Trojan.MSIL.Agent MOA

Trojan.MSIL.Agent.MOA è un Trojan per Windows classificato con un livello di pericolosità di 8 su 10. La sigla "MSIL" nel nome indica che si tratta di un programma sviluppato sulla piattaforma .NET. Trojan come questo si presentano come software innocui mentre eseguono azioni dannose nascoste. I dati del feed riportano un solo rilevamento, pertanto le informazioni disponibili sono limitate. Laddove i dati non forniscono ulteriori dettagli, questo articolo descrive il comportamento tipico di un Trojan e lo specifica chiaramente.

Cosa fa la minaccia

Secondo quanto riportato, il Trojan viene eseguito silenziosamente in background e svolge funzioni dannose. Può dare agli aggressori il controllo completo di un sistema infetto e può eliminare file in modo furtivo, tra le altre azioni.

Il campione analizzato presenta le seguenti caratteristiche:

• Si tratta di un'applicazione GUI .NET a 64 bit. Non è impacchettata e non possiede una firma digitale.
• Le informazioni sulla versione lo presentano come "LXBASE" con la descrizione "Just-In-Time FFI Gateway". Sembra un legittimo strumento per sviluppatori, un travestimento comune per i malware.
• Contiene riferimenti alla classe di crittografia Rijndael e alle funzioni VirtualQueryEx e WriteProcessMemory . Il codice che scrive nella memoria di altri processi è tipico dei malware che iniettano codice o si nascondono all'interno di altri programmi.
• Utilizza la regolazione dei privilegi ( AdjustTokenPrivileges ) e l'intercettazione di tastiera o mouse ( SetWindowsHookEx ). Queste azioni sono segnalate come sospette. Le intercettazioni di questo tipo vengono in genere utilizzate per monitorare l'input dell'utente, sebbene il feed non confermi tale scopo in questo caso.
• Utilizza funzioni di rete come socket e ricerca di indirizzi per poter comunicare attraverso la rete. Il feed non specifica il nome di alcun server.
• Esegue il comando wmic per leggere la riga di comando di un processo in esecuzione. Questo è un modo per raccogliere informazioni sul sistema.
• Il programma scrive file denominati self_exe.dat in due posizioni del profilo utente: una cartella della cache di Windows e una cartella di cache temporanea denominata "brightinfo". Ciò suggerisce che vi memorizzi copie di se stesso o di dati correlati.

Come di solito si insinua nei computer

Secondo le informazioni in nostro possesso, questo Trojan si installa in modo furtivo. I percorsi più comuni sono:

• Sfruttamento delle vulnerabilità del sistema e delle falle di sicurezza.
• Download di software da siti web dannosi.
• Allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi o persino .jpg.

Spesso gli hacker camuffano i file eseguibili da immagini o video in modo che gli utenti li aprano senza sospettare nulla.

Rischi per l’utente

Con il controllo remoto completo, un aggressore potrebbe compiere numerose azioni. Il feed conferma che i file potrebbero essere cancellati. Le attività tipiche di un Trojan includono anche il furto di password e dati personali, l'installazione di altri malware e l'utilizzo del computer per ulteriori attacchi. Poiché il campione può comunicare tramite la rete e monitorare gli input, le informazioni personali e finanziarie potrebbero essere a rischio. Questo è un comportamento tipico per la categoria, non una scoperta confermata per questo campione.

Segni di infezione

Questo tipo di Trojan è progettato per rimanere nascosto, quindi potrebbero non esserci sintomi evidenti. Possibili segnali di allarme includono:

• Un programma o processo sconosciuto chiamato LXBASE, oppure descritto come "Just-In-Time FFI Gateway".
• Presenza imprevista di file self_exe.dat nelle cache o nelle cartelle temporanee del profilo utente.
• Attività di rete inspiegabili, rallentamenti o file mancanti.

Come proteggersi

• Mantieni Windows e tutti i tuoi software aggiornati per chiudere le vulnerabilità sfruttate dagli hacker.
• Non aprire allegati provenienti da mittenti sconosciuti, nemmeno quelli che sembrano immagini o video. Fai attenzione ai file con estensioni insolite.
• Scarica il software esclusivamente dal sito web ufficiale dell'editore.
• Utilizza uno strumento di sicurezza affidabile e aggiornato ed esegui una scansione completa del sistema se sospetti un'infezione.
• Effettua regolarmente backup offline dei file importanti, in modo da poter ripristinare i dati cancellati o danneggiati.
• Se ritieni di essere infetto, disconnettiti da Internet, rimuovi la minaccia con una scansione completa e cambia le password da un dispositivo pulito.