База данных угроз Трояны Trojan.MSIL.Agent.NOB

Trojan.MSIL.Agent.NOB

К CagedTech году в Трояны году
Опубликовано:
Последнее обновление:

Карта показателей угрозы

Рейтинг популярности: 25,216
Уровень угрозы: 80 % (Высокая)
Первый раз: June 6, 2026
Последний визит: August 26, 2026
ОС(а) Затронутые: Windows

Trojan.MSIL.Agent.NOB — это троянская программа для Windows с уровнем опасности 8 из 10. Часть названия "MSIL" указывает на программу, созданную на основе платформы .NET. Как и большинство троянов, она маскируется под безобидные программы, выполняя при этом скрытые вредоносные действия. Согласно нашим данным, она была впервые обнаружена 06.06.2026, а последний раз — 26.08.2026.

Что делает эта угроза?

Согласно описанию в ленте новостей, этот троян устанавливается незаметно и работает в фоновом режиме. Он может предоставить злоумышленникам полный контроль над зараженной системой, а также скрытно удалять файлы и устанавливать другое программное обеспечение. Описание обрезано, поэтому мы не можем перечислить все его возможные функции.

Анализируемый образец обладает рядом примечательных особенностей:

  • Он позиционирует себя как Microsoft Teams , с «Microsoft» в полях компании и товарного знака. Его исходное имя файла также настроено так, чтобы выглядеть как компонент Teams. Это маскировка. Однако его внутреннее имя содержит слова «xeno rat client», что предполагает инструмент удаленного доступа. Это наблюдение, сделанное на основе метаданных образца, а не доказательство того, что делает каждый вариант.
  • Это 32-битный исполняемый файл графического интерфейса пользователя (GUI) для .NET. Он не упакован и не имеет цифровой подписи.
  • Оно изменило файл в папке в области данных перемещаемых приложений пользователя, имя которого относится к "xenomanager".
  • Он использует функции, которые считывают информацию о пользователе и системе, такую как имя компьютера и локаль. Он также использует проверки на предмет отладки ( IsDebuggerPresent и NtQuerySystemInformation ), которые обычно применяются для предотвращения анализа со стороны специалистов по безопасности.

В ходе анализа в песочнице было зафиксировано 114 блоков. 48 из них были помечены как потенциально вредоносные, а 66 были внесены в белый список.

Как это обычно попадает на компьютеры

В сообщении говорится, что этот троян чаще всего распространяется, используя уязвимости системы и недостатки безопасности, загружая программное обеспечение с вредоносных веб-сайтов или через вложения в электронные письма из ненадежных источников. Вложения обычно представляют собой файлы с расширениями .exe, .pif, .avi и даже .jpg. Файлы, которые выглядят как изображения или видео, на самом деле могут быть исполняемыми программами.

Поддельная символика Microsoft Teams предполагает, что приложение также может пытаться выдать себя за легитимное приложение для совместной работы. Трояны такого типа обычно распространяются именно таким способом, но в ленте не указана конкретная кампания по распространению.

Риски для пользователя

  • Потеря контроля: злоумышленники могут получить полный контроль над компьютером.
  • Потеря данных: файлы могут быть удалены без вашего ведома.
  • Дополнительное вредоносное ПО: могут быть установлены другие нежелательные программы.
  • Нарушение конфиденциальности: подобные инструменты удаленного доступа обычно позволяют шпионить и собирать личную информацию, хотя в данном случае не подтверждается, что именно собирает этот образец.

Признаки инфекции

Поскольку троянская программа работает незаметно, явные симптомы могут отсутствовать. Следует обратить внимание на следующие моменты:

  • Программа типа "Microsoft Teams" или аналогичная, которую вы не устанавливали, особенно если она запущена в необычном месте.
  • Незнакомая папка в данных вашего перемещаемого приложения, например, с названием "xenomanager".
  • Отсутствуют файлы или происходят необъяснимые изменения в вашей системе.
  • Неожиданные замедления работы, странная активность в сети или новые программы, которые вам незнакомы.

Как обеспечить свою безопасность

  1. Регулярно обновляйте Windows и все установленное программное обеспечение, чтобы устранить известные уязвимости.
  2. Загружайте программное обеспечение только из официальных источников. Подлинная версия Microsoft Teams предоставляется непосредственно компанией Microsoft.
  3. Не открывайте вложения от неизвестных отправителей, даже если они выглядят как изображения или видео. Проверяйте расширения файлов и включите отображение расширений в Windows.
  4. Используйте надежное и современное решение для обеспечения безопасности и регулярно проводите полное сканирование системы.
  5. Регулярно создавайте резервные копии важных файлов в автономном режиме или в облаке.
  6. Если вы подозреваете заражение, отключитесь от интернета, выполните полное сканирование с помощью вашей антивирусной программы, удалите все обнаруженные вредоносные программы, а затем смените пароли на чистом устройстве.

    7. Этот образец не имел цифровой подписи и был обнаружен в наших данных лишь один раз, но его маскировка и потенциальная возможность дистанционного управления оправдывают серьезное отношение к нему.

    Аналитический отчет

    Главная Информация

    Фамилия: Trojan.MSIL.Agent.NOB
    Статус подписи: No Signature

    Известные образцы

    MD5: 912f2c5acae8599fc7e46a34a9640fbd
    ША1: c67df4d42a114548268a375b7dbb1cc3714d1caf
    SHA256: 45CF29EA4DFD41064E41CAAA03B393C2F13C19DC578EFA3DDB2DF33505C59680
    Размер файла: 46.59 KB, 46592 байт

    Атрибуты исполняемого файла Windows Portable

    • File doesn't have "Rich" header
    • File doesn't have debug information
    • File doesn't have exports table
    • File doesn't have security information
    • File is .NET application
    • File is 32-bit executable
    • File is either console or GUI application
    • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
    • File is not packed
    • IMAGE_FILE_DLL is not set inside PE header (Executable)
    Show 1 more
    • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

    Информация о версии Windows PE

    имя Ценность
    Assembly Version 1.8.2.0
    Company Name Microsoft
    File Description Microsoft Teams
    File Version 1.9.5.0
    Internal Name xeno rat client.exe
    Legal Copyright Copyright © 2023
    Legal Trademarks Microsoft
    Original Filename MsoftTeams.exe
    Product Name Microsoft Teams
    Product Version 1.8.2.0

    Характеристики файла

    • .NET
    • ntdll
    • Run
    • x86

    Информация о блоке

    Всего блоков: 114
    Потенциально вредоносные блоки: 48
    Блоки, внесенные в белый список: 66
    Неизвестные блоки: 0

    Визуальная карта

    0 - Вероятный безопасный блок
    ? - Неизвестный блок
    x - Потенциально вредоносная блокировка

    Файлы изменены

    Файл Атрибуты
    c:\users\user\appdata\roaming\xenomanager\c67df4d42a114548268a375b7dbb1cc3714d1caf_0000046592 Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

    Использование API Windows

    Категория API
    User Data Access
    • GetComputerNameEx
    • GetUserDefaultLocaleName
    • GetUserObjectInformation
    Anti Debug
    • IsDebuggerPresent
    • NtQuerySystemInformation