Trojan.MSIL.Agent.ACM
Карта показателей угрозы
Карта оценки угроз EnigmaSoft
EnigmaSoft Threat Scorecards — это отчеты об оценке различных вредоносных программ, которые были собраны и проанализированы нашей исследовательской группой. EnigmaSoft Threat Scorecards оценивает и ранжирует угрозы, используя несколько показателей, включая реальные и потенциальные факторы риска, тенденции, частоту, распространенность и постоянство. EnigmaSoft Threat Scorecards регулярно обновляются на основе данных и показателей наших исследований и полезны для широкого круга пользователей компьютеров, от конечных пользователей, ищущих решения для удаления вредоносных программ из своих систем, до экспертов по безопасности, анализирующих угрозы.
EnigmaSoft Threat Scorecards отображает разнообразную полезную информацию, в том числе:
Рейтинг популярности: Показатель, занимаемый конкретной угрозой в базе данных угроз EnigmaSoft.
Уровень серьезности: определенный уровень серьезности объекта, представленный в числовом виде на основе нашего процесса моделирования рисков и исследований, как описано в наших критериях оценки угроз .
Зараженные компьютеры: количество подтвержденных и предполагаемых случаев конкретной угрозы, обнаруженной на зараженных компьютерах, по данным SpyHunter.
См. также Критерии оценки угроз .
| Рейтинг популярности: | 23,035 |
| Уровень угрозы: | 80 % (Высокая) |
| Первый раз: | September 3, 2024 |
| Последний визит: | August 26, 2026 |
| ОС(а) Затронутые: | Windows |
Trojan.MSIL.Agent.ACM — это троян, нацеленный на компьютеры под управлением Windows. Его уровень опасности оценивается в 8 из 10. Обнаружение основано на программе .NET (MSIL), поэтому в его названии присутствует "MSIL". Наши данные показывают, что он был впервые обнаружен 03.09.2024, а последний раз — 26.08.2026, при этом зарегистрировано лишь небольшое количество обнаружений (2).
Оглавление
Что делает эта угроза?
Согласно описанию в ленте новостей, троянская программа работает незаметно в фоновом режиме и выполняет вредоносные функции. Она может предоставить злоумышленникам полный контроль над зараженной системой, а также незаметно удалять файлы и устанавливать дополнительное программное обеспечение. После попадания трояна на компьютер вы можете не заметить никаких нарушений.
Анализируемый образец представляет собой 32-битный исполняемый файл .NET с графическим интерфейсом. Он не упакован и не имеет цифровой подписи. Информация о версии указывает на то, что это стандартное приложение "WindowsFormsApp" с версией 1.0.0.0 и уведомлением об авторских правах 2022 года. Такие стандартные данные не типичны для программного обеспечения от известного издателя, но сами по себе они не доказывают злонамеренных намерений.
Наблюдаемое поведение в выборке включает в себя:
- Создание и изменение конфигурационных и временных файлов (таких как user.config и файлы с расширениями .tmp и .newcfg) внутри папки с именем "windowsformsapp" в локальной области данных приложения пользователя.
- Запуск файла FreeFlashPlayer.exe из папки «Загрузки» посредством вызова командной оболочки. Это говорит о том, что образец был распространен под видом бесплатной загрузки плеера.
- Использование API, которые считывают системные данные, такие как имя компьютера и настройки языка по умолчанию.
- Использование проверок на предмет отладки (IsDebuggerPresent и NtQuerySystemInformation), которые вредоносное ПО часто использует для избежания анализа.
- Используется криптографическая функция Windows (BCryptOpenAlgorithmProvider). В потоке данных не указано, для чего она используется.
Из 18 сетевых блоков, зарегистрированных в выборке, 17 были внесены в белый список, а один был помечен как потенциально вредоносный.
Как это обычно попадает на компьютеры
В сообщении говорится, что этот троян устанавливается скрытно, чаще всего следующим образом:
- Использование уязвимостей системы и недостатков безопасности.
- Загрузка программного обеспечения с вредоносных веб-сайтов.
- Вложения в электронные письма из ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi и даже .jpg.
Файл FreeFlashPlayer.exe, обнаруженный в образце, соответствует схеме загрузки поддельного программного обеспечения. Бесплатные «плееры» или «обновления» с неофициальных сайтов — распространенный способ проникновения троянов к пользователям.
Риски для пользователя
- Удаленное управление вашим ПК злоумышленником.
- Файлы могут быть потеряны, если троянская программа их удалит.
- Установка дополнительных нежелательных или вредоносных программ без вашего согласия.
- Раскрытие личной информации. Трояны этого типа обычно собирают данные о системе, хотя в ленте не указаны конкретные украденные данные для этого образца.
Признаки инфекции
Поскольку троянская программа работает бесшумно, видимых симптомов может быть немного. Стоит обратить внимание на следующие признаки:
- Незнакомая программа с именем FreeFlashPlayer.exe в папке «Загрузки» или программа, которую вы не помните, чтобы запускали.
