위협 데이터베이스 스팸 트로이목마.MSIL.스패머.Q

트로이목마.MSIL.스패머.Q

스팸, 트로이 목마년에 CagedTech 년까지
게시됨:
번역 :

Trojan.MSIL.Spammer.Q 는 .NET 프레임워크 기반 애플리케이션에서 사용하는 공용 언어 런타임 형식인 MSIL(Microsoft Intermediate Language)로 작성된 트로이목마 유형 프로그램을 식별하는 데 사용되는 탐지 이름입니다. 이름에서 알 수 있듯이 이 위협은 스팸 관련 활동과 연관되어 있으며, 감염된 컴퓨터의 파일을 직접 손상시키기보다는 원치 않거나 악의적인 대량 메시지를 배포하도록 설계된 경우가 많습니다.

이 위협의 기능은 무엇인가요?

Trojan.MSIL.Spammer.Q로 탐지된 프로그램은 일반적으로 설치 후 사용자의 동의나 인지 없이 백그라운드에서 조용히 실행됩니다. 이 범주의 위협은 감염된 컴퓨터를 스팸 이메일이나 메시지 발송 도구로 악용하는 데 사용되며, 사이버 범죄자가 원격으로 제어하는 대규모 네트워크의 일부로 활용되는 경우가 많습니다. 또한 이러한 트로이목마는 시스템에 저장된 이메일 주소나 연락처 목록을 수집하여 스팸 캠페인을 더욱 확장하는 데 사용될 수 있습니다. 이는 특정 파일의 확인된 동작이라기보다는 해당 위협 범주의 일반적인 동작이므로, 사용자는 이 트로이목마가 탐지될 경우 원치 않거나 악의적인 활동의 징후로 간주하고 즉시 조치를 취해야 합니다.

바이러스가 컴퓨터에 침투하는 일반적인 경로

대부분의 트로이목마처럼 Trojan.MSIL.Spammer.Q는 일반적으로 자체적으로 확산되지 않습니다. 대신 악성 이메일 첨부 파일, 신뢰할 수 없는 웹사이트의 번들 다운로드, 크랙 또는 불법 복제 소프트웨어, 가짜 소프트웨어 업데이트, 스팸 메시지나 해킹된 웹사이트를 통해 공유되는 링크와 같은 기만적인 유포 방식을 주로 이용합니다. 사용자는 감염된 첨부 파일을 열거나 합법적으로 보이지만 악성 페이로드를 숨기고 있는 다운로드 파일을 실행함으로써 자신도 모르게 트로이목마를 설치하는 경우가 많습니다.

사용자에게 미치는 위험

이러한 트로이목마가 시스템에 있으면 사용자는 여러 위험에 노출될 수 있습니다. 감염된 컴퓨터는 소유자 모르게 스팸 메일을 발송하는 데 사용될 수 있으며, 이로 인해 해당 컴퓨터의 IP 주소나 이메일 계정이 이메일 제공업체 및 보안 서비스에 의해 차단되거나 블랙리스트에 등록될 수 있습니다. 결과적으로 해당 기기에서 발송된 정상적인 이메일조차 차단되거나 스팸으로 분류될 수 있습니다. 또한, 이러한 유형의 트로이목마는 다른 악성코드가 다운로드되는 통로 역할을 하여 해당 기기의 보안 침해, 데이터 유출 또는 성능 저하 위험을 증가시킬 수 있습니다.

감염 징후

트로이목마는 은밀하게 작동하도록 설계되었기 때문에 감염 사실이 항상 명확하게 드러나는 것은 아닙니다. 그러나 시스템이나 네트워크 성능의 예기치 않은 저하, 네트워크 또는 이메일 활동의 비정상적인 증가, 사용자의 이메일 계정에서 이상한 메시지를 받았다는 수신자의 보고, 보안 소프트웨어의 의심스러운 파일 표시, 그리고 시스템 리소스를 과도하게 사용하는 알 수 없는 프로세스 등이 잠재적인 경고 신호일 수 있습니다. 이러한 징후 중 하나라도 나타나면 스팸 관련 트로이목마 또는 이와 유사한 원치 않는 프로그램이 감염되었을 가능성이 있습니다.

