Trojan.MSIL.Agent.NOB

Trojan.MSIL.Agent.NOB est un cheval de Troie Windows présentant un niveau de dangerosité de 8 sur 10. La partie « MSIL » de son nom indique qu'il s'agit d'un programme basé sur le framework .NET. Comme la plupart des chevaux de Troie, il se fait passer pour inoffensif tout en menant des actions malveillantes dissimulées. Nos données montrent qu'il a été détecté pour la première fois le 6 juin 2026 et plus récemment le 26 août 2026.

Que fait la menace ?

D'après la description du flux RSS, ce cheval de Troie s'installe furtivement et s'exécute silencieusement en arrière-plan. Il peut donner aux attaquants un contrôle total sur un système infecté et supprimer discrètement des fichiers et installer d'autres logiciels. La description étant incomplète, nous ne pouvons pas lister toutes ses fonctionnalités.

L'échantillon analysé présente plusieurs caractéristiques notables :

• Il se présente comme Microsoft Teams , avec « Microsoft » dans les champs « Société » et « Marque déposée ». Son nom de fichier d'origine est également conçu pour ressembler à celui d'un composant Teams. Il s'agit d'un leurre. Son nom interne, en revanche, contient les mots « xeno rat client », ce qui suggère un outil d'accès à distance. C'est une observation tirée des métadonnées de l'échantillon, et non une preuve du fonctionnement de chaque variante.
• Il s'agit d'un exécutable GUI .NET 32 bits. Il n'est pas compressé et ne possède aucune signature numérique.
• Il a modifié un fichier situé dans un dossier de la zone de données d'application itinérante de l'utilisateur, dont le nom fait référence à « xenomanager ».
• Il utilise des fonctions qui lisent des informations utilisateur et système, telles que le nom de l'ordinateur et les paramètres régionaux. Il utilise également des mécanismes anti-débogage ( IsDebuggerPresent et NtQuerySystemInformation ), couramment employés pour empêcher l'analyse par les chercheurs en sécurité.

Lors de l'analyse en environnement isolé, 114 blocs ont été enregistrés. 48 ont été signalés comme potentiellement malveillants et 66 ont été autorisés.

Comment cela se retrouve généralement sur les ordinateurs

Ce cheval de Troie se propage généralement en exploitant les vulnérabilités et failles de sécurité des systèmes, via des téléchargements de logiciels depuis des sites web malveillants ou des pièces jointes provenant de sources non fiables. Ces pièces jointes sont généralement des fichiers .exe, .pif, .avi, voire .jpg. Des fichiers qui semblent être des images ou des vidéos peuvent en réalité être des programmes exécutables.

L'utilisation d'une fausse marque Microsoft Teams laisse penser que le logiciel malveillant pourrait également tenter de se faire passer pour une application de collaboration légitime. Les chevaux de Troie de ce type sont généralement distribués de cette manière, mais le flux ne mentionne aucune campagne de diffusion spécifique.

Risques pour l’utilisateur

• Perte de contrôle : les attaquants peuvent prendre le contrôle total de l'ordinateur.
• Perte de données : des fichiers peuvent être supprimés à votre insu.
• Logiciels malveillants supplémentaires : d’autres programmes indésirables peuvent être installés.
• Atteinte à la vie privée : les outils d’accès à distance de ce type permettent généralement d’espionner et de collecter des informations personnelles, bien que le flux ne confirme pas exactement ce que cet échantillon collecte.

Signes d’infection

Comme le cheval de Troie agit silencieusement, il est possible qu'aucun symptôme évident ne soit présent. Voici quelques signes à surveiller :

• Un programme « Microsoft Teams » ou similaire que vous n'avez pas installé, surtout s'il s'exécute depuis un emplacement inhabituel.
• Un dossier inconnu dans vos données d'application itinérantes, par exemple un dossier nommé « xenomanager ».
• Fichiers manquants ou modifications inexpliquées de votre système.
• Ralentissements inattendus, activité réseau anormale ou nouveaux programmes que vous ne reconnaissez pas.

Comment rester protégé

1. Maintenez Windows et tous les logiciels installés à jour afin de corriger les vulnérabilités connues.
2. Téléchargez les logiciels uniquement depuis des sources officielles. Microsoft Teams authentique provient directement de Microsoft.
3. N’ouvrez pas les pièces jointes provenant d’expéditeurs inconnus, même si elles ressemblent à des images ou des vidéos. Vérifiez les extensions de fichiers et activez l’affichage des extensions dans Windows.
4. Utilisez une solution de sécurité réputée et à jour, et effectuez régulièrement des analyses complètes du système.
5. Effectuez des sauvegardes régulières, hors ligne ou dans le cloud, de vos fichiers importants.
6. Si vous soupçonnez une infection, déconnectez-vous d'Internet, effectuez une analyse complète avec votre logiciel de sécurité, supprimez tout ce qu'il détecte, puis changez vos mots de passe depuis un appareil sain.

Cet échantillon ne comportait aucune signature numérique et n'a été détecté qu'une seule fois dans nos données, mais son camouflage et son potentiel de contrôle à distance justifient qu'on le prenne au sérieux.

Bulletin d'analyse

Informations générales

Nom de famille :	Trojan.MSIL.Agent.NOB
Statut de la signature :	No Signature

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: 912f2c5acae8599fc7e46a34a9640fbd SHA1: c67df4d42a114548268a375b7dbb1cc3714d1caf SHA256: 45CF29EA4DFD41064E41CAAA03B393C2F13C19DC578EFA3DDB2DF33505C59680 Taille du fichier: 46.59 KB 46592 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Informations sur la version de Windows PE

i

Informations sur la version de Windows PE

Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.

Nom	Évaluer
Assembly Version	1.8.2.0
Company Name	Microsoft
File Description	Microsoft Teams
File Version	1.9.5.0
Internal Name	xeno rat client.exe
Legal Copyright	Copyright © 2023
Legal Trademarks	Microsoft
Original Filename	MsoftTeams.exe
Product Name	Microsoft Teams
Product Version	1.8.2.0

Caractéristiques du fichier

• .NET
• ntdll
• Run
• x86

Informations sur le bloc

i

Informations sur le bloc

Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.

Nombre total de blocs :	114
Blocages potentiellement malveillants :	48
Blocs autorisés :	66
Blocs inconnus :	0

Carte visuelle

0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Fichiers modifiés

i

Fichiers modifiés

Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.

Déposer	Attributs
c:\users\user\appdata\roaming\xenomanager\c67df4d42a114548268a375b7dbb1cc3714d1caf_0000046592	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
User Data Access	GetComputerNameEx GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	IsDebuggerPresent NtQuerySystemInformation