiers, l'installation de logiciels malveillants supplémentaires tels que des voleurs de mots de passe ou des mineurs de cryptomonnaie, la perte ou la corruption de données et la dégradation des performances du système. Toute activité impliquant le presse-papiers ou les identifiants utilisateur enregistrés augmente le risque de capture et d'envoi de données sensibles, notamment des mots de passe ou des informations financières, à des attaquants.
Signes d’infection
Les infections de ce type sont conçues pour rester cachées, mais les utilisateurs peuvent remarquer des signes avant-coureurs tels que l'apparition inattendue de nouveaux fichiers dans les dossiers de démarrage, des tâches planifiées inconnues, une activité réseau inhabituelle, des performances système lentes, de nouveaux processus inexpliqués s'exécutant en arrière-plan ou des outils de sécurité bloqués ou désactivés.
Comment rester protégé
Les utilisateurs peuvent réduire les risques en maintenant leur système d'exploitation Windows et tous leurs logiciels installés à jour afin de corriger les failles de sécurité connues. Il est également conseillé d'éviter de télécharger des programmes depuis des sites web non officiels ou suspects, de ne jamais ouvrir les pièces jointes d'e-mails provenant d'expéditeurs inconnus et de faire preuve de prudence face à tout fichier inattendu, même s'il semble s'agir d'un document ou d'une image inoffensive. L'utilisation d'un logiciel de sécurité à jour, la réalisation d'analyses système régulières et la sauvegarde des fichiers importants contribuent à détecter et à limiter les dommages causés par des menaces telles que Trojan.Agent.NIS.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.Agent.NIS |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
914f93f9191327a9a454b6eb0cafdde1
SHA1:
ef154e3903f84845257d1eb5b60e7260a8ee7a68
SHA256:
2E2DE2A9175351644FC9DBE395F4F813FE8E7D57B8E85A168E614ED09A424A01
Taille du fichier:
2.30 MB 2297856 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Afficher plus
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Informations sur la version de Windows PE
Informations sur la version de Windows PE
Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.| Nom | Évaluer |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | Windows Runtime Broker |
| File Version | 10.0.19041.1 (WinBuild.160101.0800) |
| Internal Name | RuntimeBroker |
| Legal Copyright | © Microsoft Corporation. All rights reserved. |
| Original Filename | RuntimeBroker.exe |
| Product Name | Microsoft® Windows® Operating System |
| Product Version | 10.0.19041.1 |
Caractéristiques du fichier
- CryptUnprotectData
- x64
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 13,634 |
|---|---|
| Blocages potentiellement malveillants : | 1,844 |
| Blocs autorisés : | 11,790 |
| Blocs inconnus : | 0 |
Carte visuelle
? - Bloc inconnu
x - Blocage potentiellement malveillant
Familles similaires
Familles similaires
Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.- Agent.NIS
- Coinminer.BDH
- Coinminer.OGD
- PSW.Agent.LDG
- PSW.Agent.TUI
Afficher plus
- PSW.Agent.TUK
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe | Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144 |
| c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe | Synchronize,Write Attributes |
| c:\users\user\appdata\roaming\programs\svcruntimemtx\svcruntimemtx.exe | Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144 |
Modifications du registre
Modifications du registre
Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.| Clé::Valeur | Données | Nom de l'API |
|---|---|---|
| HKCU\software\microsoft\windows\currentversion\run::svcruntimemtx | "C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe" | RegNtPreCreateKey |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Syscall Use |
Afficher plus
|
| Anti Debug |
|
| User Data Access |
|
| Process Shell Execute |
|
| Other Suspicious |
|
| Network Winhttp |
|
Exécution de commandes Shell
Exécution de commandes Shell
Cette section répertorie les commandes de l'interpréteur de commandes Windows exécutées par les échantillons de cette famille. Ces commandes sont fréquemment utilisées par les logiciels malveillants à des fins malveillantes et peuvent servir à élever les privilèges d'administrateur, télécharger et exécuter d'autres logiciels malveillants, exploiter des vulnérabilités, collecter et exfiltrer des données, et dissimuler des activités malveillantes.
schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /rl highest /f
|
schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /f
|
