Trojan.MSIL.Downloader.FSB
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 人气排名： | 25,465 |
| 威胁级别： | 80 % (高的) |
| 受感染的计算机： | 2 |
| 初见： | February 12, 2026 |
| 最后一次露面： | September 14, 2026 |
| 受影响的操作系统： | Windows |
Trojan.MSIL.Downloader.FSB 是一款基于 Microsoft .NET 框架 (MSIL) 构建的恶意程序，属于木马程序中的下载器子类。它的主要目的并非直接造成损害，而是悄悄地获取并安装其他恶意软件到受感染的 Windows 计算机上。该威胁的危险等级为 8 级（满分 10 级），被认为十分严重，并可能导致更具破坏性的感染。
目录
Trojan.MSIL.Downloader.FSB 的作用
Trojan.MSIL.Downloader.FSB 一旦在系统中激活，便会在后台静默运行，不会引起用户的注意。它利用标准的互联网连接组件，通过网络与远程服务器通信，建立出站连接、解析网络地址并传输数据。正是这种网络功能使其能够作为下载器运行：它连接到攻击者控制的基础设施，并获取其他恶意文件，这些文件随后可以在受感染的计算机上执行。
该木马程序还包含一些通常用于逃避检测的功能，例如检查自身是否在调试器或分析环境中运行。它可以收集受感染计算机的基本信息，包括计算机名称和区域设置，攻击者通常利用这些信息来识别受害者或定制后续攻击。一些分析过的样本发现，其数字签名与文件的实际内容不符。这种技术有时被用来使文件乍一看合法或可信，而实际上文件已被篡改。
由于 Trojan.MSIL.Downloader.FSB 在安装后可能使黑客获得对系统的高度控制权，因此除了其核心下载器功能外，它还可以用来秘密删除或更改文件。
它通常是如何进入电脑的
与许多下载器木马一样，Trojan.MSIL.Downloader.FSB 通常通过欺骗性渠道传播，而不是直接利用某个特定漏洞。常见的感染途径包括从不可信或恶意网站下载软件，以及接收来自未知或不受信任发件人的电子邮件附件。这些附件通常会使用 .exe、.pif、.avi 甚至 .jpg 等文件扩展名进行伪装，诱骗用户打开。该木马还可能利用系统中现有的安全漏洞或未修补的漏洞，在用户未进行明显交互的情况下完成安装。
用户面临的风险
这种木马的存在会给系统带来重大风险。由于其核心功能是下载并运行其他恶意程序，受感染的计算机最终可能还会遭受其他威胁，例如勒索软件、间谍软件或远程访问工具。攻击者可能获得对设备的广泛控制权，从而访问个人文件、监控活动，或将该计算机用作发起进一步攻击的跳板。网络凭证、存储数据和系统稳定性都可能受到威胁。
感染迹象
由于这种木马程序旨在静默运行，因此其症状可能不易察觉。用户可能会注意到异常的网络活动、不寻常的出站连接、占用资源的陌生进程、系统运行速度变慢，或者计算机上出现一些未经用户主动安装的新文件和程序。
如何做好防护
避免从非官方或可疑网站下载软件，切勿打开来自未知发件人的电子邮件附件，尤其是带有不寻常扩展名的可执行文件。保持 Windows 操作系统和已安装应用程序的最新版本，以修复已知的安全漏洞。定期备份重要数据，使用信誉良好且最新的安全解决方案，并对未经请求的链接或文件保持警惕，即使它们看似来自熟悉的来源。
分析报告
一般信息
| 姓： | Trojan.MSIL.Downloader.FSB |
|---|---|
| 签名状态： | Hash Mismatch |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
9994d0ed9cf5fc8740b6173eaa7a649a
SHA1:
184776ffc2b587c82192c1b34c5062b2f91a4519
SHA256:
C927F754A367CEC65DDE372E6955D1D70E52A04A4BEE037E244DF2F74125D75F
文件大小:
5.39 MB,5389392字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Windows PE 版本信息
Windows PE 版本信息
本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。| 姓名 | 价值 |
|---|---|
| Assembly Version | 1.0.0.0 |
| Comments | 2E<;:6B6>IA:83@?F6?9 |
| Company Name | F<6;5<??B86D2BG> |
| File Description | >FGF;<8JD:EB25I3GHI |
| File Version | 9.26.48.175 |
| Internal Name | 11.exe |
| Legal Copyright | Copyright © 1988 F<6;5<??B86D2BG>. All rights reserved. |
| Original Filename | 11.exe |
| Product Name | >FGF;<8JD:EB25I3GHI |
| Product Version | 9.26.48.175 |
数字签名
数字签名
本节列出了该系列样本所附带的数字签名。在分析和验证数字签名时，务必确认签名的根授权机构是知名且可信的实体，并且签名状态良好。恶意软件通常使用不可信的“自签名”数字签名（恶意软件作者可以轻松创建此类签名，无需任何验证）。恶意软件也可能使用状态无效的合法签名，或者使用来自可疑根授权机构且签名者名称虚假或具有误导性的签名。| 签名者 | 根 | 地位 |
|---|---|---|
| Ghisler Software GmbH | Symantec Class 3 SHA256 Code Signing CA | Hash Mismatch |
| Ghisler Software GmbH | VeriSign Class 3 Code Signing 2010 CA | Hash Mismatch |
文件特征
- .NET
- NewLateBinding
- x86
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 355 |
|---|---|
| 潜在恶意块： | 201 |
| 白名单区块： | 154 |
| 未知区块： | 0 |
可视化地图
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- MSIL.Downloader.FSB
注册表修改
注册表修改
本节列出了此系列样本创建、修改和/或删除的注册表项和值。Windows 注册表活动可以提供关于恶意软件功能的宝贵信息。此外，恶意软件通常会创建注册表值，以便在初始感染系统后自动启动并无限期地持续存在。| 键::值 | 数据 | API名称 |
|---|---|---|
| HKLM\software\wow6432node\microsoft\tracing::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey |
显示更多
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| User Data Access |
|
| Anti Debug |
|
| Other Suspicious |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|
