Trojan.MSIL.Agent.ACM

Trojan.MSIL.Agent.ACM 是一款针对 Windows 计算机的木马程序，危险等级为 8 分（满分 10 分）。该检测程序基于 .NET (MSIL) 程序构建，因此其名称中包含“MSIL”。数据显示，该木马程序最早出现于 2024 年 9 月 3 日，最近一次出现于 2026 年 8 月 26 日，但仅记录到少量检测结果（2 次）。

威胁会造成什么影响？

根据病毒库的描述，该木马程序会在后台静默运行并执行恶意操作。它可能使攻击者完全控制受感染的系统，并可能秘密删除文件和安装其他软件。一旦木马程序侵入计算机，您可能不会察觉到任何异常。

分析的样本是一个带有图形界面的 32 位 .NET 可执行文件。它未打包，也没有数字签名。其版本信息显示为一个通用的“WindowsFormsApp”应用程序，版本号为 1.0.0.0，并带有 2022 年的版权声明。此类通用信息并非知名发行商软件的典型特征，但这本身并不能证明其具有恶意。

样本中观察到的行为包括：

• 在用户本地应用程序数据区域中名为“windowsformsapp”的文件夹中创建和更改配置文件和临时文件（例如 user.config 以及以 .tmp 和 .newcfg 结尾的文件）。
• 通过 shell 执行调用，从“下载”文件夹启动名为 FreeFlashPlayer.exe 的文件。这表明该样本伪装成免费播放器下载进行传播的。
• 使用 API 读取系统详细信息，例如计算机名称和默认语言设置。
• 使用反调试检查（IsDebuggerPresent 和 NtQuerySystemInformation），恶意软件通常利用这些检查来避免分析。
• 使用的是 Windows 加密函数 (BCryptOpenAlgorithmProvider)。但信息源并未说明其用途。

在样本中记录的 18 个网络块中，17 个被列入白名单，1 个被标记为潜在的恶意网络块。

它通常是如何进入电脑的

该消息源称，这种木马程序会悄悄地安装自身，最常见的安装方式是：

• 利用系统漏洞和安全缺陷。
• 从恶意网站下载软件。
• 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。

样本活动中出现的 FreeFlashPlayer.exe 文件符合虚假软件下载的典型模式。来自非官方网站的免费“播放器”或“更新”程序是木马程序入侵用户的常用手段。

用户面临的风险

• 攻击者远程控制您的电脑。
• 如果木马程序删除文件，则文件将丢失。
• 未经您同意，安装了其他不需要的或恶意程序。
• 个人信息泄露。此类木马通常会收集系统详细信息，但该样本并未列出具体被盗数据。

感染迹象

由于木马病毒悄无声息地运行，因此可能很少出现明显的症状。以下这些迹象值得注意：

• 下载文件夹中有一个名为 FreeFlashPlayer.exe 的陌生程序，或者您不记得运行过的程序。
• 本地应用程序数据文件夹中存在一个未知的“WindowsFormsApp”文件夹。
• 文件丢失或您未安装的新程序。
• 性能变慢或出现异常网络活动（木马的典型特征，但尚未在此样本中得到证实）。

如何保护自己

• 请仅从软件发行商的官方网站下载软件。避免从不熟悉的网站下载“免费”播放器或更新程序。
• 不要打开来自未知发件人的附件，尤其是 .exe 或 .pif 文件。对于行为类似程序的图像或视频文件，务必保持警惕。
• 请确保Windows系统和所有应用程序保持最新状态，以便修复已知漏洞。
• 定期使用最新、信誉良好的反恶意软件工具进行全面扫描。
• 将重要文件备份到外部硬盘或离线存储设备。
• 日常工作请使用普通用户帐户，而不是管理员帐户。

如果您怀疑电脑感染了病毒，请断开电脑与互联网的连接，运行全面扫描，并清除所有检测到的病毒。然后，在干净的设备上更改重要密码。如果系统仍然运行异常，请考虑寻求专业帮助。