Trojan.Agent.GDD

Trojan.Agent.GDD é um Trojan para Windows que o feed classifica com um nível de perigo de 8 em 10. Como a maioria dos Trojans, ele finge ser inofensivo ou se oculta, executando silenciosamente em segundo plano enquanto realiza ações maliciosas. Este artigo explica o que se sabe sobre ele e como reduzir o risco.

O que faz o Trojan.Agent.GDD

De acordo com a descrição no feed, o Agent.GDD é executado silenciosamente em segundo plano e realiza funções maliciosas. Após a instalação, ele pode dar aos atacantes controle total sobre o sistema infectado. Ele também pode excluir arquivos de forma oculta e instalar malware adicional. A descrição no feed está incompleta, portanto, o comportamento completo não pode ser confirmado aqui.

Os dados técnicos da amostra analisada mostram um executável nativo do Windows de 32 bits (x86), e não um aplicativo .NET. Trata-se de um aplicativo com interface gráfica, portanto, pode ser executado sem exibir uma janela de console. O arquivo não está compactado, mas possui alta entropia, não apresenta informações de versão, assinatura digital ou informações de depuração. A ausência de informações de versão e assinaturas é comum em arquivos maliciosos, embora não seja, por si só, prova de malícia.

Na análise, 501 blocos foram examinados. Destes, 125 foram sinalizados como potencialmente maliciosos, 376 foram adicionados à lista de permissões e nenhum foi identificado como desconhecido. Uma modificação de arquivo foi registrada na pasta Downloads do usuário, e a única categoria de API observada foi acesso a dados do usuário. Este é um panorama limitado, e a contagem de detecções no feed é de apenas 1, portanto, não deve ser interpretada como um perfil completo da ameaça.

Geralmente é assim que chega aos computadores.

O feed diz que o Agent.GDD se instala furtivamente, geralmente por meio de:

• Explorar vulnerabilidades do sistema e falhas de segurança;
• downloads de software de sites maliciosos;
• Anexos de e-mail de fontes não confiáveis, geralmente arquivos .exe, .pif, .avi e até mesmo .jpg.

Arquivos com duplo sentido ou extensões disfarçadas são um truque comum. Um arquivo que parece uma imagem ou um vídeo pode, na verdade, ser um programa executável.

Riscos para o usuário

Caso um sistema esteja infectado, os riscos descritos no feed incluem:

• Controle remoto do seu computador por invasores;
• exclusão dos seus arquivos;
• instalação de outros malwares.

Trojans desse tipo geralmente levam ao roubo de dados pessoais, credenciais de contas ou ao uso do computador para outras atividades criminosas. O feed não confirma esses resultados específicos para o Agent.GDD, portanto, considere-os como riscos típicos da categoria, e não como comportamento comprovado.

Sinais de infecção

Como o Trojan é projetado para ser silencioso, sintomas óbvios podem estar ausentes. O feed não lista sintomas específicos, mas sinais típicos de uma infecção por Trojan incluem:

• lentidão inesperada ou uso elevado de recursos;
• Arquivos desaparecendo ou sendo alterados sem explicação;
• Aparecem programas ou processos desconhecidos;
• As configurações mudam sozinhas;
• Atividade de rede incomum ou ferramentas de segurança desativadas.

Um arquivo desconhecido na sua pasta de Downloads, que você não salvou intencionalmente, também pode ser um sinal de alerta.

Como se manter protegido

• Mantenha o Windows e todos os programas instalados atualizados, pois o Trojan supostamente explora vulnerabilidades do sistema.
• Baixe softwares somente de fontes oficiais e confiáveis e evite sites desconhecidos.

Se suspeitar de uma infecção, desconecte o computador da internet, execute uma verificação completa e altere as senhas importantes em um dispositivo limpo. Se o computador contiver dados confidenciais, considere a ajuda de um profissional para garantir que o sistema esteja completamente limpo.

Relatório de análise

Informação geral

Nome de família:	Trojan.Agent.GDD
Status da assinatura:	No Signature

Amostras conhecidas

i

Amostras conhecidas

Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.

MD5: e2cc65db170c25641bcff50cec580c9d SHA1: 6d7b7bc0437d90c355237f76e6088cb7df593eeb SHA256: D110D6F6E54425DA013D36196E438AB9CE72FC9DD8D95FA76D9B2DBB826484BE Tamanho do Arquivo: 442.37 KB.442368 bytes

Atributos do executável portátil do Windows

i

Atributos do executável portátil do Windows

Esta seção lista os atributos de arquivo encontrados nas amostras da família. Esses atributos são extraídos da especificação Windows PE (Portable Executable) dos arquivos e de vários sinalizadores do sistema. Os atributos do Portable Executable fornecem aos pesquisadores de malware informações sobre a funcionalidade de um arquivo, detalhes do executável, plataforma e ambiente de execução.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Ícones de arquivo

i

Ícones de arquivo

Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.

Características do arquivo

• HighEntropy
• No Version Info
• x86

Informações do bloco

i

Informações do bloco

Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.

Total de blocos:	501
Blocos potencialmente maliciosos:	125
Blocos permitidos:	376
Blocos desconhecidos:	0

Mapa visual

0 - Bloco Provavelmente Seguro
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso

Arquivos modificados

i

Arquivos modificados

Esta seção lista os arquivos que foram criados, modificados, movidos e/ou excluídos por amostras desta família. A atividade do sistema de arquivos pode fornecer informações valiosas sobre como o malware funciona no sistema operacional.

Arquivo	Atributos
c:\users\user\downloads\matrix.uc	Generic Read,Write Data,Write Attributes,Write extended,Append data

Utilização da API do Windows

i

Utilização da API do Windows

Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.

Categoria	API
User Data Access	GetUserObjectInformation