Keylogger.MSIL.DiscordRAT.TT
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Bedrohungsstufe: | 80 % (Hoch) |
| Zum ersten Mal gesehen: | January 4, 2024 |
| Zuletzt gesehen: | October 24, 2025 |
| Betroffene Betriebssysteme: | Windows |
Keylogger.MSIL.DiscordRAT.TT ist eine Windows-basierte Spyware, die zur Kategorie der Keylogger gehört – einer Art Schadsoftware, die heimlich die Eingaben und Aktivitäten des Opfers auf dessen Computer überwacht und aufzeichnet. Diese Bedrohung wird als hochgefährlich eingestuft und ist darauf ausgelegt, unbemerkt sensible Informationen zu sammeln und an einen Angreifer zu senden, wodurch sowohl die Privatsphäre als auch die finanzielle Sicherheit ernsthaft gefährdet werden. Sie wurde über einen längeren Zeitraum beobachtet, was darauf hindeutet, dass sie weiterhin eine aktive Bedrohung darstellt, der sich Computerbenutzer bewusst sein sollten.
Inhaltsverzeichnis
Was macht Keylogger.MSIL.DiscordRAT.TT?
Sobald Keylogger.MSIL.DiscordRAT.TT auf einem System aktiv ist, arbeitet es im Hintergrund, um sensible Daten wie Tastatureingaben, Anmeldeinformationen und andere Informationen aufzuzeichnen, die auf dem infizierten Rechner eingegeben oder gespeichert werden. Das Programm basiert auf dem .NET Framework und ist als generische „Update“-Anwendung getarnt – ein gängiger Trick, um die Schadsoftware harmlos erscheinen zu lassen oder sie in legitime Windows-Prozesse einzufügen. Nach der Datenerfassung kann es diese entweder lokal auf der Festplatte speichern oder mithilfe von Netzwerkkommunikationsfunktionen an einen vom Angreifer kontrollierten Server übertragen.
Diese spezielle Familie ist mit Remote-Access-Trojanern (RATs) verbunden, die die Discord-Infrastruktur zur Steuerung und Kontrolle nutzen. Diese Technik wird von Cyberkriminellen zunehmend bevorzugt, da sie es ihnen ermöglicht, schädlichen Datenverkehr in legitimen, weit verbreiteten Netzwerkdiensten zu verbergen. Neben dem Datendiebstahl zeigt die Malware typische RAT-Verhaltensweisen, darunter das Prüfen von Systeminformationen, das Abfragen von Netzwerkadapterdetails und der Versuch, Systemberechtigungen anzupassen. All dies kann ihr helfen, sich auf dem infizierten Gerät festzusetzen und unentdeckt zu bleiben.
Wie es üblicherweise auf Computer gelangt
Keylogger.MSIL.DiscordRAT.TT verfügt über keinen bekannten Selbstverbreitungsmechanismus und infiziert Systeme, wie die meisten Keylogger und RATs, typischerweise durch Täuschung. Häufige Infektionswege für diese Art von Bedrohung sind schädliche E-Mail-Anhänge, gebündelte Downloads von unseriösen Websites, gefälschte Software-Updates oder Cracks sowie Dateien, die über Peer-to-Peer-Netzwerke oder Messaging-Plattformen ausgetauscht werden. Da die analysierte Datei keine digitale Signatur besitzt und sich als „Update“-Dienstprogramm ausgibt, könnten Benutzer dazu verleitet werden, sie manuell auszuführen, da sie sie für ein legitimes System- oder Anwendungsupdate halten.
Risiken für den Nutzer
Die Anwesenheit dieses Keyloggers auf einem System birgt erhebliche Risiken. Er kann Passwörter, Bankdaten und Kreditkartennummern abfangen, was zu direkten finanziellen Verlusten, Identitätsdiebstahl und unbefugtem Zugriff auf Online-Konten führen kann. Da die gestohlenen Daten an einen externen Server gesendet werden, wissen die Opfer oft erst, welche Informationen genau kompromittiert wurden, wenn bereits Schaden entstanden ist.
Anzeichen einer Infektion
Solche Keylogger sind so konzipiert, dass sie unbemerkt laufen, weshalb Infektionen schwer zu erkennen sein können. Mögliche Warnzeichen sind unerwartete neue Dateien oder Ordner in Benutzerprofilverzeichnissen, ungewöhnliche ausgehende Netzwerkaktivitäten, verlangsamte Systemleistung, unbekannte Hintergrundprozesse sowie unerklärliche Änderungen an Kontopasswörtern oder verdächtige Anmeldeaktivitäten bei Online-Diensten.
Wie Sie sich schützen können
Um das Infektionsrisiko zu minimieren, sollten Sie keine Software, Updates oder Cracks aus inoffiziellen oder nicht vertrauenswürdigen Quellen herunterladen und bei E-Mail-Anhängen und Links unbekannter Absender vorsichtig sein. Halten Sie Ihr Betriebssystem und Ihre installierten Anwendungen stets aktuell, verwenden Sie sichere und individuelle Passwörter für verschiedene Konten und aktivieren Sie nach Möglichkeit die Zwei-Faktor-Authentifizierung. Der Einsatz seriöser, aktueller Sicherheitssoftware und regelmäßige Systemscans können helfen, Bedrohungen wie Keylogger.MSIL.DiscordRAT.TT zu erkennen und zu entfernen, bevor sensible Daten gefährdet werden.
Analysebericht
Allgemeine Information
| Nachname: | Keylogger.MSIL.DiscordRAT.TT |
|---|---|
| Signaturstatus: | No Signature |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
fccbe8c4d94a65b151a8a6e015dea6af
SHA1:
0d25a4ff8e873fab3be2a46d9fc3617d965c6178
SHA256:
19BEE783B8334FCB98C63F23A25990B270A4E094EF87D8A666D070EC9FB63003
Dateigröße:
7.17 KB, 7168 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
- File is either console or GUI application
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Windows PE Versionsinformationen
Windows PE Versionsinformationen
Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.| Name | Wert |
|---|---|
| Assembly Version | 0.0.0.0 |
| File Description | Update |
| File Version | 0.0.0.0 |
| Internal Name | Update.exe |
| Legal Copyright | Copyright © 2021 |
| Original Filename | Update.exe |
| Product Name | Update |
| Product Version | 0.0.0.0 |
Dateieigenschaften
- .NET
- x86
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 5 |
|---|---|
| Potenziell schädliche Blöcke: | 2 |
| Zugelassene Blocker: | 3 |
| Unbekannte Blöcke: | 0 |
Visuelle Karte
? – Unbekannter Block
x – Potenziell schädliche Sperre
Ähnliche Familien
Ähnliche Familien
Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.- MSIL.DiscordRAT.TT
Geänderte Dateien
Geänderte Dateien
Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.| Datei | Attribute |
|---|---|
| c:\users\user\appdata\local\shadow\shadowlauncher.exe | Generic Write,Read Attributes |
Änderungen der Registrierung
Änderungen der Registrierung
Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.| Schlüssel::Wert | Daten | API-Name |
|---|---|---|
| HKLM\software\wow6432node\microsoft\tracing::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey |
Show 5 more
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| User Data Access |
|
| Anti Debug |
|
| Other Suspicious |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|