Trojan.Downloader.Agent.NAU
Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartları, araştırma ekibimiz tarafından toplanan ve analiz edilen farklı kötü amaçlı yazılım tehditleri için değerlendirme raporlarıdır. EnigmaSoft Tehdit Puan Kartları, gerçek dünya ve potansiyel risk faktörleri, eğilimler, sıklık, yaygınlık ve kalıcılık dahil olmak üzere çeşitli ölçümleri kullanarak tehditleri değerlendirir ve sıralar. EnigmaSoft Tehdit Puan Kartları, araştırma verilerimize ve ölçümlerimize dayalı olarak düzenli olarak güncellenir ve kötü amaçlı yazılımları sistemlerinden kaldırmak için çözümler arayan son kullanıcılardan tehditleri analiz eden güvenlik uzmanlarına kadar çok çeşitli bilgisayar kullanıcıları için yararlıdır.
EnigmaSoft Tehdit Puan Kartları, aşağıdakiler de dahil olmak üzere çeşitli yararlı bilgiler görüntüler:
Popülerlik Sıralaması: Belirli bir tehdidin EnigmaSoft'un Tehdit Veritabanındaki sıralaması.
Önem Düzeyi: Tehdit Değerlendirme Kriterlerimizde açıklandığı gibi, risk modelleme sürecimize ve araştırmamıza dayalı olarak sayısal olarak gösterilen, bir nesnenin belirlenen önem düzeyi.
Enfekte Bilgisayarlar: SpyHunter tarafından bildirildiği üzere, virüslü bilgisayarlarda tespit edilen belirli bir tehdidin doğrulanmış ve şüphelenilen vakalarının sayısı.
Ayrıca bkz. Tehdit Değerlendirme Kriterleri .
| Popülerlik Sıralaması: | 15,408 |
| Tehlike seviyesi: | 80 % (Yüksek) |
| Etkilenen Bilgisayarlar: | 18 |
| İlk görüş: | February 8, 2024 |
| Son görülen: | October 9, 2026 |
| Etkilenen İşletim Sistemleri: | Windows |
Trojan.Downloader.Agent.NAU , bir Truva atı indirici olarak sınıflandırılan kötü amaçlı bir Windows programıdır. Ana amacı, kendi başına görünür bir hasara neden olmak değil, bulaşmış bir bilgisayara ek kötü amaçlı bileşenler indirip kurarak diğer kötü amaçlı yazılımlara sessizce kapı açmaktır. İlk olarak Şubat 2024'te gözlemlenen ve hala tespit edilmekte olan bu tehdit, çok daha zararlı enfeksiyonlar için bir başlangıç noktası görevi görebilme yeteneği nedeniyle yüksek bir tehlike derecesine sahiptir.
İçindekiler
Trojan.Downloader.Agent.NAU Ne Yapar?
Bir sisteme bulaştığında, Trojan.Downloader.Agent.NAU arka planda sessizce çalışarak varlığını kullanıcıdan gizler. Kendini gizlice kurmak ve ardından görünür bir faaliyet belirtisi olmadan kötü amaçlı işlevleri yerine getirmek üzere tasarlanmıştır. Davranışının analizi, Windows PowerShell aracını gizli pencerelerle ve atlanmış yürütme politikalarıyla başlatabildiğini, böylece normal güvenlik uyarılarını tetiklemeden komut dosyaları ve komutlar çalıştırabildiğini göstermektedir. Ayrıca sistem süreçleriyle etkileşime girer, hata ayıklama araçlarının varlığını kontrol eder ve oturum açmış kullanıcı hakkında kullanıcı adı ve yerel ayarlar gibi bilgiler toplar. Bu yetenekler, Truva atının gizlice çalışmak ve sistemi daha fazla tehlikeye atmaya hazırlamak üzere tasarlandığını göstermektedir; örneğin ek zararlı yazılımlar indirmek, uzaktan saldırganların kontrolü ele geçirmesine izin vermek veya hassas verileri toplamak gibi.
Bilgisayarlara Genellikle Nasıl Bulaşır
Trojan.Downloader.Agent.NAU genellikle sistem güvenlik açıklarından ve zafiyetlerinden yararlanarak yayılır. Genellikle güvenilmez veya kötü amaçlı web sitelerinden indirilen yazılımlarla birlikte gelir veya bilinmeyen veya şüpheli göndericilerden gelen e-posta ekleri aracılığıyla iletilir. Bu ekler, çalıştırılabilir dosyalar, medya dosyaları veya hatta resim dosyaları da dahil olmak üzere sıradan dosyalar gibi görünebilir ve kullanıcıları bunları açmaya kandırabilir. İndirici tipi Truva atları için tipik olduğu gibi, enfeksiyon genellikle belirgin bir uyarı olmadan gerçekleşir, çünkü kötü amaçlı dosya ilk bakışta zararsız görünebilir.
