Trojan.MSIL.Agent.MOA

Trojan.MSIL.Agent.MOA é um Trojan para Windows que o feed classifica com nível de perigo 8 em 10. A parte "MSIL" do nome indica um programa desenvolvido na plataforma .NET. Trojans como este se disfarçam de software inofensivo enquanto executam ações ocultas e maliciosas. Os dados do feed listam apenas uma detecção, portanto, as informações disponíveis são limitadas. Quando os dados são omissos, este artigo descreve o comportamento típico de um Trojan e o menciona.

O que a ameaça faz

Segundo a publicação, o Trojan funciona silenciosamente em segundo plano e executa funções maliciosas. Ele pode dar aos atacantes controle total sobre um sistema infectado e pode excluir arquivos de forma oculta, entre outras ações.

A amostra analisada apresenta as seguintes características:

• É um aplicativo GUI .NET de 64 bits. Não está compactado e não possui assinatura digital.
• As informações de versão o apresentam como "LXBASE" com a descrição "Just-In-Time FFI Gateway". Isso parece uma ferramenta legítima de desenvolvedor, o que é um disfarce comum para malware.
• Contém referências à classe de criptografia Rijndael e às funções VirtualQueryEx e WriteProcessMemory . Código que escreve na memória de outros processos é típico de malware que injeta código ou se esconde dentro de outros programas.
• Ele usa ajuste de privilégios ( AdjustTokenPrivileges ) e interceptação de teclado ou mouse ( SetWindowsHookEx ). Essas ações foram sinalizadas como suspeitas. Normalmente, esse tipo de interceptação é usado para monitorar a entrada do usuário, embora o feed não confirme essa finalidade neste caso.
• Ele utiliza funções de rede, como sockets e pesquisas de endereços, para que possa se comunicar pela rede. O feed não menciona nenhum servidor.
• Ele executa um comando wmic para ler a linha de comando de um processo em execução. Esta é uma forma de coletar informações sobre o sistema.
• Ele grava arquivos com o nome self_exe.dat em dois locais do perfil do usuário: uma pasta de caches do Windows e uma pasta de cache temporária "brightinfo". Isso sugere que ele armazena cópias de si mesmo ou dados relacionados nesses locais.

Geralmente é assim que chega aos computadores.

O feed diz que este Trojan se instala furtivamente. As rotas usuais são:

• Exploração de vulnerabilidades e falhas de segurança do sistema.
• Downloads de software de sites maliciosos.
• Anexos de e-mail de fontes não confiáveis, geralmente arquivos .exe, .pif, .avi ou até mesmo .jpg.

Os atacantes costumam disfarçar arquivos executáveis como imagens ou vídeos para que os usuários os abram sem suspeitar de nada.

Riscos para o usuário

Com controle remoto total, um invasor poderia fazer muitas coisas. O feed confirma que arquivos podem ser excluídos. A atividade típica de um Trojan também inclui roubo de senhas e dados pessoais, instalação de outros malwares e uso do computador para ataques adicionais. Como a amostra consegue se comunicar pela rede e monitorar entradas, informações pessoais e financeiras podem estar em risco. Este é um comportamento típico da categoria, não uma descoberta confirmada para esta amostra.

Sinais de infecção

Este tipo de cavalo de Troia é projetado para permanecer oculto, portanto, pode não apresentar sintomas óbvios. Possíveis sinais de alerta incluem:

• Um programa ou processo desconhecido chamado LXBASE, ou descrito como "Just-In-Time FFI Gateway".
• Arquivos self_exe.dat inesperados foram encontrados nos caches ou pastas temporárias do perfil do usuário.
• Atividade de rede inexplicável, lentidão ou arquivos ausentes.

Como se manter protegido

• Mantenha o Windows e todos os seus softwares atualizados para corrigir as vulnerabilidades exploradas por invasores.
• Não abra anexos de remetentes desconhecidos, mesmo que pareçam fotos ou vídeos. Tenha cuidado com arquivos que tenham extensões inesperadas.
• Faça o download do software somente no site oficial do editor.
• Use uma ferramenta de segurança confiável e atualizada e execute uma verificação completa do sistema se suspeitar de uma infecção.
• Mantenha backups offline regulares de arquivos importantes para que dados apagados ou danificados possam ser restaurados.
• Se você acredita estar infectado, desconecte-se da internet, remova a ameaça com uma verificação completa e altere suas senhas em um dispositivo limpo.