Trojan.Spy.Agent.AZ
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Classement de popularité : | 22,740 |
| Niveau de menace: | 80 % (Haute) |
| Ordinateurs infectés : | 15 |
| Vu la première fois: | April 10, 2024 |
| Vu pour la dernière fois : | August 26, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.Spy.Agent.AZ est un cheval de Troie Windows présentant un niveau de dangerosité de 8 sur 10. Appartenant à la catégorie des chevaux de Troie de type logiciel espion, il est conçu pour fonctionner discrètement, passer inaperçu et permettre aux attaquants d'accéder à un ordinateur. Il a été détecté pour la première fois le 10 avril 2024 et plus récemment le 26 août 2026 ; il est donc toujours actif. Le flux RSS recense 15 détections.
Table des matières
Que fait la menace ?
D'après les informations recueillies, Spy.Agent.AZ s'installe furtivement et s'exécute discrètement en arrière-plan. Une fois installé, il peut donner aux attaquants un contrôle total sur le système. Il peut également supprimer des fichiers à leur insu et installer des logiciels supplémentaires. Le texte des informations s'interrompt à ce stade, ne précisant donc pas quels autres logiciels le cheval de Troie peut installer.
Les données techniques indiquent qu'il s'agit d'un programme natif Windows 64 bits avec interface graphique, non compressé. Il utilise plusieurs fonctionnalités typiques des logiciels malveillants espions et de contrôle à distance :
- Accès réseau : il utilise les fonctions réseau de Windows (WinHTTP et Winsock), dont un cheval de Troie de ce type a généralement besoin pour communiquer avec un serveur distant.
- Chiffrement : il utilise une fonction cryptographique de Windows. Les logiciels malveillants y ont généralement recours pour masquer leurs données ou leurs communications.
- Écriture en mémoire : cette opération est signalée pour WriteProcessMemory. Cette fonction est généralement associée à l’injection de code dans d’autres processus en cours d’exécution, bien que le flux ne confirme pas que ce soit le comportement de l’échantillon.
L'échantillon a également été observé en train de modifier des fichiers dans le cache de téléchargement des certificats Windows. Il pourrait s'agir d'un simple effet secondaire de la vérification de la signature numérique par Windows ; par conséquent, cela ne doit pas être considéré comme la preuve d'une action malveillante spécifique.
Comment cela se retrouve généralement sur les ordinateurs
Le flux RSS mentionne trois itinéraires principaux :
- Exploiter les vulnérabilités et les failles de sécurité du système.
- Téléchargements de logiciels depuis des sites web malveillants.
- Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.
Le fichier analysé se dissimule également. Ses informations de version prétendent provenir de Microsoft Corporation et le présentent comme « setup.exe » d'un produit appelé « Notepad -- », intitulé « Programme d'installation de Notepad -- ». Il porte une signature numérique émise par « Greenengine OU », mais le statut de cette signature est « Racine non approuvée ». Un faux programme d'installation avec un nom qui semble familier et une signature non approuvée est une bonne raison de ne pas l'exécuter.
Risques pour l’utilisateur
Ce cheval de Troie pouvant donner à un attaquant un contrôle total du système, les dommages potentiels sont considérables. Les risques typiques liés aux chevaux de Troie de type logiciel espion comprennent :
- Vol de données personnelles, de mots de passe et d'autres informations sensibles.
- Perte ou suppression de fichiers.
- Installation de logiciels malveillants supplémentaires.
- Utilisation de l'ordinateur par une autre personne à votre insu.
Le flux confirme la suppression du fichier, le possible contrôle total et les installations supplémentaires. Les autres éléments décrivent ce qui est typique de cette catégorie.
Signes d’infection
Le cheval de Troie agit silencieusement, il peut donc ne présenter aucun symptôme apparent. Les signes typiques de ce type d'infection sont les suivants :
- Activité réseau inattendue provenant de programmes que vous ne reconnaissez pas.
- Des fichiers qui disparaissent sans explication.
- Nouveaux programmes que vous n'avez pas installés.
- Performances ralenties ou comportement inexpliqué du système.
- Un fichier « setup.exe » ou programme d'installation exécuté récemment qui n'a pas fonctionné comme prévu.
Comment rester protégé
- Maintenez Windows et tous les logiciels installés à jour, car ce cheval de Troie peut exploiter des vulnérabilités connues.
- Téléchargez les logiciels uniquement depuis le site web officiel de l'éditeur et méfiez-vous des installateurs qui ressemblent à des outils connus mais proviennent de sources inconnues.
- N’ouvrez pas les pièces jointes provenant d’expéditeurs inconnus, même si le fichier ressemble à une image ou à une vidéo. Les fichiers exécutables déguisés en images ou en fichiers multimédias sont une arnaque courante.
