База данных угроз Спам Trojan.MSIL.Spammer.MA

Trojan.MSIL.Spammer.MA

К CagedTech году в Спам, Трояны году
Опубликовано:

Карта показателей угрозы

Уровень угрозы: 80 % (Высокая)
Первый раз: November 9, 2023
Последний визит: October 22, 2026
ОС(а) Затронутые: Windows

Trojan.MSIL.Spammer.MA — это троянская программа для Windows, написанная на платформе .NET Framework (MSIL), которая классифицируется как угроза высокого риска с рейтингом опасности 8 из 10. Она предназначена для незаметного проникновения в системы, работы в фоновом режиме и выполнения вредоносных инструкций без ведома или согласия владельца компьютера. Её присутствие в системе следует рассматривать как серьёзный инцидент безопасности.

Что делает Trojan.MSIL.Spammer.MA

После активации на компьютере Trojan.MSIL.Spammer.MA работает незаметно в фоновом режиме, выполняя вредоносные операции. Трояны этого семейства обычно создаются для того, чтобы предоставить удаленным злоумышленникам высокий уровень контроля над зараженным компьютером. Это может включать в себя возможность скрытого удаления файлов, установки дополнительных вредоносных программ, изменения системных настроек и манипулирования процессами, работающими на компьютере. Исследуемый образец использует такие методы, как запись в память других процессов и процедуры шифрования, которые обычно используются вредоносным ПО для сокрытия своей активности, избежания обнаружения и затруднения анализа. Он также проверяет наличие отладочных инструментов — тактика, часто используемая для того, чтобы избежать изучения исследователями безопасности или отсрочить обнаружение. Как следует из названия, это семейство троянов также связано со спамом, а это значит, что зараженный компьютер потенциально может быть использован для распространения нежелательных или вредоносных сообщений без ведома пользователя.

Как это обычно попадает на компьютеры

Trojan.MSIL.Spammer.MA обычно распространяется обманным путем или с помощью эксплойтов, а не путем обмана пользователей с целью их преднамеренной установки в качестве легитимного программного обеспечения. Распространенные пути заражения для этого типа угроз включают использование незащищенных системных уязвимостей и недостатков безопасности, программное обеспечение, загруженное с вредоносных или скомпрометированных веб-сайтов, а также вложения в электронные письма, отправленные из ненадежных или поддельных источников. Эти вложения могут быть замаскированы под вводящие в заблуждение расширения файлов, выдавая себя за исполняемые файлы, видеофайлы или даже файлы изображений, чтобы обманом заставить пользователя открыть их. Поскольку вредоносный файл в этом случае не имеет цифровой подписи и не содержит информации о проверенном издателе, он может выглядеть ничем не примечательным на первый взгляд, что облегчает его обнаружение при невнимательной проверке.

Риски для пользователя

Наличие этого трояна в системе может привести к серьезным последствиям. Злоумышленники могут получить полный контроль над зараженным компьютером, что потенциально позволит им украсть конфиденциальные данные, установить дополнительное вредоносное ПО, нарушить нормальную работу системы или использовать компьютер как часть более крупной сети в злонамеренных целях, например, для рассылки спама. Пользователи также могут столкнуться со снижением производительности системы, неожиданными сбоями или несанкционированными изменениями файлов и настроек.

Признаки инфекции

Поскольку подобные трояны созданы для скрытой работы, явные предупреждающие признаки отсутствуют. Однако пользователи могут заметить необычное замедление работы системы, неожиданную сетевую активность, незнакомые процессы, работающие в фоновом режиме, отключение или неисправность средств защиты, а также необъяснимые изменения файлов и настроек.

Как обеспечить свою безопасность

Чтобы снизить риск заражения, пользователям следует регулярно обновлять операционную систему и все установленное программное обеспечение, чтобы устранить известные уязвимости безопасности. Избегайте загрузки программ с неофициальных или подозрительных веб-сайтов и никогда не открывайте вложения электронной почты от неизвестных или непроверенных отправителей, особенно исполняемые файлы, замаскированные под другие типы файлов. Регулярное резервное копирование важных данных и использование надежного, актуального программного обеспечения для обеспечения безопасности может дополнительно помочь обнаружить и удалить угрозы, такие как Trojan.MSIL.Spammer.MA, прежде чем они причинят непоправимый вред.

Аналитический отчет

Главная Информация

Фамилия: Trojan.MSIL.Spammer.MA
Статус подписи: No Signature

Известные образцы

MD5: 642cf9701752df1cceaff976f0607ca7
ША1: e69be9af27faf0ee78f049b4a3ce1633eac8adb2
SHA256: 471C0DF5CEB961E16E53A5874064EA6DCF7E18E5E7F4AEDBDEB88602E9996AD1
Размер файла: 2.85 MB, 2848768 байт

Атрибуты исполняемого файла Windows Portable

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have security information
  • File is .NET application
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Значки файлов

Информация о версии Windows PE

имя Ценность
Assembly Version 1.1.0.2
Comments AutoPK
Company Name https://Autokid.com
File Description AutoPK
File Version 1.0.0.0
Internal Name KeoXePK.exe
Legal Copyright https://Autokid.com
Original Filename KeoXePK.exe
Product Name https://Autokid.com
Product Version 1.0.0.0

Характеристики файла

  • .NET
  • ntdll
  • RijndaelManaged
  • WriteProcessMemory
  • x86

Информация о блоке

Всего блоков: 3,045
Потенциально вредоносные блоки: 1,439
Блоки, внесенные в белый список: 213
Неизвестные блоки: 1,393

Визуальная карта

... Данные усечены
0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Изменения в реестре

Ключ::Значение Данные Название API
HKLM\software\wow6432node\microsoft\.netframework\v4.0.30319::schusestrongcrypto  RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\.netframework\v4.0.30319::schusestrongcrypto  RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\client::disabledbydefault RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\client::enabled  RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\server::disabledbydefault RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\server::enabled  RegNtPreCreateKey

Использование API Windows

Категория API
User Data Access
  • GetUserDefaultLocaleName
  • GetUserObjectInformation
Anti Debug
  • IsDebuggerPresent
  • NtQuerySystemInformation
Encryption Used
  • BCryptOpenAlgorithmProvider