Trojan.MSIL.Agent.ACM
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Beliebtheitsrang: | 23,035 |
| Bedrohungsstufe: | 80 % (Hoch) |
| Zum ersten Mal gesehen: | September 3, 2024 |
| Zuletzt gesehen: | August 26, 2026 |
| Betroffene Betriebssysteme: | Windows |
Trojan.MSIL.Agent.ACM ist ein Trojaner, der Windows-Computer angreift. Er wird hinsichtlich seiner Gefährlichkeit mit 8 von 10 Punkten eingestuft. Die Erkennung basiert auf einem .NET-Programm (MSIL), daher der Name „MSIL“. Unsere Daten zeigen, dass er erstmals am 3. September 2024 und zuletzt am 26. August 2026 gesichtet wurde, wobei bisher nur zwei Erkennungen registriert wurden.
Inhaltsverzeichnis
Was die Bedrohung bewirkt
Laut Beschreibung läuft der Trojaner unbemerkt im Hintergrund und führt schädliche Aktionen aus. Er kann Angreifern die vollständige Kontrolle über ein infiziertes System ermöglichen und heimlich Dateien löschen sowie zusätzliche Software installieren. Sobald der Trojaner auf einem Computer ist, bemerken Sie möglicherweise nichts davon.
Die analysierte Datei ist eine 32-Bit-.NET-Anwendung mit grafischer Benutzeroberfläche. Sie ist nicht gepackt und besitzt keine digitale Signatur. Die Versionsinformationen weisen sie als generische „WindowsFormsApp“ mit der Versionsnummer 1.0.0.0 und einem Copyright-Vermerk von 2022 aus. Solche generischen Angaben sind für Software etablierter Hersteller untypisch, beweisen aber allein noch keine böswillige Absicht.
Das in der Stichprobe beobachtete Verhalten umfasst Folgendes:
- Erstellen und Ändern von Konfigurations- und temporären Dateien (wie z. B. user.config und Dateien mit den Endungen .tmp und .newcfg) in einem Ordner mit dem Namen "windowsformsapp" im lokalen Anwendungsdatenbereich des Benutzers.
- Die Datei FreeFlashPlayer.exe wurde aus dem Download-Ordner über einen Shell-Aufruf gestartet. Dies deutet darauf hin, dass die Testdatei als kostenloser Player-Download getarnt war.
- Mithilfe von APIs, die Systemdetails wie den Computernamen und die Standard-Spracheinstellungen auslesen.
- Mithilfe von Anti-Debugging-Prüfungen (IsDebuggerPresent und NtQuerySystemInformation), die Malware häufig verwendet, um einer Analyse zu entgehen.
- Es wird eine Windows-Kryptografiefunktion (BCryptOpenAlgorithmProvider) verwendet. Der Feed gibt nicht an, wofür sie verwendet wird.
Von den 18 für die Stichprobe aufgezeichneten Netzwerkblöcken wurden 17 auf die Whitelist gesetzt und einer als potenziell schädlich gekennzeichnet.
Wie es üblicherweise auf Computer gelangt
Laut dem Feed installiert sich dieser Trojaner unbemerkt, meistens auf folgende Weise:
- Ausnutzen von Systemschwachstellen und Sicherheitslücken.
- Software-Downloads von schädlichen Webseiten.
- E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel .exe-, .pif-, .avi- und sogar .jpg-Dateien.
Die in den Aktivitäten des Beispiels gefundene Datei FreeFlashPlayer.exe entspricht dem Muster gefälschter Software-Downloads. Kostenlose „Player“- oder „Update“-Programme von inoffiziellen Websites sind eine gängige Methode, mit der Trojaner auf Benutzer gelangen.
Risiken für den Nutzer
- Fernsteuerung Ihres PCs durch einen Angreifer.
- Datenverlust, falls der Trojaner die Dateien löscht.
- Zusätzliche unerwünschte oder schädliche Programme werden ohne Ihre Zustimmung installiert.
- Offenlegung persönlicher Daten. Trojaner dieser Art sammeln häufig Systemdetails, obwohl der Feed für dieses Beispiel keine spezifischen gestohlenen Daten auflistet.
Anzeichen einer Infektion
Da der Trojaner unbemerkt arbeitet, sind sichtbare Symptome möglicherweise selten. Folgende Anzeichen sollten überprüft werden:
- In Ihrem Download-Ordner befindet sich ein unbekanntes Programm namens FreeFlashPlayer.exe, oder Sie erinnern sich nicht, es jemals ausgeführt zu haben.
