Trojan.MSIL.Agent.ACM
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Classifica di popolarità: | 23,035 |
| Livello di minaccia: | 80 % (Alto) |
| Visto per la prima volta: | September 3, 2024 |
| Ultima visualizzazione: | August 26, 2026 |
| Sistemi operativi interessati: | Windows |
Trojan.MSIL.Agent.ACM è un Trojan che prende di mira i computer Windows. Il suo livello di pericolosità è valutato 8 su 10. Il rilevamento si basa su un programma .NET (MSIL), motivo per cui "MSIL" compare nel suo nome. I nostri dati mostrano che è stato rilevato per la prima volta il 3 settembre 2024 e più recentemente il 26 agosto 2026, con solo un piccolo numero di rilevamenti registrati (2).
Sommario
Cosa fa la minaccia
Secondo la descrizione del feed, il Trojan viene eseguito silenziosamente in background e svolge funzioni dannose. Può dare agli aggressori il controllo completo di un sistema infetto e può eliminare file e installare software aggiuntivo in modo furtivo. Una volta che il Trojan è presente sul computer, potresti non accorgerti di nulla di anomalo.
Il campione analizzato è un eseguibile .NET a 32 bit con interfaccia grafica. Non è compresso e non possiede una firma digitale. Le informazioni sulla versione lo identificano come una generica "WindowsFormsApp" con versione 1.0.0.0 e un avviso di copyright del 2022. Tali dettagli generici non sono tipici di un software di un editore affermato, ma di per sé non dimostrano intenti malevoli.
Il comportamento osservato nel campione comprende:
- Creazione e modifica di file di configurazione e file temporanei (come user.config e file con estensione .tmp e .newcfg) all'interno di una cartella denominata "windowsformsapp" nell'area dati locale dell'applicazione dell'utente.
- Avvio di un file denominato FreeFlashPlayer.exe dalla cartella Download tramite una chiamata di shell. Ciò suggerisce che il campione sia stato distribuito camuffato da download di un lettore multimediale gratuito.
- Utilizzo di API che leggono i dettagli di sistema, come il nome del computer e le impostazioni della lingua predefinita.
- Utilizzo di controlli anti-debugging (IsDebuggerPresent e NtQuerySystemInformation), comunemente impiegati dai malware per eludere l'analisi.
- Viene utilizzata una funzione di crittografia di Windows (BCryptOpenAlgorithmProvider). Il feed non specifica a cosa serva.
Dei 18 blocchi di rete registrati per il campione, 17 sono stati inseriti nella lista bianca e uno è stato segnalato come potenzialmente dannoso.
Come di solito si insinua nei computer
Il feed afferma che questo Trojan si installa furtivamente, il più delle volte tramite:
- Sfruttamento delle vulnerabilità del sistema e delle falle di sicurezza.
- Download di software da siti web dannosi.
- Allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi e persino .jpg.
Il file FreeFlashPlayer.exe rilevato nell'attività del campione corrisponde allo schema dei download di software fasulli. I programmi "player" o "di aggiornamento" gratuiti provenienti da siti non ufficiali sono un metodo comune utilizzato dai Trojan per raggiungere gli utenti.
Rischi per l’utente
- Controllo remoto del tuo PC da parte di un aggressore.
- Perdita dei file se il Trojan li elimina.
- Installazione di programmi indesiderati o dannosi aggiuntivi senza il tuo consenso.
- Esposizione di informazioni personali. I trojan di questo tipo raccolgono comunemente dettagli di sistema, sebbene il feed non elenchi dati specifici rubati per questo campione.
Segni di infezione
Poiché il Trojan agisce silenziosamente, i sintomi visibili potrebbero essere pochi. Vale la pena controllare questi segnali:
- Un programma sconosciuto denominato FreeFlashPlayer.exe nella cartella Download, oppure un programma che non ricordi di aver mai eseguito.
- È presente una cartella "WindowsFormsApp" sconosciuta nella cartella dei dati dell'applicazione locale.
- File mancanti o nuovi programmi che non hai installato.
- Prestazioni più lente o attività di rete inaspettate (tipiche dei Trojan, non confermate per questo campione).
