威胁数据库 特洛伊木马 Trojan.Downloader.Agent.NAU

Trojan.Downloader.Agent.NAU

通过CagedTech在 特洛伊木马
发布时间：
最后更新：

威胁评分卡

人气排名： 15,408
威胁级别： 80 % (高的)
受感染的计算机： 18
初见： February 8, 2024
最后一次露面： October 9, 2026
受影响的操作系统： Windows

Trojan.Downloader.Agent.NAU是一款恶意 Windows 程序，被归类为木马下载器。它的主要目的并非直接造成可见的损害，而是通过在受感染的计算机上下载并安装其他恶意组件，悄悄地为其他恶意软件打开方便之门。该威胁最早于 2024 年 2 月被发现，至今仍在被检测到。由于它能够作为更具破坏性的感染的跳板，因此被评为高危威胁。

Trojan.Downloader.Agent.NAU 的作用

Trojan.Downloader.Agent.NAU 一旦在系统中激活，便会在后台静默运行，用户难以察觉其存在。它旨在隐蔽安装自身，然后在没有任何可见活动迹象的情况下执行恶意功能。对其行为的分析表明，它可以通过隐藏窗口和绕过执行策略来启动 Windows PowerShell 工具，从而在不触发正常安全提示的情况下运行脚本和命令。它还会与系统进程交互，检查是否存在调试工具，并收集已登录用户的信息，例如用户名和区域设置。这些功能表明，该木马旨在隐蔽运行，同时为进一步入侵系统做好准备，例如下载其他有效载荷、允许远程攻击者获得控制权或窃取敏感数据。

它通常是如何进入电脑的

Trojan.Downloader.Agent.NAU 通常利用系统漏洞和安全弱点进行传播。它通常与从不可信或恶意网站下载的软件捆绑在一起，或通过来自未知或可疑发件人的电子邮件附件传播。这些附件可以伪装成普通文件，包括可执行文件、媒体文件甚至图像文件，诱骗用户打开。与典型的下载器型木马一样，感染往往在没有任何明显警告的情况下发生，因为恶意文件乍一看可能无害。

用户面临的风险

由于此木马程序主要功能是下载，因此其最大的风险在于下载后可能对系统造成的危害。它可能使黑客获得对受感染计算机的广泛控制权，进而导致间谍软件、勒索软件、密码窃取程序或其他危险程序的安装。它使用隐藏的 PowerShell 命令和与权限相关的系统调用，表明它可以尝试提升访问权限并执行普通用户难以察觉的操作。如果不加以处理，这可能导致凭据被盗、经济损失、文件损坏或系统严重受损。

感染迹象

由于 Trojan.Downloader.Agent.NAU 的设计初衷是静默运行，因此其症状可能并不明显。但是，用户仍应注意以下情况：系统运行速度异常变慢、出现异常后台进程、意外弹出 PowerShell 窗口、网络活动异常激增，或临时文件夹中出现新的陌生文件。安全软件标记可疑脚本或检测到此特定木马名称通常是感染的最明显标志。

如何做好防护

为降低感染风险，请避免从非官方或未经核实的网站下载软件，切勿打开来自未知或意外发件人的电子邮件附件，尤其是可执行文件或具有不寻常扩展名的文件。务必保持 Windows 操作系统和所有已安装软件的最新版本，因为此木马程序依赖于利用未修补的漏洞。定期备份重要文件，启用宏或运行脚本时务必谨慎，并启用信誉良好且保持更新的安全解决方案，以便在 Trojan.Downloader.Agent.NAU 等威胁造成损害之前检测并阻止它们。

分析报告

一般信息

姓： Trojan.Downloader.Agent.NAU
签名状态： No Signature

已知样本

MD5: 48f1316432f4b9714542cf733d936ed8
SHA1: 34917dad9f0977a1d3e8d7228b60246615bc28dd
SHA256: BA2FE025F1D1EEE75D547CE5BE1340A09FFEB83F35883D367B4095FFCA60C257
文件大小: 135.17 KB,135168字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have resources
  • File doesn't have security information
  • File has exports table
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件特征

  • dll
  • x64

区块信息

总区块数： 478
潜在恶意块： 16
白名单区块： 461
未知区块： 1

可视化地图

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

文件已修改

文件 属性
\device\namedpipe\dav rpc service Generic Read,Write Data,Write Attributes,Write extended,Append data
\device\namedpipe\pshost.134330117538528711.4124.defaultappdomain.powershell Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288
\device\namedpipe\wkssvc Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\__psscriptpolicytest_5ho5pj4z.44r.psm1 Generic Write,Read Attributes
c:\users\user\appdata\local\temp\__psscriptpolicytest_oih24goz.lbn.ps1 Generic Write,Read Attributes

注册表修改

键::值 数据 API名称
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe 멁㲇ǝ RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe ᏽ멉㲇ǝ RegNtPreCreateKey

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAllocateLocallyUniqueId
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcConnectPortEx
  • ntdll.dll!NtAlpcCreateResourceReserve
  • ntdll.dll!NtAlpcCreateSecurityContext
  • ntdll.dll!NtAlpcQueryInformation
  • ntdll.dll!NtAlpcQueryInformationMessage
  • ntdll.dll!NtAlpcSendWaitReceivePort
Show 90 more
  • ntdll.dll!NtAlpcSetInformation
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtCancelTimer2
  • ntdll.dll!NtCancelWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtCompareSigningLevels
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateIoCompletion
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreatePrivateNamespace
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtCreateTimer
  • ntdll.dll!NtCreateTimer2
  • ntdll.dll!NtCreateWaitCompletionPacket
  • ntdll.dll!NtCreateWorkerFactory
  • ntdll.dll!NtDelayExecution
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtDuplicateToken
  • ntdll.dll!NtEnumerateKey
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFlushProcessWriteBuffers
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtFsControlFile
  • ntdll.dll!NtGetCachedSigningLevel
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSemaphore
  • ntdll.dll!NtOpenSymbolicLinkObject
  • ntdll.dll!NtOpenThread
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDebugFilterState
  • ntdll.dll!NtQueryDefaultLocale
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryFullAttributesFile
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationJobObject
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryObject
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySymbolicLinkObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtQueueApcThreadEx2
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseSemaphore
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationFile
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationObject
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtSetTimerEx
  • ntdll.dll!NtSubscribeWnfStateChange

以上未显示另外 26 件商品。

Anti Debug
  • IsDebuggerPresent
  • NtQuerySystemInformation
User Data Access
  • GetUserDefaultLocaleName
  • GetUserName
  • GetUserNameEx
  • GetUserObjectInformation
Process Shell Execute
  • CreateProcess
Encryption Used
  • BCryptOpenAlgorithmProvider
Other Suspicious
  • AdjustTokenPrivileges

Shell命令执行

C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell.exe -windowstyle hidden -NoProfile -ExecutionPolicy bypass -Command $mydir = [System.Environment]::GetFolderPath('CommonApplicationData')