- Ein unbekannter Ordner namens „WindowsFormsApp“ in Ihrem lokalen Anwendungsdatenordner.
- Fehlende Dateien oder neue Programme, die Sie nicht installiert haben.
- Langsamere Leistung oder unerwartete Netzwerkaktivität (typisch für Trojaner, für dieses Beispiel nicht bestätigt).
Wie man sich schützt
- Laden Sie Software ausschließlich von den offiziellen Webseiten der Hersteller herunter. Vermeiden Sie Downloads von „kostenlosen“ Playern oder Updates von unbekannten Seiten.
- Öffnen Sie keine Anhänge von unbekannten Absendern, insbesondere keine .exe- oder .pif-Dateien. Seien Sie vorsichtig mit Bild- oder Videodateien, die sich wie Programme verhalten.
- Halten Sie Windows und alle Ihre Anwendungen auf dem neuesten Stand, damit bekannte Sicherheitslücken geschlossen werden.
- Führen Sie regelmäßig vollständige Scans mit einem aktuellen, seriösen Anti-Malware-Tool durch.
- Sichern Sie Ihre wichtigen Dateien auf einem externen Laufwerk oder einem Offline-Speicher.
- Verwenden Sie für die tägliche Arbeit ein normales Benutzerkonto anstelle eines Administratorkontos.
Bei Verdacht auf eine Infektion trennen Sie den Computer vom Internet, führen Sie einen vollständigen Scan durch und entfernen Sie alle gefundenen Schadprogramme. Ändern Sie anschließend wichtige Passwörter auf einem sauberen Gerät. Sollte das System weiterhin ungewöhnlich reagieren, ziehen Sie professionelle Hilfe in Betracht.
Analysebericht
Allgemeine Information
| Nachname: | Trojan.MSIL.Agent.ACM |
|---|---|
| Signaturstatus: | No Signature |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
db3eafe3b7890a2ff315be1ffeaba30f
SHA1:
536205262fbb6cacfa39d9b0bfd66df4d885f4c1
SHA256:
E6F3B534F969ADD4A98A70EB67B53CD4917B5E2BA256467A7C6D1DA3AE817C6C
Dateigröße:
64.51 KB, 64512 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Windows PE Versionsinformationen
Windows PE Versionsinformationen
Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.| Name | Wert |
|---|---|
| Assembly Version | 1.0.0.0 |
| File Description | WindowsFormsApp |
| File Version | 1.0.0.0 |
| Internal Name | WindowsFormsApp.exe |
| Legal Copyright | Copyright © 2022 |
| Original Filename | WindowsFormsApp.exe |
| Product Name | WindowsFormsApp |
| Product Version | 1.0.0.0 |
Dateieigenschaften
- .NET
- x86
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 18 |
|---|---|
| Potenziell schädliche Blöcke: | 1 |
| Zugelassene Blocker: | 17 |
| Unbekannte Blöcke: | 0 |
Visuelle Karte
? – Unbekannter Block
x – Potenziell schädliche Sperre
Ähnliche Familien
Ähnliche Familien
Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.- MSIL.Agent.ACM
Geänderte Dateien
Geänderte Dateien
Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.| Datei | Attribute |
|---|---|
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.newcfg | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.newcfg | Synchronize,Write Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\dtsgdecw.newcfg | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\dtsgdecw.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\user.config | Generic Write,Read Attributes |
| c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\user.config | Synchronize,Write Data |
Änderungen der Registrierung
Änderungen der Registrierung
Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.| Schlüssel::Wert | Daten | API-Name |
|---|---|---|
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey |
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| User Data Access |
|
| Anti Debug |
|
| Encryption Used |
|
| Process Shell Execute |
|
Shell-Befehlsausführung
Shell-Befehlsausführung
Dieser Abschnitt listet die Windows-Shell-Befehle auf, die von den in dieser Familie enthaltenen Malware-Beispielen ausgeführt werden. Windows-Shell-Befehle werden häufig von Malware für schädliche Zwecke missbraucht und können verwendet werden, um Sicherheitsberechtigungen zu erweitern, andere Malware herunterzuladen und auszuführen, Sicherheitslücken auszunutzen, Daten zu sammeln und zu exfiltrieren sowie schädliche Aktivitäten zu verschleiern.
(NULL) c:\users\user\downloads\FreeFlashPlayer.exe
|