Agente espionaje troyano AZ
Cuadro de Mando de Amenazas
Cuadro de mando de amenazas EnigmaSoft
EnigmaSoft Threat Scorecards son informes de evaluación de diferentes amenazas de malware que nuestro equipo de investigación ha recopilado y analizado. Los cuadros de mando de amenazas de EnigmaSoft evalúan y clasifican las amenazas utilizando varias métricas que incluyen factores de riesgo reales y potenciales, tendencias, frecuencia, prevalencia y persistencia. Los cuadros de mando de amenazas de EnigmaSoft se actualizan regularmente en función de nuestros datos y métricas de investigación y son útiles para una amplia gama de usuarios de computadoras, desde usuarios finales que buscan soluciones para eliminar malware de sus sistemas hasta expertos en seguridad que analizan amenazas.
EnigmaSoft Threat Scorecards muestra una variedad de información útil, que incluye:
Clasificación de popularidad: La posición que ocupa una amenaza específica en la base de datos de amenazas de EnigmaSoft.
Nivel de severidad: El nivel de severidad determinado de un objeto, representado numéricamente, basado en nuestro proceso de modelado de riesgo e investigación, como se explica en nuestros Criterios de evaluación de amenazas .
Computadoras infectadas: la cantidad de casos confirmados y sospechosos de una amenaza particular detectada en computadoras infectadas según lo informado por SpyHunter.
Consulte también Criterios de evaluación de amenazas .
| Clasificación de popularidad: | 22,740 |
| Nivel de amenaza: | 80 % (Elevado) |
| Computadoras infectadas: | 15 |
| Visto por primera vez: | April 10, 2024 |
| Ultima vez visto: | August 26, 2026 |
| SO(s) afectados: | Windows |
Trojan.Spy.Agent.AZ es un troyano para Windows con un nivel de peligro de 8 sobre 10. Pertenece a la categoría de troyanos de tipo spyware, lo que significa que está diseñado para ejecutarse silenciosamente, pasar desapercibido y permitir que los atacantes accedan al ordenador. Se detectó por primera vez el 10 de abril de 2024 y, más recientemente, el 26 de agosto de 2026, por lo que sigue activo. El registro de detecciones indica 15 casos.
Tabla de contenido
Lo que hace la amenaza
Según la información disponible, Spy.Agent.AZ se instala sigilosamente y se ejecuta en segundo plano sin hacer ruido. Tras la instalación, puede otorgar a los atacantes el control total del sistema. También puede eliminar archivos de forma encubierta e instalar software adicional. El texto de la información se interrumpe en ese punto, por lo que no especifica qué otras instalaciones puede realizar el troyano.
Los datos técnicos apuntan a un programa con interfaz gráfica de usuario (GUI) nativa de Windows de 64 bits que no está empaquetado. Utiliza varias funcionalidades típicas del malware de espionaje y control remoto:
- Acceso a la red: utiliza las funciones de red de Windows (WinHTTP y Winsock), que un troyano como este suele necesitar para comunicarse con un servidor remoto.
- Cifrado: utiliza una función criptográfica de Windows. El malware suele hacerlo para ocultar sus datos o comunicaciones.
- Escritura en memoria: está marcada para WriteProcessMemory. Esta función se asocia comúnmente con la inyección de código en otros procesos en ejecución, aunque la fuente no confirma que esto sea lo que hace el ejemplo.
También se observó que la muestra modificaba archivos en la caché de descarga de certificados de Windows. Esto podría ser simplemente un efecto secundario de la verificación de la firma digital por parte de Windows, por lo que no debe interpretarse como prueba de una acción maliciosa específica.
Cómo suele llegar a los ordenadores
El feed menciona tres rutas principales:
- Explotar las vulnerabilidades del sistema y las fallas de seguridad.
- Descargas de software desde sitios web maliciosos.
- Archivos adjuntos de correo electrónico procedentes de fuentes no fiables, normalmente archivos .exe, .pif, .avi e incluso .jpg.
El archivo analizado también se disfraza. Su información de versión afirma provenir de Microsoft Corporation y se presenta como "setup.exe" para un producto llamado "Bloc de notas --", etiquetado como "Instalador de instalación del Bloc de notas". Contiene una firma digital emitida a "Greenengine OU", pero su estado es "Root Not Trusted" (Raíz no confiable). Un instalador falso con un nombre familiar y una firma no confiable es motivo suficiente para no ejecutarlo.
