Trojan.MSIL.Agent.NOB

Trojan.MSIL.Agent.NOB ist ein Windows-Trojaner mit einer Gefahrenstufe von 8 von 10. Der Namensbestandteil „MSIL“ deutet auf ein Programm hin, das auf dem .NET Framework basiert. Wie die meisten Trojaner tarnt er sich als harmloses Programm, führt aber im Verborgenen schädliche Aktionen aus. Unsere Daten zeigen, dass er erstmals am 6. Juni 2026 und zuletzt am 26. August 2026 gesichtet wurde.

Was die Bedrohung bewirkt

Laut der Beschreibung installiert sich dieser Trojaner unbemerkt und läuft unauffällig im Hintergrund. Er kann Angreifern die vollständige Kontrolle über ein infiziertes System ermöglichen und heimlich Dateien löschen sowie weitere Software installieren. Die Beschreibung ist unvollständig, daher können wir nicht alle möglichen Funktionen auflisten.

Die analysierte Probe weist mehrere bemerkenswerte Merkmale auf:

• Es gibt sich als Microsoft Teams aus, mit „Microsoft“ in den Feldern für Firma und Marke. Auch der ursprüngliche Dateiname ist so gewählt, dass er wie eine Teams-Komponente aussieht. Dies ist eine Tarnung. Der interne Name enthält jedoch die Wörter „xeno rat client“, was auf ein Fernzugriffstool hindeutet. Dies ist eine Beobachtung aus den Metadaten der Datei und kein Beweis dafür, was jede Variante tut.
• Es handelt sich um eine 32-Bit-.NET-GUI-Anwendung. Sie ist nicht gepackt und besitzt keine digitale Signatur.
• Es veränderte eine Datei in einem Ordner im Roaming-Anwendungsdatenbereich des Benutzers mit einem Namen, der sich auf "xenomanager" bezieht.
• Es verwendet Funktionen zum Auslesen von Benutzer- und Systeminformationen, wie z. B. Computername und Gebietsschema. Außerdem nutzt es Anti-Debugging-Prüfungen ( IsDebuggerPresent und NtQuerySystemInformation ), die üblicherweise eingesetzt werden, um eine Analyse durch Sicherheitsforscher zu verhindern.

Bei der Sandbox-Analyse wurden 114 Blöcke erfasst. 48 davon wurden als potenziell schädlich gekennzeichnet und 66 auf die Whitelist gesetzt.

Wie es üblicherweise auf Computer gelangt

Laut dem Bericht verbreitet sich dieser Trojaner am häufigsten durch Ausnutzung von Systemschwachstellen und Sicherheitslücken, durch Software-Downloads von schädlichen Webseiten oder durch E-Mail-Anhänge von unbekannten Absendern. Die Anhänge sind üblicherweise .exe-, .pif-, .avi- und sogar .jpg-Dateien. Dateien, die wie Bilder oder Videos aussehen, können in Wirklichkeit ausführbare Programme sein.

Die gefälschte Microsoft Teams-Kennzeichnung lässt vermuten, dass es sich um eine gefälschte Kollaborations-App handeln könnte, die sich als legitime Anwendung ausgibt. Trojaner dieser Art werden typischerweise auf diese Weise verbreitet, der Feed nennt jedoch keine spezifische Verbreitungskampagne.

Risiken für den Nutzer

• Kontrollverlust: Angreifer können die vollständige Kontrolle über den Computer erlangen.
• Datenverlust: Dateien können ohne Ihr Wissen gelöscht werden.
• Zusätzliche Schadsoftware: Es können weitere unerwünschte Programme installiert werden.
• Gefährdung der Privatsphäre: Fernzugriffstools dieser Art ermöglichen typischerweise das Ausspionieren und Sammeln persönlicher Daten, wobei der Feed jedoch nicht genau bestätigt, was dieses Beispiel sammelt.

