Trojan.MSIL.Agent.MOA

Trojan.MSIL.Agent.MOA — это троянская программа для Windows, уровень опасности которой в ленте оценивается в 8 из 10. Часть названия «MSIL» указывает на программу, созданную на платформе .NET. Трояны, подобные этому, маскируются под безобидное программное обеспечение, выполняя при этом скрытые вредоносные действия. В данных ленты указано только одно обнаружение, поэтому доступная информация ограничена. Там, где данные отсутствуют, в этой статье описывается типичное поведение троянов и дается соответствующая информация.

Что делает эта угроза?

Согласно сообщениям, троянская программа работает незаметно в фоновом режиме и выполняет вредоносные функции. Она может предоставить злоумышленникам полный контроль над зараженной системой и, помимо прочего, скрытно удалять файлы.

Анализируемый образец обладает следующими характеристиками:

• Это 64-битное .NET-приложение с графическим интерфейсом пользователя. Оно не упаковано и не имеет цифровой подписи.
• В информации о версии указано "LXBASE" с описанием "Just-In-Time FFI Gateway". Это выглядит как легитимный инструмент разработчика, что является распространенной маскировкой для вредоносного ПО.
• Он содержит ссылки на класс шифрования Rijndael и на функции VirtualQueryEx и WriteProcessMemory . Код, записывающий данные в память других процессов, типичен для вредоносных программ, внедряющих свой код или скрывающихся внутри других программ.
• Он использует настройку привилегий ( AdjustTokenPrivileges ) и перехват клавиатуры или мыши ( SetWindowsHookEx ). Эти действия помечаются как подозрительные. Перехватчики такого рода обычно используются для мониторинга пользовательского ввода, хотя в данном случае это назначение не подтверждается.
• Он использует сетевые функции, такие как сокеты и поиск адресов, поэтому может обмениваться данными по сети. В потоке не указано имя какого-либо сервера.
• Она запускает команду wmic для чтения командной строки запущенного процесса. Это способ сбора информации о системе.
• Программа записывает файлы с именем self_exe.dat в два места в профиле пользователя: в папку кэша Windows и во временную папку кэша "brightinfo". Это говорит о том, что она хранит там копии себя или связанных данных.

Как это обычно попадает на компьютеры

В сообщении говорится, что этот троян устанавливается незаметно. Обычно он распространяется следующим образом:

• Использование уязвимостей системы и недостатков безопасности.
• Загрузка программного обеспечения с вредоносных веб-сайтов.
• Вложения в электронные письма из ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi или даже .jpg.

Злоумышленники часто маскируют исполняемые файлы под изображения или видео, чтобы пользователи могли открыть их, не заподозрив ничего подозрительного.

Риски для пользователя

Обладая полным удаленным управлением, злоумышленник может совершить множество действий. Данные подтверждают возможность удаления файлов. Типичная активность троянов также включает кражу паролей и личных данных, установку другого вредоносного ПО и использование компьютера для дальнейших атак. Поскольку образец может обмениваться данными по сети и отслеживать входящий трафик, личная и финансовая информация может оказаться под угрозой. Это типичное поведение для данной категории вредоносных программ, но для этого образца это не подтвержденное наблюдение.

Признаки инфекции

Этот тип троянской программы разработан таким образом, чтобы оставаться незаметным, поэтому явных симптомов может не быть. Возможные предупреждающие признаки включают:

• Неизвестная программа или процесс, называемый LXBASE, или тот, который описывается как «шлюз FFI в режиме реального времени».
• В кэше или временных папках профиля пользователя обнаружены неожиданные файлы self_exe.dat .
• Необъяснимая сетевая активность, замедление работы или пропажа файлов.

Как обеспечить свою безопасность

• Регулярно обновляйте Windows и все ваше программное обеспечение, чтобы устранить уязвимости, которые используют злоумышленники.
• Не открывайте вложения от неизвестных отправителей, даже те, которые выглядят как изображения или видео. Будьте осторожны с файлами, имеющими неожиданные расширения.
• Загружайте программное обеспечение только с официального сайта издателя.
• Используйте надежный и современный инструмент безопасности и выполните полное сканирование системы, если подозреваете заражение.
• Регулярно создавайте резервные копии важных файлов в автономном режиме, чтобы можно было восстановить удаленные или поврежденные данные.
• Если вы считаете, что ваш компьютер заражен, отключитесь от интернета, удалите угрозу с помощью полного сканирования и смените пароли на чистом устройстве.