- Неизвестная папка "WindowsFormsApp" в локальной папке данных приложения.
- Пропавшие файлы или новые программы, которые вы не устанавливали.
- Снижение производительности или неожиданная сетевая активность (типичные явления для троянов, не подтвержденные для данного образца).
Как обеспечить свою безопасность
- Загружайте программное обеспечение только с официальных сайтов его издателей. Избегайте загрузки «бесплатных» проигрывателей или обновлений с незнакомых сайтов.
- Не открывайте вложения от неизвестных отправителей, особенно файлы .exe или .pif. Будьте осторожны с файлами изображений или видео, которые ведут себя как программы.
- Регулярно обновляйте Windows и все приложения, чтобы устранить известные уязвимости.
- Регулярно проводите полное сканирование с помощью актуальной и надежной антивирусной программы.
- Создайте резервную копию важных файлов на внешний диск или в автономное хранилище.
- Для повседневной работы используйте стандартную учетную запись пользователя, а не учетную запись администратора.
Если вы подозреваете заражение, отключите компьютер от интернета, выполните полное сканирование и удалите все обнаруженные вредоносные программы. Затем смените важные пароли на чистом устройстве. Если система по-прежнему ведет себя странно, обратитесь за профессиональной помощью.
Аналитический отчет
Главная Информация
| Фамилия: | Trojan.MSIL.Agent.ACM |
|---|---|
| Статус подписи: | No Signature |
Известные образцы
Известные образцы
В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.|
MD5:
db3eafe3b7890a2ff315be1ffeaba30f
ША1:
536205262fbb6cacfa39d9b0bfd66df4d885f4c1
SHA256:
E6F3B534F969ADD4A98A70EB67B53CD4917B5E2BA256467A7C6D1DA3AE817C6C
Размер файла:
64.51 KB, 64512 байт
|
Атрибуты исполняемого файла Windows Portable
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Информация о версии Windows PE
Информация о версии Windows PE
В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.| имя | Ценность |
|---|---|
| Assembly Version | 1.0.0.0 |
| File Description | WindowsFormsApp |
| File Version | 1.0.0.0 |
| Internal Name | WindowsFormsApp.exe |
| Legal Copyright | Copyright © 2022 |
| Original Filename | WindowsFormsApp.exe |
| Product Name | WindowsFormsApp |
| Product Version | 1.0.0.0 |
Характеристики файла
- .NET
- x86
Информация о блоке
Информация о блоке
В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.| Всего блоков: | 18 |
|---|---|
| Потенциально вредоносные блоки: | 1 |
| Блоки, внесенные в белый список: | 17 |
| Неизвестные блоки: | 0 |
Визуальная карта
? - Неизвестный блок
x - Потенциально вредоносная блокировка
Похожие семьи
Похожие семьи
В этом разделе перечислены другие семейства вредоносных программ, имеющие сходства с данным семейством, на основе анализа EnigmaSoft. Многие семейства вредоносных программ создаются с использованием одних и тех же наборов инструментов и применяют одни и те же методы упаковки и шифрования, но обладают уникальными расширенными функциональными возможностями. Схожие семейства могут также иметь общий исходный код, атрибуты, значки, субкомпоненты, скомпрометированные и/или недействительные цифровые подписи и сетевые характеристики. Исследователи используют эти сходства для быстрой и эффективной сортировки образцов файлов и расширения правил обнаружения вредоносных программ.- MSIL.Agent.ACM
Файлы изменены
Файлы изменены
В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.| Файл | Атрибуты |
|---|---|
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.newcfg | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.newcfg | Synchronize,Write Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\dtsgdecw.newcfg | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\dtsgdecw.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\user.config | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\user.config | Synchronize,Write Data |
Изменения в реестре
Изменения в реестре
В этом разделе перечислены ключи и значения реестра, которые были созданы, изменены и/или удалены образцами из этого семейства. Активность реестра Windows может дать ценную информацию о функциональности вредоносных программ. Кроме того, вредоносные программы часто создают значения реестра, чтобы автоматически запускаться и неограниченно существовать после того, как первоначальное заражение скомпрометировало систему.| Ключ::Значение | Данные | Название API |
|---|---|---|
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey |
Использование API Windows
Использование API Windows
В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.| Категория | API |
|---|---|
| User Data Access |
|
| Anti Debug |
|
| Encryption Used |
|
| Process Shell Execute |
|
Выполнение команд оболочки
Выполнение команд оболочки
В этом разделе перечислены команды оболочки Windows, которые выполняются образцами этого семейства. Команды оболочки Windows часто используются вредоносным ПО в злонамеренных целях и могут применяться для повышения привилегий безопасности, загрузки и запуска другого вредоносного ПО, использования уязвимостей, сбора и кражи данных, а также сокрытия вредоносной активности.
(NULL) c:\users\user\downloads\FreeFlashPlayer.exe
|