База данных угроз Трояны Trojan.Agent.NIS

Trojan.Agent.NIS

К CagedTech году в Трояны году
Опубликовано:
Перевести на:

Карта показателей угрозы

Уровень угрозы: 80 % (Высокая)
Зараженные компьютеры: 2
Первый раз: October 3, 2026
Последний визит: October 19, 2026
ОС(а) Затронутые: Windows

Trojan.Agent.NIS — это вредоносная программа, классифицируемая как троянский конь, которая нацелена на компьютеры под управлением Windows. Как и большинство угроз этой категории, она предназначена для незаметного проникновения в систему, маскировки своего присутствия и выполнения вредоносных действий в фоновом режиме без ведома или согласия пользователя. Специалисты по безопасности считают её высокорискованной инфекцией из-за широкого спектра разрушительных действий, которые она может совершать после установки.

Что делает Trojan.Agent.NIS

После активации на компьютере Agent.NIS работает незаметно в фоновом режиме, выполняя вредоносные функции. Он создан таким образом, чтобы маскироваться под легитимный компонент Windows, используя данные файлов, имитирующие основной системный процесс, что помогает ему сливаться с окружающей средой и избегать привлечения внимания пользователя. Троян способен получать доступ к хранящимся данным пользователя, таким как имя пользователя и имя компьютера, и может взаимодействовать с буфером обмена Windows, потенциально раскрывая скопированный текст и конфиденциальную информацию. Он также устанавливает сетевые соединения, которые могут использоваться для связи с удаленным сервером, получения дальнейших инструкций или загрузки дополнительных угроз на зараженный компьютер. Для поддержания своего присутствия Agent.NIS, как было замечено, создает запланированные задачи, которые автоматически перезапускают его исполняемый файл каждый раз, когда пользователь входит в систему, обеспечивая его дальнейшую работу даже после перезагрузки системы. Во многих случаях этот тип трояна может предоставить злоумышленникам высокую степень контроля над скомпрометированной системой, позволяя им удалять файлы, устанавливать дополнительное вредоносное ПО и манипулировать компьютером способами, которые владелец никогда не разрешал.

Как это обычно попадает на компьютеры

Вирус Agent.NIS обычно распространяется обманным или оппортунистическим путем, а не посредством очевидных прямых атак. Он часто устанавливается, используя незащищенные системные уязвимости и недостатки безопасности, пользуясь преимуществами устаревшего программного обеспечения. Он также может распространяться в комплекте с программным обеспечением, загруженным с ненадежных или вредоносных веб-сайтов, или скрываться во вложениях электронной почты, отправленных неизвестными или ненадежными отправителями. Эти вложения не всегда представляют собой очевидно опасные типы файлов; они могут быть замаскированы под исполняемые файлы, медиафайлы или даже файлы изображений, обманом заставляя пользователей открывать их.

Риски для пользователя

Поскольку этот троян может предоставить злоумышленникам обширный контроль над зараженной системой, риски очень высоки. Потенциальные последствия включают кражу личной информации, несанкционированный доступ к файлам, установку дополнительного вредоносного ПО, такого как программы для кражи паролей или майнинга криптовалюты, потерю или повреждение данных, а также снижение производительности системы. Любая активность, связанная с буфером обмена или сохраненными учетными данными пользователя, повышает вероятность перехвата и отправки злоумышленникам конфиденциальных данных, включая пароли или финансовую информацию.

Признаки инфекции

Подобные вредоносные программы разработаны таким образом, чтобы оставаться незамеченными, но пользователи могут заметить предупреждающие признаки, такие как неожиданное появление новых файлов в папках автозагрузки, незнакомые запланированные задачи, необычная сетевая активность, замедление работы системы, необъяснимые новые процессы, работающие в фоновом режиме, или блокировка или отключение средств безопасности.

Как обеспечить свою безопасность

Пользователи могут снизить риск, поддерживая операционную систему Windows и все установленное программное обеспечение в актуальном состоянии, чтобы устранить известные уязвимости безопасности. Также рекомендуется избегать загрузки программ с неофициальных или подозрительных веб-сайтов, никогда не открывать вложения электронной почты от неизвестных отправителей и проявлять осторожность с любыми неожиданными файлами, даже если они кажутся безобидными документами или изображениями. Использование актуального программного обеспечения для обеспечения безопасности, регулярное сканирование системы и создание резервных копий важных файлов могут дополнительно помочь обнаружить и ограничить ущерб, причиняемый такими угрозами, как Trojan.Agent.NIS.

