Trojan.MSIL.Agent.MOA

Trojan.MSIL.Agent.MOA是一款 Windows 木马，其危险等级被评为 8 级（满分 10 级）。名称中的“MSIL”部分表明该程序基于 .NET 平台构建。这类木马伪装成无害软件，同时执行隐蔽的恶意操作。由于报告数据仅记录了一次检测结果，因此可获取的信息有限。本文将针对数据缺失的部分，描述典型的木马行为并加以说明。

威胁会造成什么影响？

根据消息来源，该木马程序会在后台静默运行并执行恶意操作。它可能使攻击者完全控制受感染的系统，并可能秘密删除文件等。

分析的样本具有以下特征：

• 这是一个64位.NET图形用户界面应用程序。它没有打包，也没有数字签名。
• 其版本信息显示为“LXBASE”，描述为“即时FFI网关”。这看起来像是一个合法的开发者工具，而这通常是恶意软件的伪装。
• 它引用了 Rijndael 加密类以及VirtualQueryEx和WriteProcessMemory函数。向其他进程内存写入代码是恶意软件的典型特征，这类恶意软件会注入代码或隐藏在其他程序中。
• 它使用了权限调整（ AdjustTokenPrivileges ）和键盘/鼠标钩子（ SetWindowsHookEx ）。这些都被标记为可疑操作。这类钩子通常用于监视用户输入，但此处的反馈并未证实其用途。
• 它使用套接字和地址查找等网络功能，因此可以通过网络进行通信。该信息源未指定任何服务器名称。
• 它运行wmic命令来读取正在运行进程的命令行。这是一种收集系统信息的方法。
• 它会在两个用户配置文件位置写入名为self_exe.dat的文件：一个是 Windows 缓存文件夹，另一个是临时的“brightinfo”缓存文件夹。这表明它会将自身或相关数据的副本存储在这些位置。

它通常是如何进入电脑的

消息称，这种木马程序会悄无声息地安装自身。常见的安装途径有：

• 利用系统漏洞和安全缺陷。
• 从恶意网站下载软件。
• 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。

攻击者经常将可执行文件伪装成图片或视频，以便用户在不怀疑的情况下打开它们。

用户面临的风险

攻击者通过完全远程控制，可以执行许多操作。信息流证实文件可能被删除。典型的木马活动还包括窃取密码和个人数据、安装其他恶意软件以及利用计算机进行进一步攻击。由于该样本可以通过网络通信并监控输入，因此个人和财务信息可能面临风险。这是此类恶意软件的典型行为，并非针对此样本的已确认发现。

感染迹象

这类木马程序旨在隐藏自身，因此可能不会出现明显的症状。可能的预警信号包括：

• 一个名为 LXBASE 的陌生程序或流程，或者被描述为“即时 FFI 网关”。
• 用户配置文件缓存或临时文件夹中存在意外的self_exe.dat文件。
• 网络活动异常、速度变慢或文件丢失。

如何保护自己

• 保持Windows系统和所有软件更新，以修复攻击者利用的漏洞。
• 不要打开来自未知发件人的附件，即使它们看起来像图片或视频。小心那些扩展名不寻常的文件。
• 请仅从官方发行商网站下载软件。
• 如果怀疑系统感染病毒，请使用信誉良好、版本最新的安全工具进行全面系统扫描。
• 定期对重要文件进行离线备份，以便恢复已删除或损坏的数据。
• 如果您认为自己已被感染，请断开网络连接，使用完整扫描清除威胁，并在干净的设备上更改密码。