Trojan.MSIL.Agent.ACM
Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartları, araştırma ekibimiz tarafından toplanan ve analiz edilen farklı kötü amaçlı yazılım tehditleri için değerlendirme raporlarıdır. EnigmaSoft Tehdit Puan Kartları, gerçek dünya ve potansiyel risk faktörleri, eğilimler, sıklık, yaygınlık ve kalıcılık dahil olmak üzere çeşitli ölçümleri kullanarak tehditleri değerlendirir ve sıralar. EnigmaSoft Tehdit Puan Kartları, araştırma verilerimize ve ölçümlerimize dayalı olarak düzenli olarak güncellenir ve kötü amaçlı yazılımları sistemlerinden kaldırmak için çözümler arayan son kullanıcılardan tehditleri analiz eden güvenlik uzmanlarına kadar çok çeşitli bilgisayar kullanıcıları için yararlıdır.
EnigmaSoft Tehdit Puan Kartları, aşağıdakiler de dahil olmak üzere çeşitli yararlı bilgiler görüntüler:
Popülerlik Sıralaması: Belirli bir tehdidin EnigmaSoft'un Tehdit Veritabanındaki sıralaması.
Önem Düzeyi: Tehdit Değerlendirme Kriterlerimizde açıklandığı gibi, risk modelleme sürecimize ve araştırmamıza dayalı olarak sayısal olarak gösterilen, bir nesnenin belirlenen önem düzeyi.
Enfekte Bilgisayarlar: SpyHunter tarafından bildirildiği üzere, virüslü bilgisayarlarda tespit edilen belirli bir tehdidin doğrulanmış ve şüphelenilen vakalarının sayısı.
Ayrıca bkz. Tehdit Değerlendirme Kriterleri .
| Popülerlik Sıralaması: | 23,035 |
| Tehlike seviyesi: | 80 % (Yüksek) |
| İlk görüş: | September 3, 2024 |
| Son görülen: | August 26, 2026 |
| Etkilenen İşletim Sistemleri: | Windows |
Trojan.MSIL.Agent.ACM, Windows bilgisayarları hedef alan bir Truva atıdır. Tehlike derecesi 10 üzerinden 8'dir. Tespit, bir .NET (MSIL) programı üzerine kuruludur, bu nedenle adında "MSIL" ifadesi yer almaktadır. Verilerimiz, ilk olarak 03.09.2024 tarihinde ve en son 26.08.2026 tarihinde görüldüğünü ve yalnızca az sayıda tespit kaydedildiğini göstermektedir (2).
İçindekiler
Tehdidin yaptığı şey
Açıklamaya göre, Truva atı arka planda sessizce çalışarak kötü amaçlı işlevler gerçekleştiriyor. Saldırganlara bulaşmış bir sistem üzerinde tam kontrol sağlayabilir ve gizlice dosyaları silip ek yazılımlar yükleyebilir. Truva atı bir bilgisayara bulaştıktan sonra, herhangi bir sorun olduğunu fark etmeyebilirsiniz.
Analiz edilen örnek, grafik arayüzüne sahip 32 bitlik bir .NET yürütülebilir dosyasıdır. Paketlenmemiş ve dijital imzası bulunmamaktadır. Sürüm bilgileri, onu 1.0.0.0 sürümüne sahip genel bir "WindowsFormsApp" ve 2022 telif hakkı bildirimi olarak sunmaktadır. Bu tür genel ayrıntılar, köklü bir yayıncının yazılımları için tipik değildir, ancak tek başlarına kötü niyetin kanıtı değildir.
Örneklemde gözlemlenen davranışlar şunlardır:
- Kullanıcının yerel uygulama veri alanında "windowsformsapp" adıyla adlandırılmış bir klasör içinde yapılandırma ve geçici dosyalar (örneğin user.config ve .tmp ve .newcfg uzantılı dosyalar) oluşturma ve değiştirme.
- İndirilenler klasöründen FreeFlashPlayer.exe adlı bir dosyanın komut satırı komutuyla çalıştırılması. Bu, örneğin ücretsiz bir oynatıcı indirme dosyası gibi gizlenerek sunulduğunu gösteriyor.