Аналитический отчет

Главная Информация

Фамилия: Trojan.Agent.NIS
Статус подписи: No Signature

Известные образцы

MD5: 914f93f9191327a9a454b6eb0cafdde1
ША1: ef154e3903f84845257d1eb5b60e7260a8ee7a68
SHA256: 2E2DE2A9175351644FC9DBE395F4F813FE8E7D57B8E85A168E614ED09A424A01
Размер файла: 2.30 MB, 2297856 байт

Атрибуты исполняемого файла Windows Portable

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have security information
  • File has TLS information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
Показать больше
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Информация о версии Windows PE

имя Ценность
Company Name Microsoft Corporation
File Description Windows Runtime Broker
File Version 10.0.19041.1 (WinBuild.160101.0800)
Internal Name RuntimeBroker
Legal Copyright © Microsoft Corporation. All rights reserved.
Original Filename RuntimeBroker.exe
Product Name Microsoft® Windows® Operating System
Product Version 10.0.19041.1

Характеристики файла

  • CryptUnprotectData
  • x64

Информация о блоке

Всего блоков: 13,634
Потенциально вредоносные блоки: 1,844
Блоки, внесенные в белый список: 11,790
Неизвестные блоки: 0

Визуальная карта

0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 x x x 0 x x x x x x x x 0 0 x 0 x x x x 0 0 x 0 x x 0 0 x 0 0 0 x 0 0 x 0 0 x 0 0 0 x x x x 0 x 0 x x 0 x x x x 0 x 0 x x x x 0 x x x 0 x 0 x 0 0 x 0 0 0 0 x 0 0 0 x x 0 0 x x 0 0 x 0 0 0 0 x 0 x x x x 0 0 0 x 0 x x x 0 x x 0 x x 0 x x x x 0 0 x 0 x 0 x x 0 0 0 x x 0 x 0 x 0 0 x x x 0 0 x 0 x x x 0 0 0 x 0 0 x 0 0 x x x 0 0 0 0 0 0 x 0 x x x x 0 0 0 x 0 x 0 x x x x x x x x x 0 x 0 0 x 0 x x 0 x x 0 x x x x x x x x x x x 0 0 x x 0 x x 0 0 x x x x x x 0 0 0 x x 0 x x x 0 x 0 x x x 0 0 x x x x 0 0 0 0 x x 0 x 0 x x 0 0 0 x x 0 x 0 x x x x x x x x x x x x x 0 0 x x 0 x 0 x 0 x x 0 x x 0 x x x x x 0 x x x x 0 0 0 0 0 0 0 0 0 0 x x x x x x x x 0 x x x x 0 0 x 0 0 x x 0 x x x x x x x 0 x 0 x x x x 0 x x 0 x 0 0 0 x x x x 0 0 x 0 x 0 0 x x x x 0 x x 0 x x x 0 x 0 0 x x 0 x 0 x 0 x 0 x x 0 0 0 0 0 0 0 0 0 x 0 0 x 0 0 x 0 x x 0 x x x x 0 x 0 x 0 x 0 x 0 0 0 0 x x x x 0 0 0 0 0 0 0 x x 0 0 0 x 0 0 x 0 0 x 0 0 0 x x 0 x 0 0 0 x 0 x 0 0 x 0 x x x x x 0 0 0 0 x 0 0 0 0 0 x 0 x x 0 x x x x x x 0 0 0 0 0 x x x x x x 0 x x x 0 x 0 0 x 0 x x x x 0 0 x x x x x 0 0 x x 0 x x 0 0 0 x x x x 0 x x 0 x 0 0 x x x x x x 0 x x x x x x x x x x x 0 x x x x x x x x 0 x x x x x x 0 x x x x x 0 x x x 0 x x x x 0 0 0 x x x 0 0 x 0 x 0 0 x x x 0 x x x x x x x x x x x x x x x x 0 x x 0 0 x 0 0 0 0 1 0 x 0 x 0 x x x 0 x x x x x 0 x x x 0 0 x 0 x x x 0 x x x x x x 0 0 x 0 x x x x 0 0 x x x x x x x x x 0 x x x x 0 x x x 0 x x x x x x x x 0 x 0 x x x x x 0 x x 0 x x x x x 0 x x x x x x x x 0 x x x x x 0 x x x x x 0 0 x x x 0 x x x 0 0 x x x x x x x x x x x x 0 x 0 x x x x x x 0 x x x x x x x 0 x x 0 0 0 x x 0 x x 0 x 0 x x 0 0 x 0 0 x 0 x x x x x x x x x 0 0 0 x x x 0 x 0 x x x x x 0 x x 0 x x 0 x x x x x x x x x x x 0 x x x x x x x x x x x x x 0 0 0 x x x x x x 0 x x 0 x 0 x x x 0 x x x x x x x x x x x x x x x x x x x x x 0 x x x x x x x x x x x x x x x x 0 x x x x 0 x 0 x x x x x 0 x x x 0 x x 0 x x x 0 x x 0 0 0 x x x x x 0 x x x 0 x x x x 0 x x x x 0 x x 0 0 x x x 0 0 x x x x x 0 x x x x x x x x x x x x x 0 x x 0 x x x 0 0 x x x x x x 0 x x 0 x 0 x 0 x 0 0 x 0 x 0 x 0 x 0 x x 0 x x x x x x 0 x x x x x x 0 x 0 x x x x x 0 x x x x x x 0 0 0 x x 0 0 x x 0 x x 0 x x 0 x x x x x x 0 0 x x x x x x x x x 0 x 0 x x x x x x x x x 0 0 x 0 x 0 x x x x x x x x x x x x x x x x 0 0 0 x x 0 0 x x 0 x 0 0 0 x x x x 0 0 0 x x 0 0 x 0 x 0 0 x x 0 0 x x 0 0 x x x 0 x 0 x 0 x x x x x x x x x x x 0 0 x x x 0 x 0 x x 0 0 x 0 x 0 x 0 0 0 x x x x x 0 x 0 0 x x x x x x 0 x 0 0 0 0 0 0 0 0 x 0 0 0 0 0 x x x 0 x 0 x x 0 0 0 x 0 0 0 0 0 x x 0 x x 0 x x 0 0 0 x x x x 0 x 0 x 0 x x 0 x x x x x x x x 0 x x 0 0 x x x x x x 0 x 0 x x x x x 0 x x x 0 x 0 x x x x 0 x x x x 0 x 0 0 x x x x x 0 x x 0 0 x x 0 x x x 0 0 0 0 0 0 0 x x x x x x x x 0 0 0 x x x x x x x x x 0 0 x x x x x x 0 0 x x x x x 0 0 x 0 0 x x 0 x x x 0 x x x 0 x 0 x x x x x x x 0 x 0 0 x x x x x x 0 x x x x x x x x x x x x x x x x x x x x x x x x 0 0 x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x 0 x x x x x x x x x x 0 x x 0 x 0 x 0 x 0 x 0 0 0 x x x x x x 0 x x 0 x x x x 0 0 x 0 x x x x x x x 0 x x x 0 x x x x x x 0 x 0 0 0 0 0 0 x x x 0 x x 0 x x 0 0 x 0 x 0 0 0 0 0 x x x x x x x x x x x x x x x 0 x 0 0 x x x 0 x 0 x x x x 0 x 0 x x x x x x x x x x x 0 0 x x x x x x 0 x x x x 0 x x x x x x 0 0 x x x x x x x x 0 0 0 x 0 0 0 x x x 0 0 0 x 0 x x 0 0 x 0 0 x x x x x x x x x 0 x x x x x x x x x x x x x x x x 0 0 0 0 x x x x x x x x x x x x x x 0 0 x x 0 0 x x x 0 0 x 0 0 0 x 0 0 0 x x x x 0 x x 0 x x x x x 0 0 0 x 0 0 x x x x x x x x 0 0 x 0 0 x x x x 0 0 x x x x x 0 0 x x x x x 0 x x x x x x x 0 x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x 0 x x x x x x x x x x x x x x x x x x 0 x 0 x x 0 x x 0 x 0 x x x x x x 0 x x x 0 x 0 x x 0 x x x 0 x 0 x x 0 x x x x x x x x x 0 x x 0 x 0 x x 0 0 x x 0 0 0 x 0 0 x x 0 0 0 x x 0 0 x x 0 0 0 0 x 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
... Данные усечены
0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Похожие семьи

