Trojan.Downloader.Agent.NAU
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Classement de popularité : | 15,408 |
| Niveau de menace: | 80 % (Haute) |
| Ordinateurs infectés : | 18 |
| Vu la première fois: | February 8, 2024 |
| Vu pour la dernière fois : | October 9, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.Downloader.Agent.NAU est un programme malveillant Windows classé comme cheval de Troie téléchargeur. Son objectif principal n'est pas de causer de dommages visibles directement, mais d'ouvrir discrètement la porte à d'autres logiciels malveillants en téléchargeant et en installant des composants malveillants supplémentaires sur un ordinateur infecté. Observée pour la première fois en février 2024 et toujours détectée, cette menace présente un niveau de dangerosité élevé en raison de sa capacité à servir de tremplin à des infections bien plus graves.
Table des matières
Que fait Trojan.Downloader.Agent.NAU ?
Une fois actif sur un système, Trojan.Downloader.Agent.NAU s'exécute silencieusement en arrière-plan, dissimulant sa présence à l'utilisateur. Il est conçu pour s'installer furtivement puis exécuter des fonctions malveillantes sans laisser de traces. L'analyse de son comportement révèle qu'il peut lancer Windows PowerShell via des fenêtres cachées et en contournant les règles d'exécution, ce qui lui permet d'exécuter des scripts et des commandes sans déclencher d'alertes de sécurité. Il interagit également avec les processus système, vérifie la présence d'outils de débogage et collecte des informations sur l'utilisateur connecté, telles que son nom d'utilisateur et ses paramètres régionaux. Ces capacités suggèrent que ce cheval de Troie est conçu pour opérer discrètement tout en préparant le système à une compromission plus poussée, comme le téléchargement de charges utiles supplémentaires, la prise de contrôle par des attaquants distants ou la collecte de données sensibles.
Comment cela se retrouve généralement sur les ordinateurs
Le cheval de Troie Trojan.Downloader.Agent.NAU se propage généralement en exploitant les vulnérabilités et les failles de sécurité des systèmes. Il est souvent inclus dans des logiciels téléchargés depuis des sites web non fiables ou malveillants, ou distribué par le biais de pièces jointes à des courriels provenant d'expéditeurs inconnus ou suspects. Ces pièces jointes peuvent se faire passer pour des fichiers ordinaires, tels que des fichiers exécutables, des fichiers multimédias ou même des images, incitant ainsi les utilisateurs à les ouvrir. Comme c'est souvent le cas pour les chevaux de Troie de type « téléchargeur », l'infection se produit généralement sans aucun signe avant-coureur, car le fichier malveillant peut paraître inoffensif au premier abord.
Risques pour l’utilisateur
Ce cheval de Troie étant principalement un téléchargeur, son principal risque réside dans les logiciels malveillants qu'il peut installer ultérieurement sur le système. Il peut permettre aux pirates d'obtenir un contrôle étendu sur l'ordinateur infecté, ce qui peut mener à l'installation de logiciels espions, de rançongiciels, de voleurs de mots de passe ou d'autres programmes dangereux. Son utilisation de commandes PowerShell cachées et d'appels système nécessitant des privilèges élevés indique qu'il peut tenter d'élever ses privilèges et d'effectuer des actions difficiles à détecter pour un utilisateur lambda. Sans intervention, cela peut entraîner le vol d'identifiants, des pertes financières, la corruption de fichiers ou une grave compromission du système.
Signes d’infection
Le cheval de Troie Trojan.Downloader.Agent.NAU étant conçu pour fonctionner discrètement, les symptômes apparents peuvent être minimes. Toutefois, il convient de surveiller tout ralentissement inexpliqué, tout processus d'arrière-plan inhabituel, toute apparition brève et inattendue de fenêtres PowerShell, tout pic d'activité réseau ou l'apparition de fichiers nouveaux et inconnus dans les dossiers temporaires. La détection de scripts suspects ou de ce nom de cheval de Troie spécifique par un logiciel de sécurité constitue souvent l'indicateur le plus clair d'une infection.
Comment rester protégé
Pour réduire les risques d'infection, évitez de télécharger des logiciels depuis des sites web non officiels ou non vérifiés, et n'ouvrez jamais les pièces jointes provenant d'expéditeurs inconnus ou inattendus, en particulier les fichiers exécutables ou ceux dont l'extension est inhabituelle. Maintenez votre système d'exploitation Windows et tous vos logiciels installés à jour, car ce cheval de Troie exploite des failles de sécurité non corrigées. Sauvegardez régulièrement vos fichiers importants, soyez prudent lorsque vous activez des macros ou exécutez des scripts, et utilisez une solution de sécurité fiable et à jour pour détecter et bloquer les menaces telles que Trojan.Downloader.Agent.NAU avant qu'elles ne causent des dommages.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.Downloader.Agent.NAU |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
48f1316432f4b9714542cf733d936ed8
SHA1:
34917dad9f0977a1d3e8d7228b60246615bc28dd
SHA256:
BA2FE025F1D1EEE75D547CE5BE1340A09FFEB83F35883D367B4095FFCA60C257
Taille du fichier:
135.17 KB 135168 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have resources
- File doesn't have security information
- File has exports table
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Caractéristiques du fichier
- dll
- x64
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 478 |
|---|---|
| Blocages potentiellement malveillants : | 16 |
| Blocs autorisés : | 461 |
| Blocs inconnus : | 1 |
Carte visuelle
? - Bloc inconnu
x - Blocage potentiellement malveillant
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134330117538528711.4124.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_5ho5pj4z.44r.psm1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_oih24goz.lbn.ps1 | Generic Write,Read Attributes |
Modifications du registre
Modifications du registre
Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.| Clé::Valeur | Données | Nom de l'API |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | 멁㲇ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᏽ멉㲇ǝ | RegNtPreCreateKey |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Syscall Use |
Show 90 more
26 articles supplémentaires ne sont pas affichés ci-dessus. |
| Anti Debug |
|
| User Data Access |
|
| Process Shell Execute |
|
| Encryption Used |
|
| Other Suspicious |
|
Exécution de commandes Shell
Exécution de commandes Shell
Cette section répertorie les commandes de l'interpréteur de commandes Windows exécutées par les échantillons de cette famille. Ces commandes sont fréquemment utilisées par les logiciels malveillants à des fins malveillantes et peuvent servir à élever les privilèges d'administrateur, télécharger et exécuter d'autres logiciels malveillants, exploiter des vulnérabilités, collecter et exfiltrer des données, et dissimuler des activités malveillantes.
C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell.exe -windowstyle hidden -NoProfile -ExecutionPolicy bypass -Command $mydir = [System.Environment]::GetFolderPath('CommonApplicationData')
|