위협 데이터베이스 트로이 목마 트로이목마.MSIL.에이전트.MOA

트로이목마.MSIL.에이전트.MOA

트로이 목마년에 CagedTech 년까지
게시됨:

위협 스코어카드

위협 수준: 80 % (높은)
처음 본 것: June 9, 2026
마지막으로 본: November 11, 2026
영향을 받는 OS: Windows

Trojan.MSIL.Agent.MOA 는 Windows 트로이목마로, 위험도 지수는 10점 만점에 8점입니다. 이름의 "MSIL" 부분은 .NET 플랫폼으로 제작된 프로그램임을 나타냅니다. 이와 같은 트로이목마는 무해한 소프트웨어로 위장하면서 숨겨진 악성 행위를 수행합니다. 해당 데이터에는 탐지 사례가 하나만 기록되어 있어 제공되는 정보가 제한적입니다. 데이터에 관련 내용이 없는 경우, 이 글에서는 일반적인 트로이목마의 동작 방식을 설명하고 있습니다.

위협이 하는 일

해당 정보에 따르면, 이 트로이 목마는 백그라운드에서 조용히 실행되면서 악성 기능을 수행합니다. 공격자는 감염된 시스템에 대한 완전한 제어권을 확보할 수 있으며, 파일을 몰래 삭제하는 등의 작업을 수행할 수 있습니다.

분석된 시료는 다음과 같은 특징을 가지고 있습니다.

  • 이 프로그램은 64비트 .NET GUI 애플리케이션입니다. 패키징되어 있지 않으며 디지털 서명도 없습니다.
  • 버전 정보에는 "LXBASE"로 표시되어 있고 설명은 "Just-In-Time FFI Gateway"입니다. 이는 합법적인 개발자 도구처럼 보이지만, 악성 소프트웨어를 위장하는 데 흔히 사용되는 수법입니다.
  • 이 코드는 Rijndael 암호화 클래스와 VirtualQueryEx 및 WriteProcessMemory 함수에 대한 참조를 포함합니다. 다른 프로세스의 메모리에 쓰는 코드는 코드를 주입하거나 다른 프로그램 내부에 숨는 악성코드의 전형적인 특징입니다.
  • 이 공격은 권한 조정( AdjustTokenPrivileges )과 키보드 또는 마우스 후킹( SetWindowsHookEx )을 사용합니다. 이러한 행위는 의심스러운 것으로 표시됩니다. 이러한 종류의 후킹은 일반적으로 사용자 입력을 모니터링하는 데 사용되지만, 해당 피드에서는 그러한 목적이 확인되지 않았습니다.
  • 이 서비스는 소켓 및 주소 조회와 같은 네트워킹 기능을 사용하여 네트워크를 통해 통신할 수 있습니다. 피드에는 서버 이름이 표시되지 않습니다.
  • 이 코드는 실행 중인 프로세스의 명령줄을 읽기 위해 wmic 명령어를 실행합니다. 이는 시스템에 대한 정보를 수집하는 한 가지 방법입니다.
  • 해당 프로그램은 사용자 프로필의 두 위치, 즉 Windows 캐시 폴더와 임시 "brightinfo" 캐시 폴더에 self_exe.dat 이라는 이름의 파일을 생성합니다. 이는 프로그램이 자체 또는 관련 데이터의 복사본을 해당 위치에 저장한다는 것을 시사합니다.

일반적으로 컴퓨터에 침투하는 경로

해당 정보에 따르면 이 트로이 목마는 은밀하게 설치됩니다. 일반적인 설치 경로는 다음과 같습니다.

  • 시스템 취약점과 보안 결함을 악용하는 행위.
  • 악성 웹사이트에서 소프트웨어를 다운로드하는 행위.
  • 출처가 불분명한 이메일 첨부 파일은 일반적으로 .exe, .pif, .avi 또는 .jpg 파일입니다.

공격자들은 사용자가 의심하지 않고 실행 파일을 열도록 하기 위해 실행 파일을 사진이나 동영상으로 위장하는 경우가 많습니다.

사용자에게 미치는 위험

완전한 원격 제어 권한을 가진 공격자는 다양한 작업을 수행할 수 있습니다. 해당 피드는 파일이 삭제될 수 있음을 확인시켜 줍니다. 일반적인 트로이목마 활동에는 비밀번호 및 개인 데이터 탈취, 다른 악성코드 설치, 그리고 해당 컴퓨터를 추가 공격에 이용하는 것 등이 포함됩니다. 이 샘플은 네트워크를 통해 통신하고 입력을 모니터링할 수 있으므로 개인 정보 및 금융 정보가 위험에 처할 수 있습니다. 이는 해당 유형의 트로이목마에서 흔히 나타나는 동작이며, 이 샘플에서 확인된 사항은 아닙니다.