Anzeichen einer Infektion

Da der Trojaner unbemerkt aktiv ist, können offensichtliche Symptome fehlen. Achten Sie auf folgende Anzeichen:

• Ein „Microsoft Teams“ oder ein ähnliches Programm, das Sie nicht installiert haben, insbesondere eines, das von einem ungewöhnlichen Speicherort aus ausgeführt wird.
• Ein unbekannter Ordner in Ihren Roaming-Anwendungsdaten, beispielsweise ein Ordner mit dem Namen „xenomanager“.
• Fehlende Dateien oder unerklärliche Änderungen an Ihrem System.
• Unerwartete Verlangsamungen, ungewöhnliche Netzwerkaktivitäten oder neue Programme, die Sie nicht erkennen.

Wie man sich schützt

1. Halten Sie Windows und alle installierten Softwareprogramme auf dem neuesten Stand, damit bekannte Sicherheitslücken geschlossen werden.
2. Laden Sie Software nur von offiziellen Quellen herunter. Original Microsoft Teams erhalten Sie direkt von Microsoft.
3. Öffnen Sie keine Anhänge von unbekannten Absendern, auch wenn sie wie Bilder oder Videos aussehen. Überprüfen Sie die Dateierweiterungen und aktivieren Sie die Anzeige von Dateierweiterungen in Windows.
4. Verwenden Sie eine seriöse, aktuelle Sicherheitslösung und führen Sie regelmäßig vollständige Systemscans durch.
5. Erstellen Sie regelmäßig Offline- oder Cloud-Backups wichtiger Dateien.
6. Wenn Sie eine Infektion vermuten, trennen Sie das System vom Internet, führen Sie einen vollständigen Scan mit Ihrer Sicherheitssoftware durch, entfernen Sie alle gefundenen Bedrohungen und ändern Sie anschließend Ihre Passwörter von einem sauberen Gerät aus.

Dieses Muster wies keine digitale Signatur auf und wurde in unseren Daten nur einmal entdeckt, doch seine Tarnung und die Möglichkeit der Fernsteuerung rechtfertigen eine ernsthafte Behandlung.

Analysebericht

Allgemeine Information

Nachname:	Trojan.MSIL.Agent.NOB
Signaturstatus:	No Signature

Bekannte Proben

i

Bekannte Proben

Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.

MD5: 912f2c5acae8599fc7e46a34a9640fbd SHA1: c67df4d42a114548268a375b7dbb1cc3714d1caf SHA256: 45CF29EA4DFD41064E41CAAA03B393C2F13C19DC578EFA3DDB2DF33505C59680 Dateigröße: 46.59 KB, 46592 Bytes

Attribute der portablen Windows-Ausführungsdatei

i

Attribute der portablen Windows-Ausführungsdatei

Dieser Abschnitt listet die in den Familienbeispielen gefundenen Dateiattribute auf. Diese Attribute werden aus der Windows PE-Spezifikation (Portable Executable) der Dateien und verschiedenen Systemflags extrahiert. Die Attribute portabler ausführbarer Dateien geben Malware-Forschern Einblick in die Funktionalität einer Datei, Details zur Ausführung, Plattform und Laufzeitumgebung.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE Versionsinformationen

i

Windows PE Versionsinformationen

Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.

Name	Wert
Assembly Version	1.8.2.0
Company Name	Microsoft
File Description	Microsoft Teams
File Version	1.9.5.0
Internal Name	xeno rat client.exe
Legal Copyright	Copyright © 2023
Legal Trademarks	Microsoft
Original Filename	MsoftTeams.exe
Product Name	Microsoft Teams
Product Version	1.8.2.0

Dateieigenschaften

• .NET
• ntdll
• Run
• x86

Blockinformationen

i

Blockinformationen

Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.

Gesamtanzahl der Blöcke:	114
Potenziell schädliche Blöcke:	48
Zugelassene Blocker:	66
Unbekannte Blöcke:	0

Visuelle Karte

0 – Wahrscheinlich sichere Blockierung
? – Unbekannter Block
x – Potenziell schädliche Sperre

Geänderte Dateien

i

Geänderte Dateien

Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.

Datei	Attribute
c:\users\user\appdata\roaming\xenomanager\c67df4d42a114548268a375b7dbb1cc3714d1caf_0000046592	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

Windows-API-Nutzung

i

Windows-API-Nutzung

Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.

Kategorie	API
User Data Access	GetComputerNameEx GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	IsDebuggerPresent NtQuerySystemInformation