- Bilgisayar adı ve varsayılan dil ayarları gibi sistem ayrıntılarını okuyan API'ler kullanılıyor.
- Kötü amaçlı yazılımların analizden kaçınmak için sıklıkla kullandığı hata ayıklama önleyici kontrollerin (IsDebuggerPresent ve NtQuerySystemInformation) kullanılması.
- Windows şifreleme fonksiyonu (BCryptOpenAlgorithmProvider) kullanılıyor. Beslemede ne için kullanıldığı belirtilmiyor.
Örneklem için kaydedilen 18 ağ engellemesinden 17'si beyaz listeye alınmış, biri ise potansiyel olarak kötü amaçlı olarak işaretlenmiştir.
Bilgisayarlara genellikle nasıl bulaşıyor?
Habere göre bu Truva atı kendini çoğunlukla şu yollarla gizlice yüklüyor:
- Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanmak.
- Zararlı web sitelerinden yazılım indirmeleri.
- Güvenilmeyen kaynaklardan gelen e-posta ekleri, genellikle .exe, .pif, .avi ve hatta .jpg dosyalarıdır.
Örnekteki etkinlikte görülen FreeFlashPlayer.exe dosyası, sahte yazılım indirmelerinin kalıbına uymaktadır. Resmi olmayan sitelerden indirilen ücretsiz "oynatıcı" veya "güncelleme" programları, Truva atlarının kullanıcılara ulaşmasının yaygın bir yoludur.
Kullanıcı için riskler
- Bir saldırgan tarafından bilgisayarınızın uzaktan kontrol edilmesi.
- Truva atı dosyaları silerse dosyalar kaybolur.
- İzniniz olmadan istenmeyen veya zararlı programların yüklenmesi.
- Kişisel bilgilerin ifşa edilmesi. Bu tür Truva atları genellikle sistem ayrıntılarını toplar, ancak bu örnek için çalınan belirli veriler listelenmemiştir.
Enfeksiyon belirtileri
Trojan paraziti sessiz çalıştığı için, görünür belirtiler az olabilir. Bu belirtileri kontrol etmekte fayda var:
- İndirilenler klasörünüzde FreeFlashPlayer.exe adlı yabancı bir program veya çalıştırdığınızı hatırlamadığınız bir program.
- Yerel uygulama veri klasörünüzde bilinmeyen bir "WindowsFormsApp" klasörü.
- Kaybolan dosyalar veya yüklemediğiniz yeni programlar.
- Daha yavaş performans veya beklenmedik ağ etkinliği (Truva atları için tipiktir, bu örnek için doğrulanmamıştır).
Nasıl korunabilirsiniz?
- Yazılımları yalnızca yayıncılarının resmi web sitelerinden indirin. Tanıdık olmayan sayfalardan "ücretsiz" oynatıcı veya güncelleme indirmelerinden kaçının.
- Bilinmeyen göndericilerden gelen ekleri, özellikle .exe veya .pif dosyalarını açmayın. Program gibi davranan resim veya video dosyalarına karşı dikkatli olun.
- Windows'unuzu ve tüm uygulamalarınızı güncel tutarak bilinen güvenlik açıklarının kapatılmasını sağlayın.
- Güncel ve güvenilir bir kötü amaçlı yazılım tarama aracı kullanarak düzenli olarak tam tarama yapın.
- Önemli dosyalarınızı harici bir sürücüye veya çevrimdışı depolama alanına yedekleyin.
- Günlük işleriniz için yönetici hesabı yerine standart bir kullanıcı hesabı kullanın.
Virüs bulaştığından şüpheleniyorsanız, bilgisayarı internetten ayırın, tam tarama yapın ve tespit edilen her şeyi kaldırın. Ardından önemli şifreleri temiz bir cihazdan değiştirin. Sistem hala garip davranıyorsa, profesyonel yardım almayı düşünün.