감염 징후

이러한 유형의 트로이 목마는 숨어 있도록 설계되었기 때문에 뚜렷한 증상이 나타나지 않을 수 있습니다. 가능한 경고 신호는 다음과 같습니다.

  • LXBASE라는 생소한 프로그램이나 프로세스, 또는 "Just-In-Time FFI Gateway"라고 설명되는 프로그램이나 프로세스.
  • 사용자 프로필의 캐시 또는 임시 폴더에 예기치 않은 self_exe.dat 파일이 있습니다.
  • 설명할 수 없는 네트워크 활동, 속도 저하 또는 파일 누락.
  • 시스템 도구와 관련된 예기치 않은 명령줄 활동이 발생했습니다.

    • 자신을 보호하는 방법

    • Windows와 모든 소프트웨어를 최신 상태로 유지하여 공격자가 악용하는 취약점을 차단하십시오.
    • 알 수 없는 발신자가 보낸 첨부 파일은 사진이나 동영상처럼 보이더라도 열지 마세요. 확장자가 알 수 없는 파일은 특히 주의해서 다뤄야 합니다.
    • 소프트웨어는 공식 퍼블리셔 웹사이트에서만 다운로드하십시오.
    • 감염이 의심되는 경우 신뢰할 수 있고 최신 보안 도구를 사용하여 전체 시스템 검사를 실행하십시오.
    • 삭제되거나 손상된 데이터를 복원할 수 있도록 중요 파일은 정기적으로 오프라인 백업해 두십시오.
    • 바이러스에 감염된 것으로 의심되는 경우 인터넷 연결을 끊고 전체 검사를 통해 위협 요소를 제거한 다음, 안전한 기기에서 비밀번호를 변경하십시오.

    분석 보고서

    일반 정보

    성씨: Trojan.MSIL.Agent.MOA
    서명 상태: No Signature

    알려진 샘플

    MD5: 23603cab2c05610882f46641a988807e
    샤1: ff0822df09de12eeee7d290cfb54233b357ce392
    샤256: 275C109E3CCF269A9ED6C083D5CA71C5116DA26A0EFA2F562F4E510F8E9B3BC3
    파일 크기: 633.34 KB,633344 바이트

    Windows 휴대용 실행 파일 속성

    • File doesn't have "Rich" header
    • File doesn't have debug information
    • File doesn't have exports table
    • File doesn't have relocations information
    • File doesn't have security information
    • File is .NET application
    • File is 64-bit executable
    • File is either console or GUI application
    • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
    • File is not packed
    Show 2 more
    • IMAGE_FILE_DLL is not set inside PE header (Executable)
    • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

    Windows PE 버전 정보

    이름 값
    Assembly Version 1.0.52.0
    Comments Just-In-Time FFI Gateway
    Company Name LXBASE
    File Description Just-In-Time FFI Gateway
    File Version 1.0.52.0
    Internal Name LXBASE.exe
    Original Filename LXBASE.exe
    Product Name LXBASE
    Product Version 1.0.52.0

    파일 특성

    • .NET
    • ntdll
    • RijndaelManaged
    • VirtualQueryEx
    • WriteProcessMemory
    • x64

    블록 정보

    총 블록 수: 982
    잠재적으로 악의적인 차단: 49
    허용된 블록: 142
    알 수 없는 블록: 791

    시각적 지도

    0 - 안전 블록 가능성 높음
    ? - 알 수 없는 블록
    x - 잠재적으로 악의적인 차단

    수정된 파일

    파일 속성
    \device\namedpipe Generic Read,Write Attributes
    \device\namedpipe Generic Write,Read Attributes
    c:\users\user\appdata\local\microsoft\windows\caches\self_exe.dat Generic Write,Read Attributes
    c:\users\user\appdata\local\temp\brightinfo\cache\self_exe.dat Generic Write,Read Attributes