Riesgos para el usuario
Debido a que este troyano puede otorgar al atacante el control total del sistema, el daño potencial es amplio. Los riesgos típicos de los troyanos de tipo spyware incluyen:
- Robo de datos personales, contraseñas y otra información confidencial.
- Pérdida o eliminación de archivos.
- Instalación de software malicioso adicional.
- El uso del ordenador por otra persona sin tu conocimiento.
El feed confirma la eliminación del archivo, el posible control total y las instalaciones adicionales. Los demás elementos describen lo habitual en esta categoría.
Signos de infección
El troyano se ejecuta silenciosamente, por lo que puede que no presente síntomas evidentes. Los signos típicos de este tipo de infección incluyen:
- Actividad de red inesperada procedente de programas que no reconoce.
- Archivos que desaparecen sin explicación.
- Programas nuevos que no has instalado.
- Rendimiento más lento o comportamiento inexplicable del sistema.
- Un archivo "setup.exe" o instalador ejecutado recientemente no hizo lo que prometía.
Cómo mantenerse protegido
- Mantén Windows y todo el software instalado actualizados, ya que este troyano puede explotar vulnerabilidades conocidas.
- Descarga el software únicamente desde el sitio web oficial del editor y desconfía de los instaladores que parezcan herramientas conocidas pero que provengan de fuentes desconocidas.
- No abra archivos adjuntos de remitentes desconocidos, aunque parezcan imágenes o vídeos. Los archivos ejecutables disfrazados de imágenes o contenido multimedia son una táctica común.
- Comprueba la firma digital de un archivo antes de ejecutarlo. Una advertencia como la de una raíz no confiable es una señal de alerta.
- Utilice una solución de seguridad fiable y actualizada, y realice un análisis completo del sistema si sospecha que hay algún problema.
- Realice copias de seguridad periódicas de los archivos importantes en una unidad o servicio que no esté conectado permanentemente a su ordenador.
Si crees que has ejecutado un instalador sospechoso, desconecta el ordenador de internet, realiza un análisis completo y elimina cualquier programa malicioso detectado. Después, cambia tus contraseñas importantes desde otro dispositivo limpio.
Reporte de análisis
Información general
| Apellido: | Trojan.Spy.Agent.AZ |
|---|---|
| Estado de la firma: | Root Not Trusted |
Muestras conocidas
Muestras conocidas
Esta sección enumera otras muestras de archivos que se cree que están asociadas con esta familia.|
MD5:
95f79bb0f335e61e9141dd51bc91d395
SHA1:
9d4e073bc4d9f200e854f341032271cd92d08410
SHA256:
43ED1D8E0E162CD1B982B8BFA514A78BB0D7304CA773B31350966587E658A211
Tamaño del archivo:
7.06 MB, 7059528 bytes
|
Atributos de ejecutables portátiles de Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File has exports table
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Iconos de archivo
Iconos de archivo
Esta sección muestra los recursos de iconos encontrados en muestras de la misma familia. El malware suele replicar iconos comúnmente asociados con software legítimo para engañar a los usuarios y hacerles creer que el malware es seguro.
Información de la versión de Windows PE
Información de la versión de Windows PE
Esta sección muestra los valores y atributos que se han configurado en la estructura de datos de información de versión de archivos de Windows para las muestras de esta familia. Para engañar a los usuarios, los ciberdelincuentes suelen añadir información de versión falsa que imita a software legítimo.| Nombre | Valor |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | setup.exe |
| File Version | 1.2.0.400 |
| Original Filename | setup.exe |
| Product Name | Notepad -- |
| Product Version | 1.2.0.400 |
| Program I D | Notepad -- Setup Installer |
Firmas digitales
Firmas digitales
Esta sección enumera las firmas digitales adjuntas a las muestras de esta familia. Al analizar y verificar las firmas digitales, es importante confirmar que la autoridad raíz de la firma sea una entidad reconocida y confiable, y que su estado sea válido. El malware suele firmarse con firmas digitales autofirmadas no confiables (que un autor de malware puede crear fácilmente sin verificación). También puede firmarse con firmas legítimas con un estado inválido, o con firmas de autoridades raíz dudosas con nombres de firmantes falsos o engañosos.| Firmante | Raíz | Estado |
|---|---|---|
| Greenengine OU | SSL.com EV Root Certification Authority RSA R2 | Root Not Trusted |
Características de archivo
- Installer Version
- WriteProcessMemory
- x64
Información del bloque
Información del bloque
Durante el análisis, EnigmaSoft divide las muestras de archivos en bloques lógicos para su clasificación y comparación con otras muestras. Estos bloques se pueden usar para generar reglas de detección de malware y agrupar las muestras de archivos en familias según su código fuente, funcionalidad y otros atributos y características distintivas. Esta sección presenta un resumen de los datos de estos bloques, así como su clasificación por EnigmaSoft. También se muestra una representación visual de los datos de los bloques, cuando está disponible.| Bloques totales: | 28,258 |
|---|---|
| Bloqueos potencialmente maliciosos: | 56 |
| Bloqueos permitidos: | 28,180 |
| Bloques desconocidos: | 22 |
Mapa visual
... Datos truncados? - Bloque desconocido
x - Bloqueo potencialmente malicioso
Familias similares
Familias similares
Esta sección enumera otras familias que comparten similitudes con esta familia, según el análisis de EnigmaSoft. Muchas familias de malware se crean a partir de los mismos kits de herramientas y utilizan las mismas técnicas de empaquetado y cifrado, pero extienden su funcionalidad de forma única. Familias similares también pueden compartir código fuente, atributos, iconos, subcomponentes, firmas digitales comprometidas o inválidas y características de red. Los investigadores aprovechan estas similitudes para clasificar rápidamente y de forma eficaz las muestras de archivos y ampliar las reglas de detección de malware.- Delf.Spy.D
- Downloader.Delf.L
- Ousaban.J
- Rugmi.L
- SecureDuck.A
Show 1 more
- Spy.Agent.AZ
Archivos modificados
Archivos modificados
Esta sección enumera los archivos que fueron creados, modificados, movidos o eliminados por muestras de esta familia. La actividad del sistema de archivos puede proporcionar información valiosa sobre cómo funciona el malware en el sistema operativo.| Archivo | Atributos |
|---|---|
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Modificaciones del registro
Modificaciones del registro
Esta sección enumera las claves y valores del registro que fueron creados, modificados o eliminados por muestras de esta familia. La actividad del Registro de Windows puede proporcionar información valiosa sobre la funcionalidad del malware. Además, el malware suele crear valores en el registro para iniciarse automáticamente y persistir indefinidamente después de que la infección inicial haya comprometido el sistema.| Clave::Valor | Datos | Nombre de la API |
|---|---|---|
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | �RĿ���Ӂ� f�K�Q� 9dI��:��d S � 0��0" +��000 +�7< �0" +��000 +�7< �0g� 00 +�7< �0g� 00 +�7< � ^ S S L . c o m E V R o o t C e r t i f i c a t i o | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | h?X�R�!���2� S_ t:�R��2��J��Ժ�{|.Ě~ ��%� 0 + V=XΌ {PV�G5� b �`����4����%�s�Fi��b .{�l�$���⪆�ua��9�;/���mN�4�B\ L 0J++ +�7 | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | 䂁ᣅﱩⱆ疉ར碪 嚨출얜米ቺ惟Ⲍ咼S e 挰ℰଆ萪Ũɷą、〒ؐ⬊ĆĄ㞂ļ́ダء⨋梄蘁矶Ԃ܁ሰူਆثЁ舁㰷āȃ쀀ᬰԆ腧Č〃〒ؐ⬊ĆĄ㞂ļ́ী Ā 吀 ْ⬈Ćԅ̇⬈Ćԅ̇⬊ĆĄ㞂̊⬈Ćԅ̇⬈Ćԅ̇؆⬈Ćԅ̇؇⬈Ćԅ | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | \ ࠀ 縟୵歖訒룀埖⩭ꕰ 뜠㼬⼙⠆妢᤺ྦྷ鸆 泥閯洬ꫲឤ꜆䑺ς 瘈쯍＇췅믭벐蓢䘷b 塜赆䦎瑾船뗒က톶㝥콊ꞃꏔ뜭쑨蹀 4 Certum Trusted Network CA T | RegNtPreCreateKey |
Uso de la API de Windows
Uso de la API de Windows
Esta sección enumera las llamadas a la API de Windows que utilizan las muestras de esta familia. El análisis del uso de la API de Windows es una herramienta valiosa que puede ayudar a identificar actividades maliciosas, como el registro de pulsaciones de teclas, la escalada de privilegios de seguridad, el cifrado de datos, la exfiltración de datos, la interferencia con el software antivirus y la manipulación de solicitudes de red.| Categoría | API |
|---|---|
| Syscall Use |
Show 90 more
No se muestran arriba 12 artículos adicionales. |
| Network Winsock2 |
|
| Encryption Used |
|
| Network Winhttp |
|