위협 데이터베이스 트로이 목마 트로이목마.MSIL.에이전트.NOB

트로이목마.MSIL.에이전트.NOB

트로이 목마년에 CagedTech 년까지
게시됨:
마지막 업데이트:

위협 스코어카드

인기 순위: 25,216
위협 수준: 80 % (높은)
처음 본 것: June 6, 2026
마지막으로 본: August 26, 2026
영향을 받는 OS: Windows

Trojan.MSIL.Agent.NOB는 위험도가 10점 만점에 8점인 Windows 트로이목마입니다. 이름의 "MSIL" 부분은 .NET 프레임워크 기반으로 제작된 프로그램임을 나타냅니다. 대부분의 트로이목마처럼, 이 악성 프로그램은 겉으로는 무해해 보이지만 숨겨진 악성 행위를 수행합니다. 저희 피드 데이터에 따르면 이 프로그램은 2026년 6월 6일에 처음 발견되었고, 가장 최근에는 2026년 8월 26일에 발견되었습니다.

위협이 하는 일

해당 게시물의 설명에 따르면, 이 트로이 목마는 은밀하게 설치되어 백그라운드에서 조용히 실행됩니다. 감염된 시스템에 대한 완전한 제어권을 공격자에게 제공할 수 있으며, 파일을 몰래 삭제하거나 다른 소프트웨어를 설치할 수도 있습니다. 설명이 일부만 나와 있어 모든 기능을 나열할 수는 없습니다.

분석된 샘플은 다음과 같은 몇 가지 주목할 만한 특징을 가지고 있습니다.

  • 이 악성 프로그램은 회사명과 상표명에 "Microsoft"가 포함되어 있어 Microsoft Teams 인 것처럼 위장합니다. 원래 파일 이름 또한 Teams 구성 요소처럼 보이도록 설정되어 있습니다. 이는 위장입니다. 하지만 내부 이름에는 "xeno rat client"라는 단어가 포함되어 있어 원격 접속 도구임을 암시합니다. 이는 샘플의 메타데이터에서 발견된 정보일 뿐, 모든 변종이 동일한 기능을 한다는 것을 증명하는 것은 아닙니다.
  • 이 파일은 32비트 .NET GUI 실행 파일입니다. 압축되어 있지 않으며 디지털 서명도 없습니다.
  • 사용자의 로밍 애플리케이션 데이터 영역에 있는 폴더 안의 파일을 수정했는데, 그 파일의 이름은 "xenomanager"를 참조합니다.
  • 이 코드는 컴퓨터 이름과 로케일과 같은 사용자 및 시스템 정보를 읽는 함수를 사용합니다. 또한 보안 연구원의 분석을 피하기 위해 일반적으로 사용되는 안티 디버깅 검사( IsDebuggerPresent 및 NtQuerySystemInformation )도 사용합니다.

샌드박스 분석 결과 114개의 블록이 기록되었습니다. 그중 48개는 잠재적으로 악성으로 분류되었고, 66개는 화이트리스트에 등록되었습니다.

일반적으로 컴퓨터에 침투하는 경로

해당 정보에 따르면 이 트로이 목마는 주로 시스템 취약점과 보안 결함을 악용하거나, 악성 웹사이트에서 소프트웨어를 다운로드하거나, 신뢰할 수 없는 발신처의 이메일 첨부 파일을 통해 확산됩니다. 첨부 파일은 일반적으로 .exe, .pif, .avi, 심지어 .jpg 파일입니다. 사진이나 동영상처럼 보이는 파일도 실제로는 실행 가능한 프로그램일 수 있습니다.

가짜 마이크로소프트 팀즈 브랜딩은 해당 악성 프로그램이 합법적인 협업 앱으로 위장하려 할 가능성을 시사합니다. 이러한 유형의 트로이 목마는 일반적으로 이런 방식으로 유포되지만, 해당 게시물에는 특정 유포 캠페인에 대한 정보는 나와 있지 않습니다.

사용자에게 미치는 위험

  • 제어권 상실: 공격자가 컴퓨터에 대한 완전한 제어권을 탈취할 수 있습니다.
  • 데이터 손실: 파일이 사용자 모르게 삭제될 수 있습니다.
  • 추가 악성 프로그램: 원치 않는 다른 프로그램이 설치될 수 있습니다.
  • 개인정보 노출 위험: 이러한 원격 접속 도구는 일반적으로 개인 정보를 감시하고 수집할 수 있도록 허용하지만, 해당 샘플이 정확히 어떤 정보를 수집하는지는 확인되지 않았습니다.

