Trojan.Ajan.GDD

Trojan.Agent.GDD, Windows için tehlike seviyesi 10 üzerinden 8 olarak derecelendirilen bir Truva atıdır. Çoğu Truva atı gibi, zararsız gibi görünür veya kendini gizler, ardından zararlı eylemler gerçekleştirirken arka planda sessizce çalışır. Bu makale, hakkında bilinenleri ve riskinizi nasıl azaltabileceğinizi açıklamaktadır.

Trojan.Agent.GDD ne yapar?

Haber kaynağındaki açıklamaya göre, Agent.GDD arka planda sessizce çalışıyor ve kötü amaçlı işlevler gerçekleştiriyor. Kurulumdan sonra saldırganlara bulaşmış sistem üzerinde tam kontrol sağlayabilir. Ayrıca gizlice dosyaları silebilir ve ek kötü amaçlı yazılımlar yükleyebilir. Haber kaynağındaki açıklama kesilmiş olduğundan, daha fazla davranış burada doğrulanamamıştır.

Analiz edilen örnekten elde edilen teknik veriler, bunun bir .NET uygulaması değil, 32 bit (x86) yerel bir Windows yürütülebilir dosyası olduğunu göstermektedir. Bir GUI uygulaması olduğundan, konsol penceresi göstermeden çalışabilir. Dosya sıkıştırılmamış, ancak yüksek entropiye sahip, sürüm bilgisi, dijital imza ve hata ayıklama bilgisi içermiyor. Sürüm bilgisi ve imzaların eksikliği, kötü amaçlı dosyalarda yaygındır, ancak tek başlarına kötü amaçlılığın kanıtı değildirler.

Analizde 501 blok incelendi. Bunlardan 125'i potansiyel olarak kötü amaçlı olarak işaretlendi, 376'sı beyaz listeye alındı ve hiçbiri bilinmeyen olarak sınıflandırılmadı. Kullanıcının İndirilenler klasöründe bir dosya değişikliği kaydedildi ve belirtilen tek API kategorisi kullanıcı verilerine erişim oldu. Bu sınırlı bir tablo olup, akıştaki tespit sayısı yalnızca 1'dir, bu nedenle tehdidin tam bir profili olarak okunmamalıdır.

Bilgisayarlara genellikle nasıl bulaşıyor?

Haber akışına göre Agent.GDD kendini çoğunlukla şu yöntemlerle gizlice kuruyor:

• Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanmak;
• Kötü amaçlı web sitelerinden yazılım indirmeleri;
• Güvenilmeyen kaynaklardan gelen e-posta ekleri, genellikle .exe, .pif, .avi ve hatta .jpg dosyalarıdır.

Çift anlamlı veya gizlenmiş uzantılara sahip dosyalar tipik bir dolandırıcılık yöntemidir. Resim veya video gibi görünen bir dosya aslında çalıştırılabilir bir program olabilir.

Kullanıcı için riskler

Sistemde virüs tespit edilirse, haber akışında belirtilen riskler şunlardır:

• Saldırganlar tarafından bilgisayarınızın uzaktan kontrol edilmesi;
• Dosyalarınızın silinmesi;
• Daha fazla kötü amaçlı yazılımın yüklenmesi.

Bu tür Truva atları genellikle kişisel verilerin çalınmasına, hesap kimlik bilgilerinin çalınmasına veya bilgisayarın diğer suç faaliyetleri için kullanılmasına yol açar. Bu bilgiler Agent.GDD için bu özel sonuçları doğrulamadığından, bunları kanıtlanmış davranışlar yerine kategorinin tipik riskleri olarak değerlendirin.

Enfeksiyon belirtileri

Trojan paraziti sessiz kalacak şekilde tasarlandığı için belirgin semptomlar görülmeyebilir. Beslemede belirli semptomlar listelenmemiştir, ancak Trojan enfeksiyonunun tipik belirtileri şunlardır:

• Beklenmedik yavaşlamalar veya yüksek kaynak kullanımı;
• Dosyaların açıklama yapılmadan kaybolması veya değişmesi;
• Tanıdık olmayan programlar veya süreçler ortaya çıkıyor;
• Ayarlar kendiliğinden değişiyor;
• Olağandışı ağ etkinliği veya güvenlik araçlarının devre dışı bırakılması.

İndirilenler klasörünüzde, bilerek kaydetmediğiniz bilinmeyen bir dosya da bir uyarı işareti olabilir.

Nasıl korunabilirsiniz?

• Windows'u ve yüklü tüm programları güncel tutun, çünkü Truva atının sistem güvenlik açıklarından yararlandığı söyleniyor.
• Yazılım indirme işlemlerini yalnızca resmi ve güvenilir kaynaklardan yapın ve bilinmeyen web sitelerinden uzak durun.

Virüs bulaştığından şüpheleniyorsanız, bilgisayarı internetten ayırın, tam tarama yapın ve önemli şifreleri temiz bir cihazdan değiştirin. Bilgisayarda hassas veriler varsa, sistemin tamamen temizlendiğinden emin olmak için profesyonel yardım almayı düşünün.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.Agent.GDD
İmza durumu:	No Signature

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: e2cc65db170c25641bcff50cec580c9d SHA1: 6d7b7bc0437d90c355237f76e6088cb7df593eeb SHA256: D110D6F6E54425DA013D36196E438AB9CE72FC9DD8D95FA76D9B2DBB826484BE Dosya boyutu: 442.37 KB.442368 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Simgeleri

i

Dosya Simgeleri

Bu bölümde, aile örnekleri içinde bulunan simge kaynakları gösterilmektedir. Kötü amaçlı yazılımlar, kullanıcıları kötü amaçlı yazılımın güvenli olduğuna inandırmak için genellikle meşru yazılımlarla ilişkilendirilen simgeleri kopyalar.

Dosya Özellikleri

• HighEntropy
• No Version Info
• x86

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	501
Potansiyel Olarak Zararlı Bloklar:	125
Beyaz Listeye Alınan Bloklar:	376
Bilinmeyen Bloklar:	0

Görsel Harita

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Değiştirilen Dosyalar

i

Değiştirilen Dosyalar

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.

Dosya	Özellikler
c:\users\user\downloads\matrix.uc	Generic Read,Write Data,Write Attributes,Write extended,Append data

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
User Data Access	GetUserObjectInformation