Trojan.MSIL.Agent.MOA
Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartları, araştırma ekibimiz tarafından toplanan ve analiz edilen farklı kötü amaçlı yazılım tehditleri için değerlendirme raporlarıdır. EnigmaSoft Tehdit Puan Kartları, gerçek dünya ve potansiyel risk faktörleri, eğilimler, sıklık, yaygınlık ve kalıcılık dahil olmak üzere çeşitli ölçümleri kullanarak tehditleri değerlendirir ve sıralar. EnigmaSoft Tehdit Puan Kartları, araştırma verilerimize ve ölçümlerimize dayalı olarak düzenli olarak güncellenir ve kötü amaçlı yazılımları sistemlerinden kaldırmak için çözümler arayan son kullanıcılardan tehditleri analiz eden güvenlik uzmanlarına kadar çok çeşitli bilgisayar kullanıcıları için yararlıdır.
EnigmaSoft Tehdit Puan Kartları, aşağıdakiler de dahil olmak üzere çeşitli yararlı bilgiler görüntüler:
Popülerlik Sıralaması: Belirli bir tehdidin EnigmaSoft'un Tehdit Veritabanındaki sıralaması.
Önem Düzeyi: Tehdit Değerlendirme Kriterlerimizde açıklandığı gibi, risk modelleme sürecimize ve araştırmamıza dayalı olarak sayısal olarak gösterilen, bir nesnenin belirlenen önem düzeyi.
Enfekte Bilgisayarlar: SpyHunter tarafından bildirildiği üzere, virüslü bilgisayarlarda tespit edilen belirli bir tehdidin doğrulanmış ve şüphelenilen vakalarının sayısı.
Ayrıca bkz. Tehdit Değerlendirme Kriterleri .
| Tehlike seviyesi: | 80 % (Yüksek) |
| İlk görüş: | June 9, 2026 |
| Son görülen: | November 11, 2026 |
| Etkilenen İşletim Sistemleri: | Windows |
Trojan.MSIL.Agent.MOA , Windows için tehlike seviyesi 10 üzerinden 8 olarak derecelendirilen bir Truva atıdır. Adındaki "MSIL" kısmı, .NET platformunda oluşturulmuş bir programa işaret etmektedir. Bu tür Truva atları, gizli ve zararlı eylemler gerçekleştirirken zararsız yazılım gibi görünürler. Besleme verilerinde yalnızca bir tespit listelenmiştir, bu nedenle mevcut bilgi sınırlıdır. Verilerin sessiz kaldığı yerlerde, bu makale tipik Truva atı davranışını açıklamaktadır.
İçindekiler
Tehdidin yaptığı şey
Verilen bilgilere göre, Truva atı arka planda sessizce çalışıyor ve kötü amaçlı işlevler gerçekleştiriyor. Saldırganlara bulaşmış bir sistem üzerinde tam kontrol sağlayabilir ve diğer eylemlerin yanı sıra dosyaları gizlice silebilir.
Analiz edilen numunenin özellikleri şunlardır:
- Bu, 64 bitlik bir .NET GUI uygulamasıdır. Paketlenmemiş olup dijital imzası bulunmamaktadır.
- Sürüm bilgileri, "LXBASE" olarak ve "Just-In-Time FFI Gateway" açıklamasıyla sunuluyor. Bu, kötü amaçlı yazılımlar için yaygın bir gizleme yöntemi olan meşru bir geliştirici aracı gibi görünüyor.
- Bu kod, Rijndael şifreleme sınıfına ve VirtualQueryEx ile WriteProcessMemory fonksiyonlarına referanslar içermektedir. Diğer işlemlerin belleğine yazan kod, kod enjekte eden veya diğer programların içine gizlenen kötü amaçlı yazılımların tipik bir özelliğidir.
- Ayrıcalık ayarlaması ( AdjustTokenPrivileges ) ve klavye veya fare kancalama ( SetWindowsHookEx ) kullanıyor. Bunlar şüpheli olarak işaretlendi. Bu tür kancalar genellikle kullanıcı girişini izlemek için kullanılır, ancak burada bu amacın doğrulandığına dair bir bilgi yok.
- Soketler ve adres aramaları gibi ağ işlevlerini kullandığı için ağ üzerinden iletişim kurabiliyor. Yayında herhangi bir sunucu adı belirtilmiyor.
- Bu komut, çalışan bir işlemin komut satırını okumak için wmic komutunu çalıştırır. Bu, sistem hakkında bilgi toplamanın bir yoludur.
- Windows önbellek klasörü ve geçici "brightinfo" önbellek klasörü olmak üzere iki kullanıcı profili konumuna self_exe.dat adında dosyalar yazıyor. Bu, kendisinin veya ilgili verilerin kopyalarını orada sakladığını gösteriyor.
Bilgisayarlara genellikle nasıl bulaşıyor?
Habere göre bu Truva atı kendini gizlice yüklüyor. Genellikle kullanılan yollar şunlardır:
- Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanmak.
- Zararlı web sitelerinden yazılım indirmeleri.
- Güvenilmeyen kaynaklardan gelen e-posta ekleri, genellikle .exe, .pif, .avi hatta .jpg dosyalarıdır.
Saldırganlar genellikle çalıştırılabilir dosyaları resim veya video kılığında gizleyerek kullanıcıların şüphelenmeden açmasını sağlarlar.
