Trojan.MSIL.Agent.NOB

Trojan.MSIL.Agent.NOB, 10 üzerinden 8 tehlike seviyesine sahip bir Windows Truva atıdır. Adındaki "MSIL" kısmı, .NET framework'ü üzerine kurulu bir programa işaret etmektedir. Çoğu Truva atı gibi, zararsız gibi görünürken gizli ve zararlı eylemler gerçekleştirir. Verilerimize göre ilk olarak 06.06.2026 tarihinde ve en son 26.08.2026 tarihinde görülmüştür.

Tehdidin yaptığı şey

Açıklamaya göre, bu Truva atı kendini gizlice kuruyor ve arka planda sessizce çalışıyor. Saldırganlara bulaşmış bir sistem üzerinde tam kontrol sağlayabilir ve gizlice dosyaları silebilir ve başka yazılımlar yükleyebilir. Açıklama eksik olduğu için, sahip olabileceği her işlevi listeleyemiyoruz.

Analiz edilen örnekte dikkat çekici birkaç özellik bulunmaktadır:

• Kendini Microsoft Teams olarak tanıtıyor ve şirket ile marka alanlarında "Microsoft" yazıyor. Orijinal dosya adı da bir Teams bileşeni gibi görünecek şekilde ayarlanmış. Bu bir kamuflaj. Ancak iç adı, uzaktan erişim aracını düşündüren "xeno rat client" kelimelerini içeriyor. Bu, örneğin meta verilerinden yapılan bir gözlem olup, her varyantın ne yaptığının kanıtı değildir.
• Bu, 32 bitlik bir .NET GUI yürütülebilir dosyasıdır. Paketlenmemiş olup dijital imzası bulunmamaktadır.
• Kullanıcının dolaşım uygulaması veri alanındaki bir klasörün içindeki, adı "xenomanager" olan bir dosyayı değiştirdi.
• Kullanıcı ve sistem bilgilerini (örneğin bilgisayar adı ve yerel ayar) okuyan işlevler kullanır. Ayrıca, güvenlik araştırmacıları tarafından analiz edilmesini önlemek için yaygın olarak kullanılan hata ayıklama önleme kontrollerini ( IsDebuggerPresent ve NtQuerySystemInformation ) de kullanır.

Sanal ortam analizinde 114 blok kaydedildi. Bunlardan 48'i potansiyel olarak kötü amaçlı olarak işaretlendi ve 66'sı beyaz listeye alındı.

Bilgisayarlara genellikle nasıl bulaşıyor?

Habere göre bu Truva atı, çoğunlukla sistem güvenlik açıklarından ve zafiyetlerinden yararlanarak, kötü amaçlı web sitelerinden yazılım indirmeleri yoluyla veya güvenilmeyen kaynaklardan gelen e-posta ekleri aracılığıyla yayılıyor. Ekler genellikle .exe, .pif, .avi ve hatta .jpg dosyalarıdır. Resim veya video gibi görünen dosyalar aslında çalıştırılabilir programlar olabilir.

Sahte Microsoft Teams markalaması, bunun meşru bir iş birliği uygulaması gibi görünmeye de çalışabileceğini düşündürüyor. Bu tür Truva atları genellikle bu şekilde dağıtılır, ancak haber akışında belirli bir dağıtım kampanyasının adı geçmiyor.

Kullanıcı için riskler

• Kontrol kaybı: Saldırganlar bilgisayarın tam kontrolünü ele geçirebilir.
• Veri kaybı: Dosyalar bilginiz dışında silinebilir.
• Ek zararlı yazılımlar: İstenmeyen başka programlar da yüklenebilir.
• Gizlilik ihlali: Bu tür uzaktan erişim araçları genellikle casusluk yapmaya ve kişisel bilgileri toplamaya olanak tanır, ancak bu örneklemde tam olarak ne toplandığı doğrulanmamıştır.

Enfeksiyon belirtileri

Trojana sessizce ilerlediği için belirgin belirtiler görülmeyebilir. Dikkat edilmesi gerekenler şunlardır:

• Yüklemediğiniz bir "Microsoft Teams" veya benzeri bir program, özellikle alışılmadık bir konumdan çalışıyorsa.
• Dolaşım uygulaması verilerinizde, "xenomanager" gibi daha önce karşılaşmadığınız bir klasör.
• Dosyaların eksik olması veya sisteminizde açıklanamayan değişiklikler olması.
• Beklenmedik yavaşlamalar, anormal ağ etkinlikleri veya tanımadığınız yeni programlar.

Nasıl korunabilirsiniz?

1. Windows'u ve yüklü tüm yazılımları güncel tutarak bilinen güvenlik açıklarının kapatılmasını sağlayın.
2. Yazılımları yalnızca resmi kaynaklardan indirin. Orijinal Microsoft Teams, doğrudan Microsoft'tan gelir.
3. Bilinmeyen göndericilerden gelen ekleri, resim veya video gibi görünseler bile açmayın. Dosya uzantılarını kontrol edin ve Windows'ta uzantıların görüntülenmesini etkinleştirin.
4. Güvenilir ve güncel bir güvenlik çözümü kullanın ve düzenli olarak tam sistem taramaları gerçekleştirin.
5. Önemli dosyalarınızın düzenli olarak çevrimdışı veya bulut yedeklerini alın.
6. Virüs bulaştığından şüpheleniyorsanız, internet bağlantınızı kesin, güvenlik yazılımınızla tam tarama yapın, tespit ettiği her şeyi kaldırın ve ardından şifrelerinizi temiz bir cihazdan değiştirin.

Bu örnekte dijital imza bulunmuyordu ve verilerimizde yalnızca bir kez tespit edildi, ancak gizlenmesi ve uzaktan kontrol potansiyeli nedeniyle ciddiye alınması gerekiyor.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.MSIL.Agent.NOB
İmza durumu:	No Signature

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: 912f2c5acae8599fc7e46a34a9640fbd SHA1: c67df4d42a114548268a375b7dbb1cc3714d1caf SHA256: 45CF29EA4DFD41064E41CAAA03B393C2F13C19DC578EFA3DDB2DF33505C59680 Dosya boyutu: 46.59 KB.46592 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
Assembly Version	1.8.2.0
Company Name	Microsoft
File Description	Microsoft Teams
File Version	1.9.5.0
Internal Name	xeno rat client.exe
Legal Copyright	Copyright © 2023
Legal Trademarks	Microsoft
Original Filename	MsoftTeams.exe
Product Name	Microsoft Teams
Product Version	1.8.2.0

Dosya Özellikleri

• .NET
• ntdll
• Run
• x86

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	114
Potansiyel Olarak Zararlı Bloklar:	48
Beyaz Listeye Alınan Bloklar:	66
Bilinmeyen Bloklar:	0

Görsel Harita

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Değiştirilen Dosyalar

i

Değiştirilen Dosyalar

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.

Dosya	Özellikler
c:\users\user\appdata\roaming\xenomanager\c67df4d42a114548268a375b7dbb1cc3714d1caf_0000046592	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
User Data Access	GetComputerNameEx GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	IsDebuggerPresent NtQuerySystemInformation