Come proteggersi
- Scarica il software esclusivamente dai siti web ufficiali dei produttori. Evita di scaricare player o aggiornamenti "gratuiti" da pagine sconosciute.
- Non aprire allegati provenienti da mittenti sconosciuti, soprattutto file .exe o .pif. Fai attenzione ai file immagine o video che si comportano come programmi.
- Mantieni Windows e tutte le tue applicazioni aggiornate in modo che le vulnerabilità note vengano corrette.
- Esegui regolarmente scansioni complete con un programma antimalware aggiornato e affidabile.
- Esegui il backup dei tuoi file importanti su un'unità esterna o su un supporto di archiviazione offline.
- Per le attività quotidiane, utilizza un account utente standard anziché un account amministratore.
Se sospetti un'infezione, disconnetti il computer da Internet, esegui una scansione completa e rimuovi tutto ciò che viene rilevato. Quindi, cambia le password importanti da un dispositivo pulito. Se il sistema continua a comportarsi in modo anomalo, valuta la possibilità di rivolgerti a un tecnico specializzato.
Rapporto di analisi
Informazione Generale
| Cognome: | Trojan.MSIL.Agent.ACM |
|---|---|
| Stato della firma: | No Signature |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
db3eafe3b7890a2ff315be1ffeaba30f
SHA1:
536205262fbb6cacfa39d9b0bfd66df4d885f4c1
SHA256:
E6F3B534F969ADD4A98A70EB67B53CD4917B5E2BA256467A7C6D1DA3AE817C6C
Dimensione del file:
64.51 KB.64512 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Informazioni sulla versione di Windows PE
Informazioni sulla versione di Windows PE
Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.| Nome | Valore |
|---|---|
| Assembly Version | 1.0.0.0 |
| File Description | WindowsFormsApp |
| File Version | 1.0.0.0 |
| Internal Name | WindowsFormsApp.exe |
| Legal Copyright | Copyright © 2022 |
| Original Filename | WindowsFormsApp.exe |
| Product Name | WindowsFormsApp |
| Product Version | 1.0.0.0 |
Caratteristiche dei file
- .NET
- x86
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 18 |
|---|---|
| Blocchi potenzialmente dannosi: | 1 |
| Blocchi consentiti: | 17 |
| Blocchi sconosciuti: | 0 |
Mappa visiva
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
Famiglie simili
Famiglie simili
Questa sezione elenca altre famiglie che presentano similitudini con questa famiglia, sulla base dell'analisi di EnigmaSoft. Molte famiglie di malware sono create a partire dagli stessi toolkit e utilizzano le stesse tecniche di compressione e crittografia, ma ne estendono le funzionalità in modo univoco. Famiglie simili possono anche condividere codice sorgente, attributi, icone, sottocomponenti, firme digitali compromesse e/o non valide e caratteristiche di rete. I ricercatori sfruttano queste somiglianze per analizzare rapidamente ed efficacemente i campioni di file ed estendere le regole di rilevamento del malware.- MSIL.Agent.ACM
File modificati
File modificati
Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.| File | Attributi |
|---|---|
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.newcfg | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.newcfg | Synchronize,Write Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\dtsgdecw.newcfg | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\dtsgdecw.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\user.config | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\user.config | Synchronize,Write Data |
Modifiche al registro
Modifiche al registro
Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.| Chiave::Valore | Dati | Nome API |
|---|---|---|
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey |
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| User Data Access |
|
| Anti Debug |
|
| Encryption Used |
|
| Process Shell Execute |
|
Esecuzione di comandi shell
Esecuzione di comandi shell
Questa sezione elenca i comandi della shell di Windows eseguiti dai campioni di questa famiglia. I comandi della shell di Windows vengono spesso sfruttati dai malware per scopi illeciti e possono essere utilizzati per elevare i privilegi di sicurezza, scaricare e avviare altri malware, sfruttare le vulnerabilità, raccogliere ed esfiltrare dati e nascondere attività dannose.
(NULL) c:\users\user\downloads\FreeFlashPlayer.exe
|