Trojan.Agent.NIS
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Livello di minaccia: | 80 % (Alto) |
| Computer infetti: | 2 |
| Visto per la prima volta: | October 3, 2026 |
| Ultima visualizzazione: | October 19, 2026 |
| Sistemi operativi interessati: | Windows |
Trojan.Agent.NIS è un programma dannoso classificato come cavallo di Troia che prende di mira i computer con sistema operativo Windows. Come la maggior parte delle minacce di questa categoria, è progettato per infiltrarsi silenziosamente in un sistema, mascherare la propria presenza ed eseguire azioni dannose in background all'insaputa e senza il consenso dell'utente. I ricercatori nel campo della sicurezza lo considerano un'infezione ad alto rischio a causa dell'ampia gamma di attività dannose che può svolgere una volta installato.
Sommario
Cosa fa Trojan.Agent.NIS
Una volta attivo su un computer, Agent.NIS viene eseguito silenziosamente in background, svolgendo funzioni dannose dietro le quinte. È progettato per camuffarsi da componente legittimo di Windows, con dettagli dei file che imitano un processo di sistema fondamentale, il che gli consente di mimetizzarsi e di non attirare l'attenzione dell'utente. Il Trojan è in grado di accedere ai dati utente memorizzati, come nome utente e nome del computer, e può interagire con gli appunti di Windows, potenzialmente esponendo testo copiato e informazioni sensibili. Stabilisce inoltre connessioni di rete, che possono essere utilizzate per comunicare con un server remoto, ricevere ulteriori istruzioni o scaricare altre minacce sul computer infetto. Per mantenere la sua presenza, è stato osservato che Agent.NIS crea attività pianificate che riavviano automaticamente il suo eseguibile ogni volta che l'utente effettua l'accesso, garantendo che rimanga in esecuzione anche dopo un riavvio del sistema. In molti casi, questo tipo di Trojan può fornire agli aggressori un elevato grado di controllo sul sistema compromesso, consentendo loro di eliminare file, installare ulteriore malware e manipolare il computer in modi non autorizzati dal proprietario.
Come solitamente si installa sui computer
Agent.NIS si diffonde in genere attraverso metodi ingannevoli o opportunistici piuttosto che tramite attacchi diretti e palesi. Si installa comunemente sfruttando vulnerabilità di sistema non corrette e falle di sicurezza, approfittando di software obsoleto. Può anche arrivare in bundle con software scaricati da siti web inaffidabili o dannosi, oppure nascosto all'interno di allegati e-mail inviati da mittenti sconosciuti o non attendibili. Questi allegati non sono sempre file palesemente pericolosi; possono essere camuffati da file eseguibili, file multimediali o persino file immagine, inducendo gli utenti ad aprirli.
Rischi per l’utente
Poiché questo Trojan può garantire agli aggressori un controllo esteso su un sistema infetto, i rischi sono elevati. Le potenziali conseguenze includono il furto di informazioni personali, l'accesso non autorizzato ai file, l'installazione di ulteriore malware come programmi per il furto di password o il mining di criptovalute, la perdita o il danneggiamento dei dati e il degrado delle prestazioni del sistema. Qualsiasi attività che coinvolga gli appunti o le credenziali utente memorizzate aumenta la possibilità che dati sensibili, incluse password o informazioni finanziarie, vengano intercettati e inviati agli aggressori.
Segni di infezione
Infezioni di questo tipo sono progettate per rimanere nascoste, ma gli utenti potrebbero notare segnali di allarme come la comparsa inaspettata di nuovi file nelle cartelle di avvio, attività pianificate sconosciute, attività di rete anomale, prestazioni di sistema lente, nuovi processi inspiegabili in esecuzione in background o strumenti di sicurezza bloccati o disabilitati.