    Windows API 사용법

    범주 API
    Syscall Use
    • ntdll.dll!NtAlertThreadByThreadId
    • ntdll.dll!NtAlpcSendWaitReceivePort
    • ntdll.dll!NtClearEvent
    • ntdll.dll!NtClose
    • ntdll.dll!NtCreateEvent
    • ntdll.dll!NtCreateIoCompletion
    • ntdll.dll!NtCreateMutant
    • ntdll.dll!NtCreatePrivateNamespace
    • ntdll.dll!NtCreateSection
    • ntdll.dll!NtCreateSemaphore
    Show 63 more
    • ntdll.dll!NtCreateThreadEx
    • ntdll.dll!NtCreateTimer
    • ntdll.dll!NtDelayExecution
    • ntdll.dll!NtDeviceIoControlFile
    • ntdll.dll!NtDuplicateObject
    • ntdll.dll!NtEnumerateKey
    • ntdll.dll!NtEnumerateValueKey
    • ntdll.dll!NtFlushProcessWriteBuffers
    • ntdll.dll!NtFreeVirtualMemory
    • ntdll.dll!NtMapViewOfSection
    • ntdll.dll!NtOpenDirectoryObject
    • ntdll.dll!NtOpenEvent
    • ntdll.dll!NtOpenFile
    • ntdll.dll!NtOpenKey
    • ntdll.dll!NtOpenKeyEx
    • ntdll.dll!NtOpenProcess
    • ntdll.dll!NtOpenProcessToken
    • ntdll.dll!NtOpenSection
    • ntdll.dll!NtOpenThreadToken
    • ntdll.dll!NtProtectVirtualMemory
    • ntdll.dll!NtQueryAttributesFile
    • ntdll.dll!NtQueryDefaultLocale
    • ntdll.dll!NtQueryDirectoryFileEx
    • ntdll.dll!NtQueryFullAttributesFile
    • ntdll.dll!NtQueryInformationFile
    • ntdll.dll!NtQueryInformationJobObject
    • ntdll.dll!NtQueryInformationProcess
    • ntdll.dll!NtQueryInformationThread
    • ntdll.dll!NtQueryInformationToken
    • ntdll.dll!NtQueryKey
    • ntdll.dll!NtQueryLicenseValue
    • ntdll.dll!NtQueryPerformanceCounter
    • ntdll.dll!NtQuerySecurityAttributesToken
    • ntdll.dll!NtQuerySecurityObject
    • ntdll.dll!NtQuerySystemInformation
    • ntdll.dll!NtQuerySystemInformationEx
    • ntdll.dll!NtQueryValueKey
    • ntdll.dll!NtQueryVirtualMemory
    • ntdll.dll!NtQueryVolumeInformationFile
    • ntdll.dll!NtQueryWnfStateData
    • ntdll.dll!NtReadFile
    • ntdll.dll!NtReadRequestData
    • ntdll.dll!NtReleaseMutant
    • ntdll.dll!NtReleaseSemaphore
    • ntdll.dll!NtReleaseWorkerFactoryWorker
    • ntdll.dll!NtResumeThread
    • ntdll.dll!NtSetEvent
    • ntdll.dll!NtSetInformationKey
    • ntdll.dll!NtSetInformationProcess
    • ntdll.dll!NtSetInformationThread
    • ntdll.dll!NtSetInformationWorkerFactory
    • ntdll.dll!NtSetTimerEx
    • ntdll.dll!NtSubscribeWnfStateChange
    • ntdll.dll!NtTestAlert
    • ntdll.dll!NtTraceControl
    • ntdll.dll!NtUnmapViewOfSection
    • ntdll.dll!NtUnmapViewOfSectionEx
    • ntdll.dll!NtWaitForAlertByThreadId
    • ntdll.dll!NtWaitForSingleObject
    • ntdll.dll!NtWaitForWorkViaWorkerFactory
    • ntdll.dll!NtWriteFile
    • ntdll.dll!NtYieldExecution
    • UNKNOWN
    User Data Access
    • GetUserDefaultLocaleName
    • GetUserObjectInformation
    Other Suspicious
    • AdjustTokenPrivileges
    • SetWindowsHookEx
    Encryption Used
    • BCryptOpenAlgorithmProvider
    • CryptAcquireContext
    Process Shell Execute
    • CreateProcess
    Network Winsock2
    • WSASocket
    • WSAStartup
    • WSAttemptAutodialName
    Network Winsock
    • bind
    • closesocket
    • freeaddrinfo
    • getaddrinfo
    • setsockopt

    셸 명령 실행

    "wmic" process where ProcessId=520 get CommandLine /value