Kullanıcı İçin Riskler
Bu Truva atı öncelikle bir indirme aracı olduğundan, en büyük riski sonrasında sisteme getirebileceği zararlı yazılımlardır. Bilgisayar korsanlarının enfekte olmuş bilgisayar üzerinde kapsamlı kontrol elde etmesine olanak tanıyarak casus yazılım, fidye yazılımı, parola hırsızı veya diğer tehlikeli programların yüklenmesine yol açabilir. Gizli PowerShell komutlarını ve ayrıcalıkla ilgili sistem çağrılarını kullanması, erişimini yükseltmeye ve ortalama bir kullanıcının tespit etmesi zor olan eylemler gerçekleştirmeye çalışabileceğini gösterir. Bu durum, önlem alınmadığı takdirde kimlik bilgilerinin çalınmasına, mali kayıplara, dosyaların bozulmasına veya sistemin ciddi şekilde tehlikeye girmesine neden olabilir.
Enfeksiyon Belirtileri
Trojan.Downloader.Agent.NAU sessiz çalışacak şekilde tasarlandığı için belirgin belirtiler minimum düzeyde olabilir. Ancak kullanıcılar açıklanamayan yavaşlamalara, olağandışı arka plan işlemlerine, beklenmedik PowerShell pencerelerinin kısa süreliğine görünmesine, ağ etkinliğinde ani artışlara veya geçici klasörlerde yeni ve bilinmeyen dosyaların ortaya çıkmasına dikkat etmelidir. Güvenlik yazılımlarının şüpheli komut dosyalarını işaretlemesi veya bu özel Truva atı adını tespit etmesi genellikle enfeksiyonun en açık göstergesidir.
Korunmanın Yolları
Bulaşma riskini azaltmak için, resmi olmayan veya doğrulanmamış web sitelerinden yazılım indirmekten kaçının ve özellikle yürütülebilir dosyalar veya alışılmadık uzantılara sahip dosyalar olmak üzere, bilinmeyen veya beklenmedik göndericilerden gelen e-posta eklerini asla açmayın. Bu Truva atı, yamalanmamış güvenlik açıklarından yararlandığı için Windows işletim sistemini ve yüklü tüm yazılımları tamamen güncel tutun. Önemli dosyalarınızı düzenli olarak yedekleyin, makroları etkinleştirirken veya komut dosyaları çalıştırırken dikkatli olun ve Trojan.Downloader.Agent.NAU gibi tehditleri zarar vermeden önce tespit edip engellemek için saygın ve güncel bir güvenlik çözümünü aktif tutun.
Analiz raporu
Genel bilgi
| Soyadı: | Trojan.Downloader.Agent.NAU |
|---|---|
| İmza durumu: | No Signature |
Bilinen Örnekler
Bilinen Örnekler
Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.|
MD5:
48f1316432f4b9714542cf733d936ed8
SHA1:
34917dad9f0977a1d3e8d7228b60246615bc28dd
SHA256:
BA2FE025F1D1EEE75D547CE5BE1340A09FFEB83F35883D367B4095FFCA60C257
Dosya boyutu:
135.17 KB.135168 bayt
|
Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri
- File doesn't have "Rich" header
- File doesn't have resources
- File doesn't have security information
- File has exports table
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Dosya Özellikleri
- dll
- x64
Blok Bilgileri
Blok Bilgileri
Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.| Toplam Blok Sayısı: | 478 |
|---|---|
| Potansiyel Olarak Zararlı Bloklar: | 16 |
| Beyaz Listeye Alınan Bloklar: | 461 |
| Bilinmeyen Bloklar: | 1 |
Görsel Harita
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme
Değiştirilen Dosyalar
Değiştirilen Dosyalar
Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.| Dosya | Özellikler |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134330117538528711.4124.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_5ho5pj4z.44r.psm1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_oih24goz.lbn.ps1 | Generic Write,Read Attributes |
Sicil Değişiklikleri
Sicil Değişiklikleri
Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen ve/veya silinen kayıt defteri anahtarları ve değerleri listelenmiştir. Windows Kayıt Defteri etkinliği, kötü amaçlı yazılımların işlevselliği hakkında değerli bilgiler sağlayabilir. Ek olarak, kötü amaçlı yazılımlar genellikle, ilk enfeksiyon sistemi tehlikeye attıktan sonra otomatik olarak başlamasına ve süresiz olarak kalmasına olanak sağlamak için kayıt defteri değerleri oluşturur.| Anahtar::Değer | Veri | API Adı |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | 멁㲇ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᏽ멉㲇ǝ | RegNtPreCreateKey |
Windows API Kullanımı
Windows API Kullanımı
Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.| Kategori | API |
|---|---|
| Syscall Use |
Show 90 more
Yukarıda gösterilmeyen 26 ek ürün daha bulunmaktadır. |
| Anti Debug |
|
| User Data Access |
|
| Process Shell Execute |
|
| Encryption Used |
|
| Other Suspicious |
|
Kabuk Komutu Yürütme
Kabuk Komutu Yürütme
Bu bölümde, bu ailedeki örnekler tarafından çalıştırılan Windows kabuk komutları listelenmiştir. Windows kabuk komutları genellikle kötü amaçlı yazılımlar tarafından zararlı amaçlarla kullanılır ve güvenlik ayrıcalıklarını yükseltmek, diğer kötü amaçlı yazılımları indirip çalıştırmak, güvenlik açıklarından yararlanmak, veri toplamak ve sızdırmak ve kötü amaçlı faaliyetleri gizlemek için kullanılabilir.
C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell.exe -windowstyle hidden -NoProfile -ExecutionPolicy bypass -Command $mydir = [System.Environment]::GetFolderPath('CommonApplicationData')
|