后门.MSIL.代理.LIS
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 人气排名： | 23,809 |
| 威胁级别： | 60 % (中等的) |
| 初见： | December 3, 2024 |
| 最后一次露面： | September 5, 2026 |
| 受影响的操作系统： | Windows |
Backdoor.MSIL.Agent.LIS是一款恶意程序，被归类为后门程序，旨在使远程攻击者能够未经授权访问受感染的 Windows 计算机。该威胁基于 .NET 框架构建，能够在后台静默运行并绕过正常的身份验证过程，因此对于任何系统被感染的用户来说，都构成严重的安全风险。
目录
Backdoor.MSIL.Agent.LIS 的作用
一旦在系统中激活，Backdoor.MSIL.Agent.LIS 就会建立一个隐藏通道，使网络犯罪分子能够远程控制受感染的计算机。它可能会利用其他已安装程序中的漏洞来获取立足点，并绕过通常会阻止未经授权访问的安全检查。该后门程序通常伪装成合法安装的应用程序，这有助于它在执行恶意功能时避免引起用户的注意。
技术分析表明，该威胁包含反调试技术，例如检查是否存在调试工具以及查询系统信息。恶意软件通常利用这些技术来检测自身是否正在被安全研究人员分析或运行在受监控的环境中。此外，该威胁还会访问系统上的用户相关数据，例如区域设置和用户对象信息，攻击者可以利用这些信息来分析受感染的计算机。该文件本身不包含数字签名，这是试图降低自身可疑性并规避合法签名软件信任指标的威胁的常见特征。
它通常如何传播
与大多数此类后门程序一样，Backdoor.MSIL.Agent.LIS 通常并非通过单一、显而易见的方式传播。相反，此类威胁通常通过捆绑下载、盗版软件、虚假安装程序、恶意电子邮件附件或伪装成合法程序或更新的受感染链接进行传播。在某些情况下，此类后门程序会通过系统中已存在的 rootkit、蠕虫或其他恶意软件传播，或者利用已安装软件中未修补的漏洞进行传播。由于它可以伪装成普通应用程序，用户可能会在不知情的情况下自行安装，误以为它是无害或有用的程序。
用户面临的风险
电脑中存在此类后门是一个严重的隐患，因为它实际上将系统控制权拱手让给了未知的第三方。一旦安装，攻击者便可监控系统活动、窃取敏感信息、安装其他恶意软件，或利用受感染的计算机作为跳板发起进一步攻击。由于后门的设计旨在隐蔽运行，受感染的用户可能在很长一段时间内都察觉不到入侵，从而增加了数据被盗、经济损失或系统进一步受损的风险。
感染迹象
后门程序旨在逃避检测，因此并非总是会出现明显的症状。但是，用户应注意系统运行速度无故变慢、后台运行着陌生的进程、异常的网络活动、程序运行异常，或出现从未主动安装过的新应用程序。任何异常或未经授权的远程访问尝试也应视为潜在的警告信号。
如何做好防护
保持操作系统和所有已安装软件的完全更新有助于修复后门程序经常利用的漏洞。用户应避免从不可信的来源下载软件，谨慎对待来自未知发件人的电子邮件附件和链接，并避免使用盗版或破解版应用程序。强烈建议运行信誉良好且保持更新的安全软件，并定期进行系统扫描，以便在 Backdoor.MSIL.Agent.LIS 等威胁造成永久性损害之前将其检测并清除。
分析报告
一般信息
| 姓： | Backdoor.MSIL.Agent.LIS |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
70f2e476eeceb324b59f215b340c37a7
SHA1:
fb9944b5e86f277a6bec9367907a475ea43cc918
SHA256:
C4919A3F1F23CD6D4C9B54EF92868FECC02608EFF243A926D587F48357E17609
文件大小:
833.02 KB,833024字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件图标
文件图标
本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。
Windows PE 版本信息
Windows PE 版本信息
本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。| 姓名 | 价值 |
|---|---|
| Assembly Version | 4.0.0.0 |
| Comments | Kviskoteka |
| Company Name | Kviskoteka |
| File Description | Kviskoteka |
| File Version | 1.0.0.0 |
| Internal Name | sqKL.exe |
| Original Filename | sqKL.exe |
| Product Version | 1.0.0.0 |
文件特征
- .NET
- HighEntropy
- x86
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 147 |
|---|---|
| 潜在恶意块： | 103 |
| 白名单区块： | 44 |
| 未知区块： | 0 |
可视化地图
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- MSIL.Agent.LIS
- MSIL.Krypt.RPF
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| User Data Access |
|
| Anti Debug |
|