威胁数据库 特洛伊木马 Trojan.Downloader.Gen.AI

Trojan.Downloader.Gen.AI

通过CagedTech在 特洛伊木马
发布时间：
最后更新：

威胁评分卡

人气排名： 7,199
威胁级别： 80 % (高的)
受感染的计算机： 19
初见： November 19, 2025
最后一次露面： October 16, 2026
受影响的操作系统： Windows

Trojan.Downloader.Gen.AI是一种针对 Windows 计算机的危险木马检测程序。该威胁被评为高危级别，旨在悄无声息地潜入系统，隐藏自身存在，并在用户不知情的情况下从远程来源获取其他恶意载荷。其通用检测名称反映了它涵盖了一系列具有类似恶意行为的下载器组件，而非单一的固定代码片段。

Trojan.Downloader.Gen.AI 的作用

Trojan.Downloader.Gen.AI 一旦激活，便会在后台静默运行，避免任何明显的迹象引起用户的注意。顾名思义，它的核心功能是充当下载器：它会连接到攻击者控制的基础设施，并获取更多恶意文件，这些文件随后可在受感染的计算机上执行。样本分析显示，该木马通常通过合法的 Windows 系统工具（例如rundll32.exe ）加载，这使其能够将自身活动伪装成正常的操作系统行为，从而增加检测难度。此外，还观察到它使用了与内存操作和进程处理相关的底层系统调用，这些技术常被恶意软件用于取消映射和重写进程内存、规避安全工具以及以更低的可见性运行其代码。某些变种可能还包含反调试检查，这有助于木马检测到自身正在被分析，并试图隐藏其真实行为。由于这种威胁可以使攻击者在系统中站稳脚跟，因此可能会利用它安装其他恶意软件，包括间谍软件、勒索软件、银行木马或其他危险程序，从而有效地使网络犯罪分子能够持续访问受感染的计算机。

它通常是如何进入电脑的

与大多数木马下载器一样，这种威胁通常依靠欺骗而非自我传播。它通常通过从不可信或恶意网站下载的软件传播，这些软件可能与盗版或破解版应用程序捆绑在一起，或者隐藏在来自未知或未经核实发件人的电子邮件附件中。这些附件通常使用 .exe、.pif、.avi 甚至看似无害的 .jpg 文件等文件类型进行伪装，诱骗用户打开。在某些情况下，这类木马还可以利用未修补的系统漏洞和安全缺陷，在受害者不知情的情况下自行安装。

用户面临的风险

系统中存在 Trojan.Downloader.Gen.AI 会带来严重风险。由于它旨在获取并运行其他恶意代码，受感染的用户可能面临级联感染的风险，即一个木马程序会打开通往更多威胁的大门。潜在后果包括个人或财务信息被盗、未经授权的远程访问计算机、系统性能下降以及勒索软件或其他破坏性程序的安装。在某些情况下，攻击者甚至可以获得对受感染计算机的完全控制权。

感染迹象

由于这种木马程序设计为静默运行，因此感染过程可能难以察觉。用户应注意以下情况：系统运行速度无故变慢、网络活动异常、系统实用程序中出现陌生进程、下载文件夹中出现意外新文件，或安全工具意外禁用。频繁崩溃或系统行为异常也可能是警告信号。

如何做好防护

为降低感染风险，请避免从非官方或可疑网站下载软件，切勿打开来自未知或意外发件人的电子邮件附件，尤其是带有不寻常扩展名的可执行文件。保持操作系统和已安装软件的最新版本，以修复已知的安全漏洞；使用信誉良好的、具有实时防护功能的反恶意软件解决方案；并定期进行全系统扫描。养成谨慎的浏览习惯并备份重要数据，也能在感染发生时进一步降低损失。