Come rimanere protetti
Gli utenti possono ridurre il rischio mantenendo il sistema operativo Windows e tutti i software installati completamente aggiornati per correggere le vulnerabilità di sicurezza note. È inoltre consigliabile evitare di scaricare programmi da siti web non ufficiali o sospetti, non aprire mai allegati di posta elettronica provenienti da mittenti sconosciuti e prestare attenzione a qualsiasi file inatteso, anche se apparentemente si tratta di un documento o un'immagine innocua. L'utilizzo di software di sicurezza aggiornato, l'esecuzione di scansioni di sistema regolari e la creazione di backup dei file importanti possono ulteriormente contribuire a rilevare e limitare i danni causati da minacce come Trojan.Agent.NIS.
Rapporto di analisi
Informazione Generale
| Cognome: | Trojan.Agent.NIS |
|---|---|
| Stato della firma: | No Signature |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
914f93f9191327a9a454b6eb0cafdde1
SHA1:
ef154e3903f84845257d1eb5b60e7260a8ee7a68
SHA256:
2E2DE2A9175351644FC9DBE395F4F813FE8E7D57B8E85A168E614ED09A424A01
Dimensione del file:
2.30 MB.2297856 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Mostra altro
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Informazioni sulla versione di Windows PE
Informazioni sulla versione di Windows PE
Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.| Nome | Valore |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | Windows Runtime Broker |
| File Version | 10.0.19041.1 (WinBuild.160101.0800) |
| Internal Name | RuntimeBroker |
| Legal Copyright | © Microsoft Corporation. All rights reserved. |
| Original Filename | RuntimeBroker.exe |
| Product Name | Microsoft® Windows® Operating System |
| Product Version | 10.0.19041.1 |
Caratteristiche dei file
- CryptUnprotectData
- x64
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 13,634 |
|---|---|
| Blocchi potenzialmente dannosi: | 1,844 |
| Blocchi consentiti: | 11,790 |
| Blocchi sconosciuti: | 0 |
Mappa visiva
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
Famiglie simili
Famiglie simili
Questa sezione elenca altre famiglie che presentano similitudini con questa famiglia, sulla base dell'analisi di EnigmaSoft. Molte famiglie di malware sono create a partire dagli stessi toolkit e utilizzano le stesse tecniche di compressione e crittografia, ma ne estendono le funzionalità in modo univoco. Famiglie simili possono anche condividere codice sorgente, attributi, icone, sottocomponenti, firme digitali compromesse e/o non valide e caratteristiche di rete. I ricercatori sfruttano queste somiglianze per analizzare rapidamente ed efficacemente i campioni di file ed estendere le regole di rilevamento del malware.- Agent.NIS
- Coinminer.BDH
- Coinminer.OGD
- PSW.Agent.LDG
- PSW.Agent.TUI
Mostra altro
- PSW.Agent.TUK
File modificati
File modificati
Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.| File | Attributi |
|---|---|
| c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe | Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144 |
| c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe | Synchronize,Write Attributes |
| c:\users\user\appdata\roaming\programs\svcruntimemtx\svcruntimemtx.exe | Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144 |
Modifiche al registro
Modifiche al registro
Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.| Chiave::Valore | Dati | Nome API |
|---|---|---|
| HKCU\software\microsoft\windows\currentversion\run::svcruntimemtx | "C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe" | RegNtPreCreateKey |
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| Syscall Use |
Mostra altro
|
| Anti Debug |
|
| User Data Access |
|
| Process Shell Execute |
|
| Other Suspicious |
|
| Network Winhttp |
|
Esecuzione di comandi shell
Esecuzione di comandi shell
Questa sezione elenca i comandi della shell di Windows eseguiti dai campioni di questa famiglia. I comandi della shell di Windows vengono spesso sfruttati dai malware per scopi illeciti e possono essere utilizzati per elevare i privilegi di sicurezza, scaricare e avviare altri malware, sfruttare le vulnerabilità, raccogliere ed esfiltrare dati e nascondere attività dannose.
schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /rl highest /f
|
schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /f
|
