Bedrohungsdatenbank Spam Trojan.MSIL.Spammer.Q

Trojan.MSIL.Spammer.Q

Von CagedTech in Spam, Trojaner
Veröffentlicht:
Übersetzen Sie in:

Trojan.MSIL.Spammer.Q ist ein Erkennungsname für ein Trojaner-Programm, das in Microsoft Intermediate Language (MSIL) geschrieben ist, dem gemeinsamen Laufzeitformat für Anwendungen, die auf dem .NET Framework basieren. Wie der Name bereits andeutet, steht diese Bedrohung im Zusammenhang mit Spam-Aktivitäten. Sie ist also in der Regel darauf ausgelegt, unerwünschte oder schädliche Massennachrichten zu verbreiten, anstatt Dateien auf dem infizierten Computer direkt zu beschädigen.

Was diese Bedrohung bewirkt

Programme, die als Trojan.MSIL.Spammer.Q erkannt werden, laufen nach der Installation typischerweise unbemerkt im Hintergrund, ohne Wissen oder Zustimmung des Nutzers. Bedrohungen dieser Kategorie werden häufig eingesetzt, um infizierte Rechner in Werkzeuge zum Versenden von Spam-E-Mails oder -Nachrichten zu verwandeln, oft als Teil eines größeren Netzwerks kompromittierter Computer, die von Cyberkriminellen ferngesteuert werden. In vielen Fällen können solche Trojaner auch verwendet werden, um auf dem System gespeicherte E-Mail-Adressen oder Kontaktlisten zu sammeln und diese dann für weitere Spam-Kampagnen zu nutzen. Da dies ein typisches Verhalten für diese Bedrohungskategorie und keine bestätigte, dokumentierte Aktion dieser spezifischen Datei ist, sollten Nutzer jede Erkennung dieses Trojaners als Hinweis auf potenziell unerwünschte oder schädliche Aktivitäten betrachten, die umgehend behoben werden müssen.

Wie es üblicherweise auf Computer gelangt

Wie die meisten Trojaner verbreitet sich Trojan.MSIL.Spammer.Q in der Regel nicht von selbst. Stattdessen nutzt er meist irreführende Verbreitungsmethoden wie schädliche E-Mail-Anhänge, gebündelte Downloads von unseriösen Websites, gecrackte oder raubkopierte Software, gefälschte Software-Updates und Links in Spam-Nachrichten oder auf kompromittierten Websites. Nutzer installieren den Trojaner oft unwissentlich, indem sie einen infizierten Anhang öffnen oder eine heruntergeladene Datei ausführen, die zwar legitim erscheint, aber in Wirklichkeit Schadsoftware enthält.

Risiken für den Nutzer

Die Installation dieses Trojaners auf einem System kann Benutzer verschiedenen Risiken aussetzen. Der infizierte Computer kann ohne Wissen des Besitzers zum Versenden von Spam missbraucht werden, was dazu führen kann, dass die IP-Adresse oder das E-Mail-Konto des Rechners von E-Mail-Anbietern und Sicherheitsdiensten gesperrt oder auf eine Blacklist gesetzt wird. Dies kann dazu führen, dass legitime E-Mails, die von diesem Gerät gesendet werden, blockiert oder als Spam markiert werden. Darüber hinaus können Trojaner dieser Kategorie als Einfallstor für weitere Schadsoftware dienen und so das Risiko von Sicherheitslücken, Datendiebstahl oder Leistungsproblemen auf dem betroffenen Gerät erhöhen.

Anzeichen einer Infektion

Da Trojaner so programmiert sind, dass sie unbemerkt agieren, sind Infektionen nicht immer offensichtlich. Mögliche Warnzeichen sind jedoch unerwartete Verlangsamungen der System- oder Netzwerkleistung, ungewöhnlich hohe ausgehende Netzwerk- oder E-Mail-Aktivität, Kontakte, die über den Empfang verdächtiger Nachrichten vom E-Mail-Konto des Nutzers berichten, Sicherheitssoftware, die verdächtige Dateien markiert, und unbekannte Prozesse, die Systemressourcen beanspruchen. Jedes dieser Anzeichen kann auf das Vorhandensein eines Spam-Trojaners oder eines ähnlichen unerwünschten Programms hindeuten.

