Trojan.MSIL.Agent.MOA

Trojan.MSIL.Agent.MOA est un cheval de Troie Windows classé niveau de danger 8 sur 10. « MSIL » indique qu'il s'agit d'un programme développé sur la plateforme .NET. Ce type de cheval de Troie se fait passer pour un logiciel inoffensif tout en menant des actions malveillantes dissimulées. Les données du flux de données ne recensent qu'une seule détection, ce qui limite les informations disponibles. En l'absence de données, cet article décrit le comportement typique de ce type de cheval de Troie.

Que fait la menace ?

D'après les informations recueillies, le cheval de Troie s'exécute discrètement en arrière-plan et effectue des actions malveillantes. Il peut donner aux attaquants un contrôle total sur un système infecté et supprimer des fichiers à leur insu, entre autres.

L'échantillon analysé présente les caractéristiques suivantes :

• Il s'agit d'une application GUI .NET 64 bits. Elle n'est pas empaquetée et ne possède pas de signature numérique.
• Les informations de version le présentent comme « LXBASE » avec la description « Just-In-Time FFI Gateway ». Cela ressemble à un outil de développement légitime, un camouflage fréquent pour les logiciels malveillants.
• Il contient des références à la classe de chiffrement Rijndael et aux fonctions VirtualQueryEx et WriteProcessMemory . Le code qui écrit dans la mémoire d'autres processus est typique des logiciels malveillants qui injectent du code ou se dissimulent au sein d'autres programmes.
• Il utilise la modification des privilèges ( AdjustTokenPrivileges ) et l'interception du clavier ou de la souris ( SetWindowsHookEx ). Ces actions sont signalées comme suspectes. Ce type d'interception sert généralement à surveiller les entrées utilisateur, bien que le flux ne confirme pas cette finalité dans ce cas précis.
• Il utilise des fonctions réseau telles que les sockets et la résolution d'adresses, ce qui lui permet de communiquer sur le réseau. Le flux ne mentionne aucun serveur.
• Il exécute une commande wmic pour lire la ligne de commande d'un processus en cours d'exécution. Cela permet de recueillir des informations sur le système.
• Il crée des fichiers nommés self_exe.dat dans deux emplacements du profil utilisateur : un dossier de cache Windows et un dossier de cache temporaire « brightinfo ». Cela laisse supposer qu’il y stocke des copies de lui-même ou de données associées.

Comment cela se retrouve généralement sur les ordinateurs

Le flux indique que ce cheval de Troie s'installe furtivement. Les méthodes habituelles sont :

• Exploiter les vulnérabilités et les failles de sécurité du système.
• Téléchargements de logiciels depuis des sites web malveillants.
• Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi ou même .jpg.

Les attaquants dissimulent souvent les fichiers exécutables sous forme d'images ou de vidéos afin que les utilisateurs les ouvrent sans se méfier.

Risques pour l’utilisateur

Avec un contrôle total à distance, un attaquant pourrait accomplir de nombreuses actions. Le flux de données confirme la possibilité de suppression de fichiers. Les activités typiques d'un cheval de Troie incluent également le vol de mots de passe et de données personnelles, l'installation d'autres logiciels malveillants et l'utilisation de l'ordinateur pour d'autres attaques. Étant donné que l'échantillon peut communiquer sur le réseau et surveiller les entrées, les informations personnelles et financières peuvent être compromises. Ce comportement est typique de cette catégorie, mais n'est pas une caractéristique propre à cet échantillon.

Signes d’infection

Ce type de cheval de Troie est conçu pour rester invisible, il peut donc ne présenter aucun symptôme évident. Les signes avant-coureurs possibles incluent :

• Un programme ou processus inconnu appelé LXBASE, ou décrit comme « passerelle FFI juste-à-temps ».
• Présence inattendue de fichiers self_exe.dat dans les caches ou les dossiers temporaires du profil utilisateur.
• Activité réseau inexpliquée, ralentissements ou fichiers manquants.

Comment rester protégé

• Maintenez Windows et tous vos logiciels à jour afin de corriger les vulnérabilités exploitées par les attaquants.
• N’ouvrez pas les pièces jointes provenant d’expéditeurs inconnus, même celles qui ressemblent à des images ou des vidéos. Soyez prudent avec les fichiers dont l’extension est inattendue.
• Téléchargez les logiciels uniquement depuis le site web officiel de l'éditeur.
• Utilisez un outil de sécurité réputé et à jour et effectuez une analyse complète du système si vous soupçonnez une infection.
• Effectuez des sauvegardes hors ligne régulières de vos fichiers importants afin de pouvoir restaurer les données supprimées ou endommagées.
• Si vous pensez être infecté, déconnectez-vous d'Internet, éliminez la menace en effectuant une analyse complète et changez vos mots de passe depuis un appareil sain.