Trojan.MSIL.Agent.NOB

Trojan.MSIL.Agent.NOB è un Trojan per Windows con un livello di pericolosità pari a 8 su 10. La parte "MSIL" del nome indica che si tratta di un programma basato sul framework .NET. Come la maggior parte dei Trojan, tende a presentarsi come un programma innocuo mentre esegue azioni dannose nascoste. I nostri dati mostrano che è stato rilevato per la prima volta il 6 giugno 2026 e più recentemente il 26 agosto 2026.

Cosa fa la minaccia

Secondo la descrizione presente nel feed, questo Trojan si installa furtivamente e viene eseguito silenziosamente in background. Potrebbe dare agli aggressori il controllo completo di un sistema infetto e potrebbe eliminare file e installare altri software in modo furtivo. La descrizione è incompleta, quindi non possiamo elencare tutte le sue possibili funzioni.

Il campione analizzato presenta diverse caratteristiche degne di nota:

• Si presenta come Microsoft Teams , con "Microsoft" nei campi relativi all'azienda e al marchio. Anche il nome del file originale è impostato in modo da assomigliare a quello di un componente di Teams. Si tratta di un travestimento. Il suo nome interno, tuttavia, contiene le parole "xeno rat client", il che suggerisce uno strumento di accesso remoto. Questa è un'osservazione tratta dai metadati del campione, non una prova di ciò che fa ogni variante.
• Si tratta di un eseguibile GUI .NET a 32 bit. Non è compresso e non possiede una firma digitale.
• Ha modificato un file all'interno di una cartella nell'area dati delle applicazioni roaming dell'utente, con un nome che fa riferimento a "xenomanager".
• Utilizza funzioni che leggono informazioni sull'utente e sul sistema, come il nome del computer e le impostazioni locali. Utilizza anche controlli anti-debugging ( IsDebuggerPresent e NtQuerySystemInformation ), comunemente impiegati per impedire l'analisi da parte dei ricercatori di sicurezza.

Nell'analisi in ambiente sandbox sono stati registrati 114 blocchi. 48 sono stati segnalati come potenzialmente dannosi e 66 sono stati inseriti nella lista bianca.

Come di solito si insinua nei computer

Secondo le informazioni disponibili, questo Trojan si diffonde più spesso sfruttando vulnerabilità e falle di sicurezza del sistema, tramite il download di software da siti web dannosi o attraverso allegati e-mail provenienti da fonti non attendibili. Gli allegati sono solitamente file .exe, .pif, .avi e persino .jpg. I file che sembrano immagini o video potrebbero in realtà essere programmi eseguibili.

La falsa identità visiva di Microsoft Teams suggerisce che potrebbe anche tentare di spacciarsi per un'app di collaborazione legittima. I trojan di questo tipo vengono in genere distribuiti in questo modo, ma il feed non menziona una specifica campagna di distribuzione.

Rischi per l’utente

• Perdita di controllo: gli aggressori possono assumere il pieno controllo del computer.
• Perdita di dati: i file potrebbero essere eliminati a tua insaputa.
• Malware aggiuntivo: potrebbero essere installati altri programmi indesiderati.
• Violazione della privacy: gli strumenti di accesso remoto di questo tipo consentono in genere lo spionaggio e la raccolta di informazioni personali, sebbene il feed non confermi esattamente cosa raccolga questo campione.

Segni di infezione

Poiché il Trojan agisce in modo silenzioso, potrebbero non essere presenti sintomi evidenti. Ecco alcuni segnali a cui prestare attenzione:

• Un programma "Microsoft Teams" o simile che non hai installato, soprattutto se in esecuzione da una posizione insolita.
• Una cartella sconosciuta nei dati delle applicazioni in roaming, ad esempio una denominata "xenomanager".
• File mancanti o modifiche inspiegabili al sistema.
• Rallentamenti inaspettati, attività di rete anomale o nuovi programmi sconosciuti.

Come proteggersi

1. Mantieni Windows e tutti i software installati aggiornati in modo da correggere le vulnerabilità note.
2. Scarica il software solo da fonti ufficiali. La versione originale di Microsoft Teams proviene direttamente da Microsoft.
3. Non aprire allegati provenienti da mittenti sconosciuti, anche se sembrano immagini o video. Controlla le estensioni dei file e abilita la visualizzazione delle estensioni in Windows.
4. Utilizzate una soluzione di sicurezza affidabile e aggiornata ed eseguite regolarmente scansioni complete del sistema.
5. Effettua regolarmente backup offline o su cloud dei file importanti.
6. Se sospetti un'infezione, disconnettiti da Internet, esegui una scansione completa con il tuo software di sicurezza, rimuovi tutto ciò che viene rilevato e poi cambia le password da un dispositivo pulito.

Questo campione non presentava una firma digitale ed è stato rilevato una sola volta nei nostri dati, ma il suo camuffamento e il potenziale di controllo remoto giustificano un trattamento serio.

Rapporto di analisi

Informazione Generale

Cognome:	Trojan.MSIL.Agent.NOB
Stato della firma:	No Signature

Campioni noti

i

Campioni noti

Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.

MD5: 912f2c5acae8599fc7e46a34a9640fbd SHA1: c67df4d42a114548268a375b7dbb1cc3714d1caf SHA256: 45CF29EA4DFD41064E41CAAA03B393C2F13C19DC578EFA3DDB2DF33505C59680 Dimensione del file: 46.59 KB.46592 byte

Attributi di Windows Portable Executable

i

Attributi di Windows Portable Executable

Questa sezione elenca gli attributi dei file trovati all'interno dei campioni della famiglia. Questi attributi vengono estratti dalle specifiche Windows PE (Portable Executable) dei file e da vari flag di sistema. Gli attributi Portable Executable forniscono ai ricercatori di malware informazioni sulla funzionalità di un file, sui dettagli dell'eseguibile, sulla piattaforma e sull'ambiente di runtime.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Informazioni sulla versione di Windows PE

i

Informazioni sulla versione di Windows PE

Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.

Nome	Valore
Assembly Version	1.8.2.0
Company Name	Microsoft
File Description	Microsoft Teams
File Version	1.9.5.0
Internal Name	xeno rat client.exe
Legal Copyright	Copyright © 2023
Legal Trademarks	Microsoft
Original Filename	MsoftTeams.exe
Product Name	Microsoft Teams
Product Version	1.8.2.0

Caratteristiche dei file

• .NET
• ntdll
• Run
• x86

Informazioni sul blocco

i

Informazioni sul blocco

Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.

Blocchi totali:	114
Blocchi potenzialmente dannosi:	48
Blocchi consentiti:	66
Blocchi sconosciuti:	0

Mappa visiva

0 - Probabile blocco di sicurezza
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso

File modificati

i

File modificati

Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.

File	Attributi
c:\users\user\appdata\roaming\xenomanager\c67df4d42a114548268a375b7dbb1cc3714d1caf_0000046592	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

Utilizzo delle API di Windows

i

Utilizzo delle API di Windows

Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.

Categoria	API
User Data Access	GetComputerNameEx GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	IsDebuggerPresent NtQuerySystemInformation