Wie Sie sich schützen können

Um das Infektionsrisiko zu minimieren, sollten Nutzer keine E-Mail-Anhänge öffnen oder auf Links von unbekannten oder unerwarteten Absendern klicken, Software nur von offiziellen und vertrauenswürdigen Quellen herunterladen und ihr Betriebssystem sowie alle installierten Anwendungen stets aktuell halten. Der Einsatz einer zuverlässigen und aktuellen Sicherheitslösung sowie regelmäßige Systemscans helfen, solche Bedrohungen zu erkennen und zu beseitigen, bevor sie Schaden anrichten können. Vorsicht ist auch bei kostenlosen Downloads, gecrackter Software und Pop-up-Fenstern geboten, die zur sofortigen Installation von Updates oder Plug-ins auffordern, da diese häufige Einfallstoren für Trojaner-Infektionen sind.

Analysebericht

Allgemeine Information

Nachname: Trojan.MSIL.Spammer.Q
Signaturstatus: No Signature

Bekannte Proben

MD5: 31a35d8fe2a035405b6e3998fa71755c
SHA1: c854594313de3a2bceefe84abcb8b40d1d055da8
SHA256: 45F17176798A26D98A9887AFE7928AA83666C0FE770A979D8D7884B27A150953
Dateigröße: 1.06 MB, 1059840 Bytes

Attribute der portablen Windows-Ausführungsdatei

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have security information
  • File is .NET application
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dateisymbole

Windows PE Versionsinformationen

Name Wert
Assembly Version 1.0.0.0
File Description NI-NICNT GENERATOR Mini v1
File Version 1.0.0.0
Internal Name NI-NicntGenerator.exe
Legal Copyright Tracer'2013
Original Filename NI-NicntGenerator.exe
Product Name NI-NICNT GENERATOR Mini v1
Product Version 1.0.0.0

Dateieigenschaften

  • .NET
  • .sdata
  • NewLateBinding
  • x86

Blockinformationen

Gesamtanzahl der Blöcke: 489
Potenziell schädliche Blöcke: 100
Zugelassene Blocker: 311
Unbekannte Blöcke: 78

Visuelle Karte

? ? 0 0 x x x x x x ? x x ? x 0 0 ? 0 x x 0 0 0 x 0 x x x ? x 0 0 ? x x x ? x 0 0 0 0 0 0 ? 0 0 x x x x 0 0 ? x 0 ? x x x x 0 x 0 0 0 ? 0 x x x 0 0 0 x 0 x 0 x ? 0 x x 0 0 ? x ? x x 0 0 0 ? 0 0 0 0 x ? 0 0 x 0 x 0 x 0 0 0 0 ? 0 x x x 0 0 0 ? 0 x x 0 x x x x x 0 x 0 0 0 0 x x 0 0 0 x 0 x x x x 0 0 x 0 0 x 0 x x x 0 x 0 x 0 0 x x x x 0 0 x 0 0 x x x 0 x 0 x 0 0 x x 0 0 0 0 x x ? 0 0 x 0 0 x x x 0 ? 0 x 0 0 x ? 0 0 0 0 x x x 0 0 x 0 0 x x x 0 0 0 0 ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x ? ? ? ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? x ? ? 0 ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? 0 0 0 0 0 0 ? ? ? ? ?
0 – Wahrscheinlich sichere Blockierung
? – Unbekannter Block
x – Potenziell schädliche Sperre

Geänderte Dateien

Datei Attribute
\device\namedpipe\gmdasllogger Generic Write,Read Attributes
c:\windows\appcompat\programs\amcache.hve Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve Write Attributes

Änderungen der Registrierung

Schlüssel::Wert Daten API-Name
HKLM\system\software\microsoft\tip\aggregateresults::data ⳛ˼耀塉¯ⳛ˼耀塉 隞̃搁耀꧌ڈӾ RegNtPreCreateKey

Windows-API-Nutzung

Kategorie API
User Data Access
  • GetUserObjectInformation
Anti Debug
  • IsDebuggerPresent
Process Manipulation Evasion
  • NtUnmapViewOfSection
  • ReadProcessMemory
Process Shell Execute
  • CreateProcess
Encryption Used
  • BCryptOpenAlgorithmProvider

Shell-Befehlsausführung

C:\Windows\Microsoft.NET\Framework\v2.0.50727\\dw20.exe dw20.exe -x -s 1040