Agente de descarga de troyanos NAU
Cuadro de Mando de Amenazas
Cuadro de mando de amenazas EnigmaSoft
EnigmaSoft Threat Scorecards son informes de evaluación de diferentes amenazas de malware que nuestro equipo de investigación ha recopilado y analizado. Los cuadros de mando de amenazas de EnigmaSoft evalúan y clasifican las amenazas utilizando varias métricas que incluyen factores de riesgo reales y potenciales, tendencias, frecuencia, prevalencia y persistencia. Los cuadros de mando de amenazas de EnigmaSoft se actualizan regularmente en función de nuestros datos y métricas de investigación y son útiles para una amplia gama de usuarios de computadoras, desde usuarios finales que buscan soluciones para eliminar malware de sus sistemas hasta expertos en seguridad que analizan amenazas.
EnigmaSoft Threat Scorecards muestra una variedad de información útil, que incluye:
Clasificación de popularidad: La posición que ocupa una amenaza específica en la base de datos de amenazas de EnigmaSoft.
Nivel de severidad: El nivel de severidad determinado de un objeto, representado numéricamente, basado en nuestro proceso de modelado de riesgo e investigación, como se explica en nuestros Criterios de evaluación de amenazas .
Computadoras infectadas: la cantidad de casos confirmados y sospechosos de una amenaza particular detectada en computadoras infectadas según lo informado por SpyHunter.
Consulte también Criterios de evaluación de amenazas .
| Clasificación de popularidad: | 15,408 |
| Nivel de amenaza: | 80 % (Elevado) |
| Computadoras infectadas: | 18 |
| Visto por primera vez: | February 8, 2024 |
| Ultima vez visto: | October 9, 2026 |
| SO(s) afectados: | Windows |
Trojan.Downloader.Agent.NAU es un programa malicioso para Windows clasificado como troyano descargador. Su objetivo principal no es causar daños visibles por sí mismo, sino abrir silenciosamente la puerta a otro malware mediante la descarga e instalación de componentes maliciosos adicionales en el equipo infectado. Detectada por primera vez en febrero de 2024 y aún presente, esta amenaza presenta un alto nivel de peligrosidad debido a su capacidad para servir como plataforma de lanzamiento para infecciones mucho más dañinas.
Tabla de contenido
¿Qué hace Trojan.Downloader.Agent.NAU?
Una vez activo en un sistema, Trojan.Downloader.Agent.NAU se ejecuta silenciosamente en segundo plano, ocultando su presencia al usuario. Está diseñado para instalarse sigilosamente y luego realizar funciones maliciosas sin dejar rastro. El análisis de su comportamiento muestra que puede iniciar la herramienta Windows PowerShell con ventanas ocultas y eludir las políticas de ejecución, lo que le permite ejecutar scripts y comandos sin activar las advertencias de seguridad habituales. También interactúa con los procesos del sistema, comprueba la presencia de herramientas de depuración y recopila información sobre el usuario conectado, como el nombre de usuario y la configuración regional. Estas capacidades sugieren que el troyano está diseñado para operar de forma encubierta mientras prepara el sistema para futuras vulneraciones, como la descarga de cargas útiles adicionales, lo que permite a atacantes remotos obtener el control o la extracción de datos confidenciales.
Cómo suele llegar a los ordenadores
El troyano Trojan.Downloader.Agent.NAU se propaga aprovechando vulnerabilidades del sistema y fallos de seguridad. Suele venir incluido con software descargado de sitios web poco fiables o maliciosos, o bien se envía como archivo adjunto por correo electrónico de remitentes desconocidos o sospechosos. Estos archivos adjuntos pueden estar disfrazados de archivos normales, como ejecutables, archivos multimedia o incluso imágenes, engañando a los usuarios para que los abran. Como es habitual en los troyanos de descarga, la infección suele producirse sin previo aviso, ya que el archivo malicioso puede parecer inofensivo a primera vista.
Riesgos para el usuario
Dado que este troyano se dedica principalmente a la descarga de programas, su mayor riesgo reside en lo que puede introducir en el sistema posteriormente. Puede permitir a los hackers obtener un control total sobre el ordenador infectado, lo que podría derivar en la instalación de spyware, ransomware, programas para robar contraseñas u otros programas peligrosos. El uso de comandos ocultos de PowerShell y llamadas al sistema relacionadas con privilegios indica que puede intentar escalar sus privilegios y realizar acciones difíciles de detectar para un usuario medio. Si no se soluciona, esto puede resultar en el robo de credenciales, pérdidas económicas, archivos dañados o un sistema gravemente comprometido.
Signos de infección
Dado que Trojan.Downloader.Agent.NAU está diseñado para funcionar silenciosamente, los síntomas evidentes pueden ser mínimos. Sin embargo, los usuarios deben estar atentos a ralentizaciones inexplicables, procesos en segundo plano inusuales, ventanas de PowerShell que aparecen brevemente de forma inesperada, picos en la actividad de la red o archivos nuevos y desconocidos que aparecen en carpetas temporales. El software de seguridad que detecta scripts sospechosos o este nombre específico de troyano suele ser el indicador más claro de infección.