자신을 보호하는 방법

감염 위험을 줄이려면 사용자는 알 수 없거나 예상치 못한 발신자로부터 온 이메일 첨부 파일을 열거나 링크를 클릭하지 말고, 공식적이고 신뢰할 수 있는 출처에서만 소프트웨어를 다운로드하고, 운영 체제와 설치된 애플리케이션을 최신 상태로 유지해야 합니다. 신뢰할 수 있고 최신 보안 솔루션을 실행하고 정기적으로 시스템 검사를 수행하면 이러한 위협이 피해를 입히기 전에 탐지하고 제거할 수 있습니다. 또한 무료 다운로드, 크랙 소프트웨어, 업데이트 또는 플러그인 설치를 즉시 유도하는 팝업 메시지는 트로이 목마 감염의 일반적인 경로이므로 주의해야 합니다.

분석 보고서

일반 정보

성씨: Trojan.MSIL.Spammer.Q
서명 상태: No Signature

알려진 샘플

MD5: 31a35d8fe2a035405b6e3998fa71755c
샤1: c854594313de3a2bceefe84abcb8b40d1d055da8
샤256: 45F17176798A26D98A9887AFE7928AA83666C0FE770A979D8D7884B27A150953
파일 크기: 1.06 MB,1059840 바이트

Windows 휴대용 실행 파일 속성

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have security information
  • File is .NET application
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

파일 아이콘

Windows PE 버전 정보

이름 값
Assembly Version 1.0.0.0
File Description NI-NICNT GENERATOR Mini v1
File Version 1.0.0.0
Internal Name NI-NicntGenerator.exe
Legal Copyright Tracer'2013
Original Filename NI-NicntGenerator.exe
Product Name NI-NICNT GENERATOR Mini v1
Product Version 1.0.0.0

파일 특성

  • .NET
  • .sdata
  • NewLateBinding
  • x86

블록 정보

총 블록 수: 489
잠재적으로 악의적인 차단: 100
허용된 블록: 311
알 수 없는 블록: 78

시각적 지도

? ? 0 0 x x x x x x ? x x ? x 0 0 ? 0 x x 0 0 0 x 0 x x x ? x 0 0 ? x x x ? x 0 0 0 0 0 0 ? 0 0 x x x x 0 0 ? x 0 ? x x x x 0 x 0 0 0 ? 0 x x x 0 0 0 x 0 x 0 x ? 0 x x 0 0 ? x ? x x 0 0 0 ? 0 0 0 0 x ? 0 0 x 0 x 0 x 0 0 0 0 ? 0 x x x 0 0 0 ? 0 x x 0 x x x x x 0 x 0 0 0 0 x x 0 0 0 x 0 x x x x 0 0 x 0 0 x 0 x x x 0 x 0 x 0 0 x x x x 0 0 x 0 0 x x x 0 x 0 x 0 0 x x 0 0 0 0 x x ? 0 0 x 0 0 x x x 0 ? 0 x 0 0 x ? 0 0 0 0 x x x 0 0 x 0 0 x x x 0 0 0 0 ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x ? ? ? ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? x ? ? 0 ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? 0 0 0 0 0 0 ? ? ? ? ?
0 - 안전 블록 가능성 높음
? - 알 수 없는 블록
x - 잠재적으로 악의적인 차단

수정된 파일

파일 속성
\device\namedpipe\gmdasllogger Generic Write,Read Attributes
c:\windows\appcompat\programs\amcache.hve Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve Write Attributes

레지스트리 수정

키::값 데이터 API 이름
HKLM\system\software\microsoft\tip\aggregateresults::data ⳛ˼耀塉¯ⳛ˼耀塉 隞̃搁耀꧌ڈӾ RegNtPreCreateKey

Windows API 사용법

범주 API
User Data Access
  • GetUserObjectInformation
Anti Debug
  • IsDebuggerPresent
Process Manipulation Evasion
  • NtUnmapViewOfSection
  • ReadProcessMemory
Process Shell Execute
  • CreateProcess
Encryption Used
  • BCryptOpenAlgorithmProvider

셸 명령 실행

C:\Windows\Microsoft.NET\Framework\v2.0.50727\\dw20.exe dw20.exe -x -s 1040