- Vérifiez la signature numérique d'un fichier avant de l'exécuter. Un avertissement tel qu'une racine non fiable est un signal d'alarme.
- Utilisez une solution de sécurité réputée et à jour, et effectuez une analyse complète du système si vous soupçonnez un problème.
- Effectuez des sauvegardes régulières de vos fichiers importants sur un disque ou un service qui n'est pas connecté en permanence à votre ordinateur.
Si vous pensez avoir exécuté un programme d'installation suspect, déconnectez votre ordinateur d'Internet, effectuez une analyse complète et supprimez tout élément détecté. Ensuite, modifiez vos mots de passe importants depuis un autre appareil sain.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.Spy.Agent.AZ |
|---|---|
| Statut de la signature : | Root Not Trusted |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
95f79bb0f335e61e9141dd51bc91d395
SHA1:
9d4e073bc4d9f200e854f341032271cd92d08410
SHA256:
43ED1D8E0E162CD1B982B8BFA514A78BB0D7304CA773B31350966587E658A211
Taille du fichier:
7.06 MB 7059528 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File has exports table
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icônes de fichiers
Icônes de fichiers
Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.
Informations sur la version de Windows PE
Informations sur la version de Windows PE
Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.| Nom | Évaluer |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | setup.exe |
| File Version | 1.2.0.400 |
| Original Filename | setup.exe |
| Product Name | Notepad -- |
| Product Version | 1.2.0.400 |
| Program I D | Notepad -- Setup Installer |
Signatures numériques
Signatures numériques
Cette section répertorie les signatures numériques associées aux échantillons de cette famille. Lors de l'analyse et de la vérification des signatures numériques, il est essentiel de s'assurer que l'autorité racine de la signature est une entité reconnue et digne de confiance, et que le statut de la signature est valide. Les logiciels malveillants sont souvent signés avec des signatures numériques « auto-signées » non fiables (facilement créables par un auteur de logiciel malveillant sans vérification). Ils peuvent également être signés par des signatures légitimes dont le statut est invalide, ou par des signatures provenant d'autorités racines douteuses, avec des noms de « signataire » falsifiés ou trompeurs.| Signataire | Racine | Statut |
|---|---|---|
| Greenengine OU | SSL.com EV Root Certification Authority RSA R2 | Root Not Trusted |
Caractéristiques du fichier
- Installer Version
- WriteProcessMemory
- x64
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 28,258 |
|---|---|
| Blocages potentiellement malveillants : | 56 |
| Blocs autorisés : | 28,180 |
| Blocs inconnus : | 22 |
Carte visuelle
... Données tronquées? - Bloc inconnu
x - Blocage potentiellement malveillant
Familles similaires
Familles similaires
Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.- Delf.Spy.D
- Downloader.Delf.L
- Ousaban.J
- Rugmi.L
- SecureDuck.A
Show 1 more
- Spy.Agent.AZ
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Modifications du registre
Modifications du registre
Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.| Clé::Valeur | Données | Nom de l'API |
|---|---|---|
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | �RĿ���Ӂ� f�K�Q� 9dI��:��d S � 0��0" +��000 +�7< �0" +��000 +�7< �0g� 00 +�7< �0g� 00 +�7< � ^ S S L . c o m E V R o o t C e r t i f i c a t i o | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | h?X�R�!���2� S_ t:�R��2��J��Ժ�{|.Ě~ ��%� 0 + V=XΌ {PV�G5� b �`����4����%�s�Fi��b .{�l�$���⪆�ua��9�;/���mN�4�B\ L 0J++ +�7 | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | 䂁ᣅﱩⱆ疉ར碪 嚨출얜米ቺ惟Ⲍ咼S e 挰ℰଆ萪Ũɷą、〒ؐ⬊ĆĄ㞂ļ́ダء⨋梄蘁矶Ԃ܁ሰူਆثЁ舁㰷āȃ쀀ᬰԆ腧Č〃〒ؐ⬊ĆĄ㞂ļ́ী Ā 吀 ْ⬈Ćԅ̇⬈Ćԅ̇⬊ĆĄ㞂̊⬈Ćԅ̇⬈Ćԅ̇؆⬈Ćԅ̇؇⬈Ćԅ | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | \ ࠀ 縟୵歖訒룀埖⩭ꕰ 뜠㼬⼙⠆妢᤺ྦྷ鸆 泥閯洬ꫲឤ꜆䑺ς 瘈쯍＇췅믭벐蓢䘷b 塜赆䦎瑾船뗒က톶㝥콊ꞃꏔ뜭쑨蹀 4 Certum Trusted Network CA T | RegNtPreCreateKey |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Syscall Use |
Show 90 more
12 articles supplémentaires ne sont pas affichés ci-dessus. |
| Network Winsock2 |
|
| Encryption Used |
|
| Network Winhttp |
|