Cómo mantenerse protegido
Para reducir el riesgo de infección, evite descargar software de sitios web no oficiales o no verificados, y nunca abra archivos adjuntos de correo electrónico de remitentes desconocidos o inesperados, especialmente archivos ejecutables o con extensiones inusuales. Mantenga el sistema operativo Windows y todo el software instalado completamente actualizados, ya que este troyano se basa en explotar vulnerabilidades sin parchear. Realice copias de seguridad periódicas de los archivos importantes, tenga precaución al habilitar macros o ejecutar scripts, y mantenga activa una solución de seguridad confiable y actualizada para detectar y bloquear amenazas como Trojan.Downloader.Agent.NAU antes de que puedan causar daños.
Reporte de análisis
Información general
| Apellido: | Trojan.Downloader.Agent.NAU |
|---|---|
| Estado de la firma: | No Signature |
Muestras conocidas
Muestras conocidas
Esta sección enumera otras muestras de archivos que se cree que están asociadas con esta familia.|
MD5:
48f1316432f4b9714542cf733d936ed8
SHA1:
34917dad9f0977a1d3e8d7228b60246615bc28dd
SHA256:
BA2FE025F1D1EEE75D547CE5BE1340A09FFEB83F35883D367B4095FFCA60C257
Tamaño del archivo:
135.17 KB, 135168 bytes
|
Atributos de ejecutables portátiles de Windows
- File doesn't have "Rich" header
- File doesn't have resources
- File doesn't have security information
- File has exports table
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Características de archivo
- dll
- x64
Información del bloque
Información del bloque
Durante el análisis, EnigmaSoft divide las muestras de archivos en bloques lógicos para su clasificación y comparación con otras muestras. Estos bloques se pueden usar para generar reglas de detección de malware y agrupar las muestras de archivos en familias según su código fuente, funcionalidad y otros atributos y características distintivas. Esta sección presenta un resumen de los datos de estos bloques, así como su clasificación por EnigmaSoft. También se muestra una representación visual de los datos de los bloques, cuando está disponible.| Bloques totales: | 478 |
|---|---|
| Bloqueos potencialmente maliciosos: | 16 |
| Bloqueos permitidos: | 461 |
| Bloques desconocidos: | 1 |
Mapa visual
? - Bloque desconocido
x - Bloqueo potencialmente malicioso
Archivos modificados
Archivos modificados
Esta sección enumera los archivos que fueron creados, modificados, movidos o eliminados por muestras de esta familia. La actividad del sistema de archivos puede proporcionar información valiosa sobre cómo funciona el malware en el sistema operativo.| Archivo | Atributos |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134330117538528711.4124.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_5ho5pj4z.44r.psm1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_oih24goz.lbn.ps1 | Generic Write,Read Attributes |
Modificaciones del registro
Modificaciones del registro
Esta sección enumera las claves y valores del registro que fueron creados, modificados o eliminados por muestras de esta familia. La actividad del Registro de Windows puede proporcionar información valiosa sobre la funcionalidad del malware. Además, el malware suele crear valores en el registro para iniciarse automáticamente y persistir indefinidamente después de que la infección inicial haya comprometido el sistema.| Clave::Valor | Datos | Nombre de la API |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | 멁㲇ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᏽ멉㲇ǝ | RegNtPreCreateKey |
Uso de la API de Windows
Uso de la API de Windows
Esta sección enumera las llamadas a la API de Windows que utilizan las muestras de esta familia. El análisis del uso de la API de Windows es una herramienta valiosa que puede ayudar a identificar actividades maliciosas, como el registro de pulsaciones de teclas, la escalada de privilegios de seguridad, el cifrado de datos, la exfiltración de datos, la interferencia con el software antivirus y la manipulación de solicitudes de red.| Categoría | API |
|---|---|
| Syscall Use |
Show 90 more
No se muestran arriba 26 artículos adicionales. |
| Anti Debug |
|
| User Data Access |
|
| Process Shell Execute |
|
| Encryption Used |
|
| Other Suspicious |
|
Ejecución de comandos de shell
Ejecución de comandos de shell
Esta sección enumera los comandos de la consola de Windows que ejecutan las muestras de esta familia. El malware suele utilizar los comandos de la consola de Windows con fines maliciosos, pudiendo emplearlos para elevar privilegios de seguridad, descargar y ejecutar otro malware, explotar vulnerabilidades, recopilar y extraer datos, y ocultar actividades maliciosas.
C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell.exe -windowstyle hidden -NoProfile -ExecutionPolicy bypass -Command $mydir = [System.Environment]::GetFolderPath('CommonApplicationData')
|