Trojan.MSIL.DllInject.HA

Trojan.MSIL.DllInject.HA est le nom de détection d'un cheval de Troie Windows conçu pour le framework .NET. Ce nom suggère une injection de DLL, une technique consistant à charger du code dans un autre programme en cours d'exécution. Les données du flux de données ne décrivent pas le mécanisme d'injection en détail. Le niveau de dangerosité de la menace est évalué à 8 sur 10. Ce cheval de Troie a été détecté pour la première fois le 13 décembre 2021, pour la dernière fois le 10 novembre 2026, et a fait l'objet de 64 détections enregistrées.

Que fait la menace ?

D'après les informations recueillies, ce cheval de Troie s'installe furtivement et s'exécute silencieusement en arrière-plan tout en menant des actions malveillantes. Il peut donner aux attaquants un contrôle total sur un système infecté. La description indique également qu'il peut supprimer des fichiers à l'insu de l'utilisateur. Les chevaux de Troie de ce type vont généralement plus loin, en installant par exemple d'autres logiciels malveillants, en collectant des données personnelles ou en modifiant les paramètres système, mais les informations recueillies ne confirment pas ces actions pour cette menace.

Le fichier analysé présente les caractéristiques suivantes :

• Il s'agit d'un exécutable .NET 64 bits avec un sous-système graphique (GUI), et non d'une DLL.
• Il n'est pas emballé et ne comporte aucune signature numérique.
• Il utilise des appels système Windows de bas niveau via ntdll.dll, notamment des appels qui écrivent des fichiers, libèrent de la mémoire et interrogent ou énumèrent des clés de registre.
• Il lit les informations système de base, telles que le nom de l'ordinateur et les paramètres régionaux par défaut.
• Elle appelle une fonction de détection de débogage, que les logiciels malveillants utilisent couramment pour éviter l'analyse.
• Il utilise une fonction de chiffrement Windows. Le flux ne précise pas ce qu'il chiffre.

Sur 59 blocs de code analysés, 1 a été signalé comme potentiellement malveillant, 28 ont été autorisés et 30 sont restés inconnus. Cela signifie que la détection repose sur un petit nombre de comportements suspects au sein d'un fichier majoritairement non classifié.

Note concernant les informations de version du fichier

L'échantillon contient des informations de version mentionnant une société de logiciels et se présentant comme un outil de vérification système. Cela ne prouve en rien la sécurité du fichier. Les informations de version sont faciles à copier ou à falsifier, et les logiciels malveillants imitent souvent des programmes légitimes. De plus, le fichier ne possède aucune signature numérique ; son origine ne peut donc être vérifiée à partir du seul fichier. Ce type de détection peut parfois donner lieu à de faux positifs. Si vous reconnaissez le programme et l'avez obtenu directement auprès de son éditeur, vérifiez auprès de ce dernier avant de le supprimer. Si vous ne le reconnaissez pas, considérez-le comme potentiellement dangereux.

Comment cela se retrouve généralement sur les ordinateurs

Le flux indique que ce cheval de Troie se propage le plus souvent par :

• Exploiter les vulnérabilités et les failles de sécurité du système.
• Téléchargements de logiciels depuis des sites web malveillants.
• Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.

Les fichiers portant des noms ou des extensions de type multimédia peuvent être des fichiers exécutables déguisés ; un fichier qui ressemble à une image ou à une vidéo n'est donc pas nécessairement inoffensif.

Risques pour l’utilisateur

• Des attaquants distants peuvent prendre le contrôle total de votre PC.
• Des fichiers peuvent être supprimés à votre insu.
• Des activités typiques d'un cheval de Troie, telles que le vol de données ou le téléchargement d'autres logiciels malveillants, peuvent s'ensuivre.
• Grâce à son fonctionnement silencieux, il peut rester longtemps sur un système sans présenter de symptômes apparents.

Signes d’infection

Le rapport indique que le cheval de Troie agit silencieusement, il est donc possible qu'aucun signe avant-coureur ne se manifeste. Voici les signes typiques des infections par cheval de Troie en général :

• Des programmes ou processus inconnus s'exécutent en arrière-plan.
• Fichiers manquants ou paramètres modifiés automatiquement.

Comment rester protégé

1. Maintenez Windows et tous les logiciels installés à jour afin de corriger les vulnérabilités connues.
2. Téléchargez les programmes uniquement depuis le site web officiel de l'éditeur et évitez les sites de téléchargement inconnus.
3. N’ouvrez pas les pièces jointes des courriels provenant d’expéditeurs inconnus, en particulier les fichiers .exe ou .pif, ou les fichiers multimédias au comportement inhabituel.
4. Soyez prudent avec les fichiers exécutables non signés et vérifiez leur provenance avant de les exécuter.
5. Effectuez une analyse complète avec un outil de sécurité à jour et réputé, et mettez en quarantaine tout élément signalé.
6. Effectuez des sauvegardes régulières sur un disque déconnecté ou un support de stockage séparé afin de pouvoir récupérer les fichiers supprimés.
7. Si vous soupçonnez une infection, déconnectez-vous d'Internet, analysez le système et changez ensuite vos mots de passe importants depuis un appareil sain.

Bulletin d'analyse

Informations générales

Nom de famille :	Trojan.MSIL.DllInject.HA
Statut de la signature :	No Signature

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: 42acc78ac1fae632dc2461365e0d344e SHA1: b18490894022179ebf092e0fedc93f8050ce5d30 SHA256: 5A0828AE3869045A6B639D4752F1A328EC18970C255AF998EF084DAFBDAD677D Taille du fichier: 308.22 KB 308224 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is .NET application
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icônes de fichiers

i

Icônes de fichiers

Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.

Informations sur la version de Windows PE

i

Informations sur la version de Windows PE

Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.

Nom	Évaluer
Assembly Version	26.129.9525.16200
Company Name	BÜHLER Informatik GmbH, Durmersheim
File Description	BÜHLER Informatik GmbH: System-Check
File Version	26.129.9525.16200
Internal Name	BI-Check.exe
Legal Copyright	Copyright © 2026 by BÜHLER Informatik GmbH
Original Filename	BI-Check.exe
Product Name	BÜHLER Informatik GmbH
Product Version	26.129.9525.16200

Caractéristiques du fichier

• .NET
• x64

Informations sur le bloc

i

Informations sur le bloc

Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.

Nombre total de blocs :	59
Blocages potentiellement malveillants :	1
Blocs autorisés :	28
Blocs inconnus :	30

Carte visuelle

0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
Syscall Use	ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateMutant ntdll.dll!NtCreatePrivateNamespace ntdll.dll!NtCreateSection Show 61 more ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcess ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenSection ntdll.dll!NtOpenThreadToken ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryFullAttributesFile ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationJobObject ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadFile ntdll.dll!NtReadRequestData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetComputerNameEx GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Encryption Used	BCryptOpenAlgorithmProvider