Kullanıcı için riskler
Tam uzaktan kontrol ile bir saldırgan birçok şey yapabilir. Veri akışı, dosyaların silinebileceğini doğruluyor. Tipik Truva atı faaliyetleri arasında şifrelerin ve kişisel verilerin çalınması, diğer kötü amaçlı yazılımların yüklenmesi ve bilgisayarın daha fazla saldırı için kullanılması da yer almaktadır. Örnek, ağ üzerinden iletişim kurabildiği ve girişleri izleyebildiği için kişisel ve finansal bilgiler risk altında olabilir. Bu, kategori için tipik bir davranıştır, bu örnek için doğrulanmış bir bulgu değildir.
Enfeksiyon belirtileri
Bu tür Truva atı gizli kalacak şekilde tasarlanmıştır, bu nedenle belirgin belirtileri olmayabilir. Olası uyarı işaretleri şunlardır:
- LXBASE olarak adlandırılan veya "Anlık FFI Ağ Geçidi" olarak tanımlanan, daha önce hiç duymadığınız bir program veya işlem.
- Kullanıcı profilinin önbelleklerinde veya geçici klasörlerinde beklenmedik self_exe.dat dosyaları bulundu.
- Açıklanamayan ağ etkinliği, yavaşlamalar veya kayıp dosyalar.
Nasıl korunabilirsiniz?
- Saldırganların istismar ettiği güvenlik açıklarını kapatmak için Windows'unuzu ve tüm yazılımlarınızı güncel tutun.
- Bilinmeyen göndericilerden gelen ekleri, resim veya video gibi görünseler bile açmayın. Beklenmedik uzantılara sahip dosyalara dikkat edin.
- Yazılımı yalnızca resmi yayıncının web sitesinden indirin.
- Şüpheli bir virüs bulaşması durumunda, güvenilir ve güncel bir güvenlik aracı kullanarak tam sistem taraması yapın.
- Silinen veya hasar gören verilerin geri yüklenebilmesi için önemli dosyalarınızın düzenli olarak çevrimdışı yedeklerini alın.
- Virüs bulaştığına inanıyorsanız, internet bağlantınızı kesin, tam tarama yaparak tehdidi kaldırın ve şifrelerinizi temiz bir cihazdan değiştirin.
Analiz raporu
Genel bilgi
| Soyadı: | Trojan.MSIL.Agent.MOA |
|---|---|
| İmza durumu: | No Signature |
Bilinen Örnekler
Bilinen Örnekler
Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.|
MD5:
23603cab2c05610882f46641a988807e
SHA1:
ff0822df09de12eeee7d290cfb54233b357ce392
SHA256:
275C109E3CCF269A9ED6C083D5CA71C5116DA26A0EFA2F562F4E510F8E9B3BC3
Dosya boyutu:
633.34 KB.633344 bayt
|
Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File is .NET application
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
Show 2 more
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Windows PE Sürüm Bilgileri
Windows PE Sürüm Bilgileri
Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.| isim | Değer |
|---|---|
| Assembly Version | 1.0.52.0 |
| Comments | Just-In-Time FFI Gateway |
| Company Name | LXBASE |
| File Description | Just-In-Time FFI Gateway |
| File Version | 1.0.52.0 |
| Internal Name | LXBASE.exe |
| Original Filename | LXBASE.exe |
| Product Name | LXBASE |
| Product Version | 1.0.52.0 |
Dosya Özellikleri
- .NET
- ntdll
- RijndaelManaged
- VirtualQueryEx
- WriteProcessMemory
- x64
Blok Bilgileri
Blok Bilgileri
Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.| Toplam Blok Sayısı: | 982 |
|---|---|
| Potansiyel Olarak Zararlı Bloklar: | 49 |
| Beyaz Listeye Alınan Bloklar: | 142 |
| Bilinmeyen Bloklar: | 791 |
Görsel Harita
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme
Değiştirilen Dosyalar
Değiştirilen Dosyalar
Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.| Dosya | Özellikler |
|---|---|
| \device\namedpipe | Generic Read,Write Attributes |
| \device\namedpipe | Generic Write,Read Attributes |
| c:\users\user\appdata\local\microsoft\windows\caches\self_exe.dat | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\brightinfo\cache\self_exe.dat | Generic Write,Read Attributes |
Windows API Kullanımı
Windows API Kullanımı
Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.| Kategori | API |
|---|---|
| Syscall Use |
Show 63 more
|
| User Data Access |
|
| Other Suspicious |
|
| Encryption Used |
|
| Process Shell Execute |
|
| Network Winsock2 |
|
| Network Winsock |
|
Kabuk Komutu Yürütme
Kabuk Komutu Yürütme
Bu bölümde, bu ailedeki örnekler tarafından çalıştırılan Windows kabuk komutları listelenmiştir. Windows kabuk komutları genellikle kötü amaçlı yazılımlar tarafından zararlı amaçlarla kullanılır ve güvenlik ayrıcalıklarını yükseltmek, diğer kötü amaçlı yazılımları indirip çalıştırmak, güvenlik açıklarından yararlanmak, veri toplamak ve sızdırmak ve kötü amaçlı faaliyetleri gizlemek için kullanılabilir.
"wmic" process where ProcessId=520 get CommandLine /value
|