감염 징후

트로이 목마는 소리 없이 실행되기 때문에 뚜렷한 증상이 나타나지 않을 수 있습니다. 다음과 같은 사항들을 주의 깊게 살펴보세요:

  • 본인이 설치하지 않은 "Microsoft Teams" 또는 유사한 프로그램, 특히 비정상적인 위치에서 실행 중인 경우.
  • 로밍 애플리케이션 데이터에 "xenomanager"와 같이 익숙하지 않은 폴더가 있습니다.
  • 파일이 누락되었거나 시스템에 설명할 수 없는 변경 사항이 발생했습니다.
  • 예기치 않은 속도 저하, 이상한 네트워크 활동 또는 알 수 없는 새 프로그램이 표시됩니다.

자신을 보호하는 방법

  1. 알려진 취약점을 해결하기 위해 Windows 및 설치된 모든 소프트웨어를 최신 상태로 유지하십시오.
  2. 소프트웨어는 반드시 공식 출처에서만 다운로드하십시오. 정품 Microsoft Teams는 Microsoft에서 직접 제공합니다.
  3. 알 수 없는 발신자가 보낸 첨부 파일은 이미지나 동영상처럼 보이더라도 열지 마십시오. 파일 확장자를 확인하고, Windows에서 확장자 표시를 활성화하십시오.
  4. 신뢰할 수 있고 최신 보안 솔루션을 사용하고 정기적으로 전체 시스템 검사를 실행하십시오.
  5. 중요 파일은 정기적으로 오프라인 또는 클라우드에 백업하십시오.
  6. 악성코드 감염이 의심되는 경우 인터넷 연결을 끊고 보안 소프트웨어로 전체 검사를 실행한 후, 탐지된 모든 항목을 제거하고 깨끗한 기기에서 비밀번호를 변경하십시오.

    7. 이 샘플에는 디지털 서명이 없었고 데이터에서 단 한 번만 감지되었지만, 위장 방식과 원격 제어 가능성을 고려할 때 심각하게 다룰 필요가 있습니다.

    분석 보고서

    일반 정보

    성씨: Trojan.MSIL.Agent.NOB
    서명 상태: No Signature

    알려진 샘플

    MD5: 912f2c5acae8599fc7e46a34a9640fbd
    샤1: c67df4d42a114548268a375b7dbb1cc3714d1caf
    샤256: 45CF29EA4DFD41064E41CAAA03B393C2F13C19DC578EFA3DDB2DF33505C59680
    파일 크기: 46.59 KB,46592 바이트

    Windows 휴대용 실행 파일 속성

    • File doesn't have "Rich" header
    • File doesn't have debug information
    • File doesn't have exports table
    • File doesn't have security information
    • File is .NET application
    • File is 32-bit executable
    • File is either console or GUI application
    • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
    • File is not packed
    • IMAGE_FILE_DLL is not set inside PE header (Executable)
    Show 1 more
    • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

    Windows PE 버전 정보

    이름 값
    Assembly Version 1.8.2.0
    Company Name Microsoft
    File Description Microsoft Teams
    File Version 1.9.5.0
    Internal Name xeno rat client.exe
    Legal Copyright Copyright © 2023
    Legal Trademarks Microsoft
    Original Filename MsoftTeams.exe
    Product Name Microsoft Teams
    Product Version 1.8.2.0

    파일 특성

    • .NET
    • ntdll
    • Run
    • x86

    블록 정보

    총 블록 수: 114
    잠재적으로 악의적인 차단: 48
    허용된 블록: 66
    알 수 없는 블록: 0

    시각적 지도

    0 - 안전 블록 가능성 높음
    ? - 알 수 없는 블록
    x - 잠재적으로 악의적인 차단

    수정된 파일

    파일 속성
    c:\users\user\appdata\roaming\xenomanager\c67df4d42a114548268a375b7dbb1cc3714d1caf_0000046592 Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

    Windows API 사용법

    범주 API
    User Data Access
    • GetComputerNameEx
    • GetUserDefaultLocaleName
    • GetUserObjectInformation
    Anti Debug
    • IsDebuggerPresent
    • NtQuerySystemInformation