Trojan.MSIL.Agent.MOA

Trojan.MSIL.Agent.MOA ist ein Windows-Trojaner, der laut Feed eine Gefahrenstufe von 8 von 10 aufweist. Der Namensbestandteil „MSIL“ deutet auf ein Programm hin, das auf der .NET-Plattform basiert. Trojaner wie dieser tarnen sich als harmlose Software, führen aber im Verborgenen schädliche Aktionen aus. Da die Feed-Daten nur einen einzigen Fall melden, sind die verfügbaren Informationen begrenzt. Wo keine Daten vorliegen, beschreibt dieser Artikel das typische Verhalten des Trojaners.

Was die Bedrohung bewirkt

Dem Bericht zufolge läuft der Trojaner unbemerkt im Hintergrund und führt schädliche Aktionen aus. Er kann Angreifern die vollständige Kontrolle über ein infiziertes System ermöglichen und unter anderem heimlich Dateien löschen.

Die analysierte Probe weist folgende Merkmale auf:

• Es handelt sich um eine 64-Bit .NET GUI-Anwendung. Sie ist nicht gepackt und besitzt keine digitale Signatur.
• Die Versionsinformationen geben es als „LXBASE“ mit der Beschreibung „Just-In-Time FFI Gateway“ an. Dies sieht aus wie ein legitimes Entwicklertool, was eine gängige Tarnung für Malware ist.
• Es enthält Verweise auf die Rijndael-Verschlüsselungsklasse sowie auf die Funktionen VirtualQueryEx und WriteProcessMemory . Code, der in den Speicher anderer Prozesse schreibt, ist typisch für Schadsoftware, die Code einschleust oder sich in anderen Programmen versteckt.
• Es nutzt Rechteanpassung ( AdjustTokenPrivileges ) und Tastatur- oder Maus-Hooking ( SetWindowsHookEx ). Diese werden als verdächtig eingestuft. Solche Hooks werden typischerweise zur Überwachung von Benutzereingaben verwendet, obwohl der Feed diesen Zweck hier nicht bestätigt.
• Es nutzt Netzwerkfunktionen wie Sockets und Adressauflösung, um über das Netzwerk zu kommunizieren. Der Feed nennt keinen Servernamen.
• Es führt den Befehl `wmic` aus, um die Befehlszeile eines laufenden Prozesses zu lesen. Dies ist eine Möglichkeit, Informationen über das System zu sammeln.
• Es erstellt Dateien mit dem Namen self_exe.dat an zwei Speicherorten im Benutzerprofil: einem Windows-Cache-Ordner und einem temporären Cache-Ordner namens „brightinfo“. Dies deutet darauf hin, dass es dort Kopien von sich selbst oder zugehörigen Daten speichert.

Wie es üblicherweise auf Computer gelangt

Laut dem Feed installiert sich dieser Trojaner unbemerkt. Die üblichen Installationswege sind:

• Ausnutzen von Systemschwachstellen und Sicherheitslücken.
• Software-Downloads von schädlichen Webseiten.
• E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel .exe-, .pif-, .avi- oder sogar .jpg-Dateien.

Angreifer tarnen ausführbare Dateien oft als Bilder oder Videos, damit die Benutzer sie ohne Verdacht öffnen.

Risiken für den Nutzer

Mit vollständiger Fernsteuerung könnte ein Angreifer zahlreiche Aktionen durchführen. Der Feed bestätigt, dass Dateien gelöscht werden können. Typische Trojaneraktivitäten umfassen außerdem das Stehlen von Passwörtern und persönlichen Daten, die Installation weiterer Schadsoftware und die Nutzung des Computers für weitere Angriffe. Da die Malware über das Netzwerk kommunizieren und Eingaben überwachen kann, sind möglicherweise persönliche und finanzielle Informationen gefährdet. Dies ist ein typisches Verhalten für diese Malware-Kategorie, jedoch keine bestätigte Feststellung für dieses spezielle Exemplar.

Anzeichen einer Infektion

Dieser Trojanertyp ist so konzipiert, dass er unentdeckt bleibt, daher treten möglicherweise keine offensichtlichen Symptome auf. Mögliche Warnzeichen sind:

• Ein unbekanntes Programm oder Verfahren namens LXBASE oder ein solches, das als „Just-In-Time FFI Gateway“ bezeichnet wird.
• Unerwartete self_exe.dat- Dateien im Cache oder in temporären Ordnern des Benutzerprofils.
• Unerklärliche Netzwerkaktivität, Verlangsamungen oder fehlende Dateien.

Wie man sich schützt

• Halten Sie Windows und Ihre gesamte Software auf dem neuesten Stand, um die Sicherheitslücken zu schließen, die Angreifer ausnutzen.
• Öffnen Sie keine Anhänge von unbekannten Absendern, auch nicht solche, die wie Bilder oder Videos aussehen. Seien Sie vorsichtig mit Dateien, die unerwartete Dateiendungen haben.
• Laden Sie Software nur von der offiziellen Website des Herausgebers herunter.
• Verwenden Sie ein seriöses, aktuelles Sicherheitstool und führen Sie einen vollständigen Systemscan durch, wenn Sie eine Infektion vermuten.
• Erstellen Sie regelmäßig Offline-Backups wichtiger Dateien, damit gelöschte oder beschädigte Daten wiederhergestellt werden können.
• Wenn Sie glauben, dass Ihr Computer infiziert ist, trennen Sie ihn vom Internet, entfernen Sie die Bedrohung mit einem vollständigen Scan und ändern Sie Ihre Passwörter von einem sauberen Gerät aus.