  • Agent.NIS
  • Coinminer.BDH
  • Coinminer.OGD
  • PSW.Agent.LDG
  • PSW.Agent.TUI
Показать больше
  • PSW.Agent.TUK

Файлы изменены

Файл Атрибуты
c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe Synchronize,Write Attributes
c:\users\user\appdata\roaming\programs\svcruntimemtx\svcruntimemtx.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

Изменения в реестре

Ключ::Значение Данные Название API
HKCU\software\microsoft\windows\currentversion\run::svcruntimemtx "C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe" RegNtPreCreateKey

Использование API Windows

Категория API
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtCancelWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
Показать больше
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateToken
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryObject
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationObject
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWaitLowEventPair
  • ntdll.dll!NtWorkerFactoryWorkerReady
  • ntdll.dll!NtWriteFile
  • ntdll.dll!NtYieldExecution
  • UNKNOWN
Anti Debug
  • IsDebuggerPresent
User Data Access
  • GetComputerName
  • GetUserName
  • OpenClipboard
Process Shell Execute
  • CreateProcess
Other Suspicious
  • SetWindowsHookEx
Network Winhttp
  • WinHttpConnect
  • WinHttpOpen
  • WinHttpOpenRequest

Выполнение команд оболочки

schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /rl highest /f
schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /f