Keylogger.MSIL.DiscordRAT.TT
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Livello di minaccia: | 80 % (Alto) |
| Visto per la prima volta: | January 4, 2024 |
| Ultima visualizzazione: | October 24, 2025 |
| Sistemi operativi interessati: | Windows |
Keylogger.MSIL.DiscordRAT.TT è una minaccia spyware basata su Windows che appartiene alla categoria dei keylogger, un tipo di software dannoso progettato per monitorare e registrare segretamente ciò che una vittima digita e fa sul proprio computer. Classificata con un livello di pericolosità elevato, questa minaccia è concepita per raccogliere silenziosamente informazioni sensibili e inviarle a un attaccante remoto, mettendo seriamente a rischio la privacy personale e la sicurezza finanziaria. È stata osservata in rete per un periodo prolungato, il che indica che rimane una minaccia attiva di cui gli utenti di computer dovrebbero essere consapevoli.
Sommario
Cosa fa Keylogger.MSIL.DiscordRAT.TT
Una volta attivo su un sistema, Keylogger.MSIL.DiscordRAT.TT opera in background per acquisire dati sensibili come tasti premuti, credenziali di accesso e altre informazioni digitate o memorizzate sul computer infetto. Il programma è sviluppato utilizzando il framework .NET e si maschera da una generica applicazione "Aggiornamenti", un trucco comune utilizzato per far apparire il file dannoso innocuo o per mimetizzarsi con i processi legittimi di Windows. Dopo aver raccolto i dati, può memorizzarli localmente sul disco rigido o trasmetterli a un server remoto controllato dall'attaccante, utilizzando le funzioni di comunicazione di rete per stabilire una connessione e inviare le informazioni rubate.
Questa particolare famiglia di malware è associata alla funzionalità di trojan ad accesso remoto (RAT) che sfrutta l'infrastruttura di Discord per il comando e il controllo, una tecnica sempre più diffusa tra i criminali informatici perché consente loro di nascondere il traffico dannoso all'interno di servizi di rete legittimi e ampiamente utilizzati. Oltre al furto di dati, il malware presenta comportamenti tipici dei RAT, tra cui la verifica delle informazioni di sistema, la richiesta di dettagli sulle schede di rete e il tentativo di modificare i privilegi di sistema, tutte attività che gli consentono di mantenere il controllo sul dispositivo infetto ed eludere il rilevamento.
Come solitamente si installa sui computer
Keylogger.MSIL.DiscordRAT.TT non possiede un meccanismo di auto-diffusione noto e, come la maggior parte dei keylogger e dei RAT, si basa in genere sull'inganno per infettare un sistema. I percorsi di infezione più comuni per questo tipo di minaccia includono allegati e-mail dannosi, download in bundle da siti web inaffidabili, falsi aggiornamenti o crack di software e file condivisi tramite reti peer-to-peer o piattaforme di messaggistica. Poiché il campione analizzato non presenta una firma digitale e si presenta come un'utilità di "Aggiornamento", gli utenti potrebbero essere indotti a eseguirlo manualmente, credendo che si tratti di un aggiornamento legittimo del sistema o di un'applicazione.
Rischi per l’utente
La presenza di questo keylogger su un sistema comporta seri rischi. È in grado di acquisire password, dati bancari e numeri di carte di credito, il che può portare a perdite finanziarie dirette, furto d'identità e accesso non autorizzato agli account online. Poiché i dati rubati vengono inviati a un server remoto, le vittime spesso non hanno modo di sapere con precisione quali informazioni siano state compromesse finché il danno non si è già verificato.
Segni di infezione
I keylogger come questo sono progettati per funzionare silenziosamente, quindi le infezioni possono essere difficili da individuare. Possibili segnali di allarme includono la comparsa inaspettata di nuovi file o cartelle nelle directory del profilo utente, attività di rete in uscita insolite, prestazioni di sistema lente, processi sconosciuti in esecuzione in background e modifiche inspiegabili alle password degli account o attività di accesso sospette ai servizi online.
Come rimanere protetti
Per ridurre il rischio di infezione, evita di scaricare software, aggiornamenti o crack da fonti non ufficiali o non attendibili e presta attenzione agli allegati e ai link provenienti da mittenti sconosciuti. Mantieni aggiornati il sistema operativo e le applicazioni installate, utilizza password complesse e univoche per i diversi account e abilita l'autenticazione a più fattori ove possibile. L'utilizzo di un software di sicurezza affidabile e aggiornato e l'esecuzione di scansioni di sistema regolari possono aiutare a rilevare e rimuovere minacce come Keylogger.MSIL.DiscordRAT.TT prima che i dati sensibili vengano compromessi.
Rapporto di analisi
Informazione Generale
| Cognome: | Keylogger.MSIL.DiscordRAT.TT |
|---|---|
| Stato della firma: | No Signature |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
fccbe8c4d94a65b151a8a6e015dea6af
SHA1:
0d25a4ff8e873fab3be2a46d9fc3617d965c6178
SHA256:
19BEE783B8334FCB98C63F23A25990B270A4E094EF87D8A666D070EC9FB63003
Dimensione del file:
7.17 KB.7168 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
- File is either console or GUI application
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Informazioni sulla versione di Windows PE
Informazioni sulla versione di Windows PE
Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.| Nome | Valore |
|---|---|
| Assembly Version | 0.0.0.0 |
| File Description | Update |
| File Version | 0.0.0.0 |
| Internal Name | Update.exe |
| Legal Copyright | Copyright © 2021 |
| Original Filename | Update.exe |
| Product Name | Update |
| Product Version | 0.0.0.0 |
Caratteristiche dei file
- .NET
- x86
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 5 |
|---|---|
| Blocchi potenzialmente dannosi: | 2 |
| Blocchi consentiti: | 3 |
| Blocchi sconosciuti: | 0 |
Mappa visiva
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
Famiglie simili
Famiglie simili
Questa sezione elenca altre famiglie che presentano similitudini con questa famiglia, sulla base dell'analisi di EnigmaSoft. Molte famiglie di malware sono create a partire dagli stessi toolkit e utilizzano le stesse tecniche di compressione e crittografia, ma ne estendono le funzionalità in modo univoco. Famiglie simili possono anche condividere codice sorgente, attributi, icone, sottocomponenti, firme digitali compromesse e/o non valide e caratteristiche di rete. I ricercatori sfruttano queste somiglianze per analizzare rapidamente ed efficacemente i campioni di file ed estendere le regole di rilevamento del malware.- MSIL.DiscordRAT.TT
File modificati
File modificati
Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.| File | Attributi |
|---|---|
| c:\users\user\appdata\local\shadow\shadowlauncher.exe | Generic Write,Read Attributes |
Modifiche al registro
Modifiche al registro
Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.| Chiave::Valore | Dati | Nome API |
|---|---|---|
| HKLM\software\wow6432node\microsoft\tracing::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey |
Show 5 more
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| User Data Access |
|
| Anti Debug |
|
| Other Suspicious |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|