Trojan.MSIL.Agent.NOB

Trojan.MSIL.Agent.NOB 是一款 Windows 木马，危险等级为 8（满分 10 分）。名称中的“MSIL”部分表明该程序基于 .NET 框架构建。与大多数木马程序一样，它通常伪装成无害程序，同时执行隐蔽的恶意操作。我们的监测数据显示，该程序最早出现于 2026 年 6 月 6 日，最近一次出现于 2026 年 8 月 26 日。

威胁会造成什么影响？

根据信息源的描述，这款木马程序会悄无声息地安装自身，并在后台静默运行。它可能使攻击者完全控制受感染的系统，并可能秘密删除文件和安装其他软件。由于描述不完整，我们无法列出它可能具备的所有功能。

分析的样本具有几个显著特征：

• 它伪装成Microsoft Teams ，公司和商标字段中都包含“Microsoft”。其原始文件名也伪装成 Teams 组件的名称。这是一种伪装。然而，其内部名称包含“xeno rat client”字样，表明它可能是一个远程访问工具。这是从样本元数据中得出的结论，并非证明所有变体的功能。
• 这是一个32位.NET GUI可执行文件。它没有打包，也没有数字签名。
• 它修改了用户漫游应用程序数据区域中一个文件夹内的文件，该文件的名称与“xenomanager”相关。
• 它使用读取用户和系统信息的函数，例如计算机名称和区域设置。它还使用反调试检查（ IsDebuggerPresent和NtQuerySystemInformation ），这些检查通常用于避免安全研究人员的分析。

在沙箱分析中，共记录了 114 个区块。其中 48 个被标记为潜在恶意区块，66 个被列入白名单。

它通常是如何进入电脑的

该信息源称，这种木马程序最常通过利用系统漏洞和安全缺陷、从恶意网站下载软件或通过来自不可信来源的电子邮件附件传播。附件通常是 .exe、.pif、.avi 甚至 .jpg 文件。看似图片或视频的文件实际上可能是可执行程序。

伪造的 Microsoft Teams 品牌标识表明，它可能试图伪装成合法的协作应用程序。此类木马程序通常通过这种方式传播，但该信息流并未指明具体的传播活动。

用户面临的风险

• 失去控制：攻击者可能完全控制计算机。
• 数据丢失：文件可能在您不知情的情况下被删除。
• 其他恶意软件：可能会安装其他不需要的程序。
• 隐私泄露：此类远程访问工具通常允许窥探和收集个人信息，但该信息流并未确认此样本究竟收集了哪些信息。

感染迹象

由于木马程序运行悄无声息，因此可能不会出现明显的症状。需要注意的事项包括：

• 您未安装的“Microsoft Teams”或类似程序，尤其是从不寻常的位置运行的程序。
• 漫游应用程序数据中出现一个陌生的文件夹，例如名为“xenomanager”的文件夹。
• 系统文件丢失或出现无法解释的更改。
• 网络出现意外减速、异常网络活动或出现您不认识的新程序。

如何保护自己

1. 保持Windows系统和所有已安装软件更新，以修复已知漏洞。
2. 请仅从官方渠道下载软件。正版 Microsoft Teams 直接来自微软。
3. 不要打开来自未知发件人的附件，即使它们看起来像图片或视频。检查文件扩展名，并在 Windows 系统中启用显示文件扩展名。
4. 使用信誉良好、版本最新的安全解决方案，并定期运行完整的系统扫描。
5. 定期对重要文件进行离线或云端备份。
6. 如果您怀疑设备感染了病毒，请断开网络连接，使用安全软件进行全面扫描，删除检测到的所有病毒，然后从干净的设备更改密码。

该样本没有数字签名，并且在我们的数据中只检测到一次，但它的伪装和远程控制的可能性足以证明对其进行认真对待是合理的。

分析报告

一般信息

姓：	Trojan.MSIL.Agent.NOB
签名状态：	No Signature

已知样本

i

已知样本

本节列出了其他据信与该家族有关的文件样本。

MD5: 912f2c5acae8599fc7e46a34a9640fbd SHA1: c67df4d42a114548268a375b7dbb1cc3714d1caf SHA256: 45CF29EA4DFD41064E41CAAA03B393C2F13C19DC578EFA3DDB2DF33505C59680 文件大小: 46.59 KB,46592字节

Windows 可移植可执行文件属性

i

Windows 可移植可执行文件属性

本节列出了在恶意软件家族样本中发现的文件属性。这些属性提取自文件的 Windows PE（可移植可执行文件）规范和各种系统标志。可移植可执行文件属性使恶意软件研究人员能够深入了解文件的功能、可执行文件的详细信息、平台和运行时环境。

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE 版本信息

i

Windows PE 版本信息

本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。

姓名	价值
Assembly Version	1.8.2.0
Company Name	Microsoft
File Description	Microsoft Teams
File Version	1.9.5.0
Internal Name	xeno rat client.exe
Legal Copyright	Copyright © 2023
Legal Trademarks	Microsoft
Original Filename	MsoftTeams.exe
Product Name	Microsoft Teams
Product Version	1.8.2.0

文件特征

• .NET
• ntdll
• Run
• x86

区块信息

i

区块信息

在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。

总区块数：	114
潜在恶意块：	48
白名单区块：	66
未知区块：	0

可视化地图

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

文件已修改

i

文件已修改

本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。

文件	属性
c:\users\user\appdata\roaming\xenomanager\c67df4d42a114548268a375b7dbb1cc3714d1caf_0000046592	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

Windows API 使用情况

i

Windows API 使用情况

本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。

类别	API
User Data Access	GetComputerNameEx GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	IsDebuggerPresent NtQuerySystemInformation