Analiz raporu
Genel bilgi
| Soyadı: | Trojan.MSIL.Agent.ACM |
|---|---|
| İmza durumu: | No Signature |
Bilinen Örnekler
Bilinen Örnekler
Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.|
MD5:
db3eafe3b7890a2ff315be1ffeaba30f
SHA1:
536205262fbb6cacfa39d9b0bfd66df4d885f4c1
SHA256:
E6F3B534F969ADD4A98A70EB67B53CD4917B5E2BA256467A7C6D1DA3AE817C6C
Dosya boyutu:
64.51 KB.64512 bayt
|
Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Windows PE Sürüm Bilgileri
Windows PE Sürüm Bilgileri
Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.| isim | Değer |
|---|---|
| Assembly Version | 1.0.0.0 |
| File Description | WindowsFormsApp |
| File Version | 1.0.0.0 |
| Internal Name | WindowsFormsApp.exe |
| Legal Copyright | Copyright © 2022 |
| Original Filename | WindowsFormsApp.exe |
| Product Name | WindowsFormsApp |
| Product Version | 1.0.0.0 |
Dosya Özellikleri
- .NET
- x86
Blok Bilgileri
Blok Bilgileri
Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.| Toplam Blok Sayısı: | 18 |
|---|---|
| Potansiyel Olarak Zararlı Bloklar: | 1 |
| Beyaz Listeye Alınan Bloklar: | 17 |
| Bilinmeyen Bloklar: | 0 |
Görsel Harita
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme
Benzer Aileler
Benzer Aileler
Bu bölümde, EnigmaSoft'un analizine dayanarak bu aileyle benzerlikler gösteren diğer aileler listelenmiştir. Birçok kötü amaçlı yazılım ailesi aynı kötü amaçlı yazılım araç setlerinden oluşturulur ve aynı paketleme ve şifreleme tekniklerini kullanır, ancak işlevselliği benzersiz bir şekilde genişletir. Benzer aileler ayrıca kaynak kodunu, öznitelikleri, simgeleri, alt bileşenleri, tehlikeye atılmış ve/veya geçersiz dijital imzaları ve ağ özelliklerini de paylaşabilir. Araştırmacılar, dosya örneklerini hızlı ve etkili bir şekilde sınıflandırmak ve kötü amaçlı yazılım tespit kurallarını genişletmek için bu benzerliklerden yararlanır.- MSIL.Agent.ACM
Değiştirilen Dosyalar
Değiştirilen Dosyalar
Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.| Dosya | Özellikler |
|---|---|
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.newcfg | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.newcfg | Synchronize,Write Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\dtsgdecw.newcfg | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\dtsgdecw.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\user.config | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\user.config | Synchronize,Write Data |
Sicil Değişiklikleri
Sicil Değişiklikleri
Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen ve/veya silinen kayıt defteri anahtarları ve değerleri listelenmiştir. Windows Kayıt Defteri etkinliği, kötü amaçlı yazılımların işlevselliği hakkında değerli bilgiler sağlayabilir. Ek olarak, kötü amaçlı yazılımlar genellikle, ilk enfeksiyon sistemi tehlikeye attıktan sonra otomatik olarak başlamasına ve süresiz olarak kalmasına olanak sağlamak için kayıt defteri değerleri oluşturur.| Anahtar::Değer | Veri | API Adı |
|---|---|---|
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey |
Windows API Kullanımı
Windows API Kullanımı
Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.| Kategori | API |
|---|---|
| User Data Access |
|
| Anti Debug |
|
| Encryption Used |
|
| Process Shell Execute |
|
Kabuk Komutu Yürütme
Kabuk Komutu Yürütme
Bu bölümde, bu ailedeki örnekler tarafından çalıştırılan Windows kabuk komutları listelenmiştir. Windows kabuk komutları genellikle kötü amaçlı yazılımlar tarafından zararlı amaçlarla kullanılır ve güvenlik ayrıcalıklarını yükseltmek, diğer kötü amaçlı yazılımları indirip çalıştırmak, güvenlik açıklarından yararlanmak, veri toplamak ve sızdırmak ve kötü amaçlı faaliyetleri gizlemek için kullanılabilir.
(NULL) c:\users\user\downloads\FreeFlashPlayer.exe
|