分析报告

一般信息

姓： Trojan.Downloader.Gen.AI
签名状态： Hash Mismatch

已知样本

MD5: adc5d7939574b39c43fc547ef3cc2194
SHA1: 2bfea81deba4daeaeaf2bb5394aa3e416e033ebd
SHA256: 83BF53BAA721D8B8DA8E012259B17557BD39392667A97E1F827E8CE551CF39EB
文件大小: 1.07 MB,1070136字节
MD5: e677aa1e5789431a075641ba329e1437
SHA1: 8b2cb6edf84d36976207d1bb2705d7cc17898f15
SHA256: E7A413A4E92B15BC734EC9F092E6631EB1B8694D154E57C76751138682DAC9F8
文件大小: 1.27 MB,1270184字节
MD5: b9d47b709e32165174f2b9015b5daa63
SHA1: aa8ffd911d2bc0029594c96b90fbbd64cdeab7e6
SHA256: B3A4A3501A9562827C07EE50BBE4E9D2B2A861DCED8BA2A67D8E7101741DB553
文件大小: 1.27 MB,1270184字节
MD5: 93e36ca15d897cab39e8eca4bb93c08f
SHA1: 280b3b19d58f78df2f20b17b68ce98c1e69b8cba
SHA256: 8D68D4207395968E936A603ABDDCE53E25BCACC1822C5E92A38FD1B1EBEEE20C
文件大小: 875.69 KB,875688字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File has exports table
  • File has TLS information
  • File is 32-bit executable
  • File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE 版本信息

姓名 价值
Company Name Microsoft Corporation
File Description
  • Microsoft.IntelliTrace.Profiler.dll
  • Microsoft Instrumentation Engine
  • Microsoft® C Runtime Library
File Version
  • 17.0.36108.8 built by: d17.14
  • 15.1.0.2022032203
  • 11.00.61227.0 built by: Q11REL
Internal Name
  • Microsoft.IntelliTrace.Profiler.dll
  • MicrosoftInstrumentationEngine_x86
  • msvcr110.dll
Legal Copyright © Microsoft Corporation. All rights reserved.
Legal Trademarks Microsoft® is a registered trademark of Microsoft Corporation.
Original Filename
  • Microsoft.IntelliTrace.Profiler.dll
  • MicrosoftInstrumentationEngine_x86.dll
  • msvcr110.dll
Product Name
  • Microsoft® Visual Studio®
  • Microsoft® Visual Studio® 2012
Product Version
  • 17.0.36108.8
  • 15.1.0.2022032203
  • 11.00.61227.0

数字签名

签名者 根 地位
Microsoft Corporation Microsoft Code Signing PCA Hash Mismatch
Microsoft Corporation Microsoft Code Signing PCA 2011 Hash Mismatch

文件特征

  • dll
  • HighEntropy
  • x86

区块信息

总区块数： 5,441
潜在恶意块： 5
白名单区块： 5,422
未知区块： 14

可视化地图

... 数据已截断
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

  • QBot.AKD
  • Rugmi.IFB
  • Trojan.Downloader.Gen.KF

注册表修改

键::值 数据 API名称
HKLM\system\controlset001\services\eventlog\application\tracelog profiler::eventmessagefile c:\users\user\downloads\2bfea81deba4daeaeaf2bb5394aa3e416e033ebd_0001070136 RegNtPreCreateKey
HKLM\system\controlset001\services\eventlog\application\tracelog profiler::typessupported  RegNtPreCreateKey

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtQueryAttributesFile
Show 18 more
  • ntdll.dll!NtQueryDebugFilterState
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationFile
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWriteFile
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
Anti Debug
  • NtQuerySystemInformation

Shell命令执行

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\2bfea81deba4daeaeaf2bb5394aa3e416e033ebd_0001070136.,LiQMAxHB
C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\8b2cb6edf84d36976207d1bb2705d7cc17898f15_0001270184.,LiQMAxHB
C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\aa8ffd911d2bc0029594c96b90fbbd64cdeab7e6_0001270184.,LiQMAxHB
C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\280b3b19d58f78df2f20b17b68ce98c1e69b8cba_0000875688.,LiQMAxHB