Trojan.MSIL.Spammer.MA
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Niveau de menace: | 80 % (Haute) |
| Vu la première fois: | November 9, 2023 |
| Vu pour la dernière fois : | October 22, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.MSIL.Spammer.MA est un cheval de Troie Windows développé avec le framework .NET (MSIL) et classé comme menace à haut risque (niveau de dangerosité : 8/10). Conçu pour s'infiltrer discrètement dans les systèmes, il fonctionne en arrière-plan et exécute des actions malveillantes à l'insu de l'utilisateur. Sa présence sur un système constitue un incident de sécurité majeur.
Table des matières
Que fait Trojan.MSIL.Spammer.MA ?
Une fois actif sur une machine, le cheval de Troie Trojan.MSIL.Spammer.MA s'exécute silencieusement en arrière-plan, menant des opérations malveillantes à son insu. Les chevaux de Troie de cette famille sont généralement conçus pour offrir aux attaquants distants un contrôle étendu sur un ordinateur infecté. Cela peut inclure la possibilité de supprimer discrètement des fichiers, d'installer des programmes malveillants supplémentaires, de modifier les paramètres système et de manipuler les processus en cours d'exécution. L'échantillon analysé utilise des techniques telles que l'écriture dans la mémoire d'autres processus et des routines de chiffrement, couramment employées par les logiciels malveillants pour dissimuler leur activité, échapper à la détection et compliquer l'analyse. Il vérifie également la présence d'outils de débogage, une tactique souvent utilisée pour éviter d'être étudié par les chercheurs en sécurité ou pour retarder la détection. Comme son nom l'indique, cette famille de chevaux de Troie est également associée à des activités de spam, ce qui signifie qu'une machine infectée pourrait potentiellement être utilisée pour diffuser des messages indésirables ou malveillants à l'insu de l'utilisateur.
Comment cela se retrouve généralement sur les ordinateurs
Le cheval de Troie Trojan.MSIL.Spammer.MA se propage généralement par des méthodes trompeuses ou d'exploitation de failles de sécurité, plutôt qu'en incitant les utilisateurs à l'installer délibérément comme un logiciel légitime. Les vecteurs d'infection courants pour ce type de menace incluent l'exploitation de vulnérabilités et de failles de sécurité non corrigées du système, le téléchargement de logiciels depuis des sites web malveillants ou compromis, et les pièces jointes d'e-mails provenant de sources non fiables ou usurpées. Ces pièces jointes peuvent être dissimulées sous des extensions de fichiers trompeuses, apparaissant comme des fichiers exécutables, des fichiers vidéo ou même des fichiers image, afin d'inciter l'utilisateur à les ouvrir. Comme le fichier malveillant n'est pas signé numériquement et ne comporte aucune information d'éditeur vérifiée, il peut sembler anodin au premier abord, ce qui facilite son infiltration lors d'une vérification superficielle.
Risques pour l’utilisateur
La présence de ce cheval de Troie sur un système peut avoir de graves conséquences. Les attaquants peuvent obtenir un contrôle étendu de l'ordinateur infecté, ce qui leur permet potentiellement de voler des données sensibles, d'installer d'autres logiciels malveillants, de perturber le fonctionnement normal du système ou d'utiliser la machine au sein d'un réseau plus vaste à des fins malveillantes, comme l'envoi de spams. Les utilisateurs peuvent également constater une baisse des performances du système, des plantages inattendus ou des modifications non autorisées de fichiers et de paramètres.
Signes d’infection
Les chevaux de Troie de ce type étant conçus pour fonctionner furtivement, les signes avant-coureurs ne sont pas toujours évidents. Toutefois, les utilisateurs peuvent constater des ralentissements inhabituels du système, une activité réseau anormale, des processus inconnus s'exécutant en arrière-plan, des outils de sécurité désactivés ou dysfonctionnels, ou encore des modifications inexpliquées de fichiers et de paramètres.
Comment rester protégé
Pour réduire les risques d'infection, il est essentiel de maintenir à jour votre système d'exploitation et tous vos logiciels afin de corriger les failles de sécurité connues. Évitez de télécharger des programmes depuis des sites web non officiels ou suspects et n'ouvrez jamais les pièces jointes provenant d'expéditeurs inconnus ou non vérifiés, en particulier les fichiers exécutables dissimulés sous d'autres types de fichiers. La sauvegarde régulière de vos données importantes et l'utilisation d'un logiciel de sécurité fiable et à jour contribuent à détecter et à supprimer les menaces telles que Trojan.MSIL.Spammer.MA avant qu'elles ne causent des dommages irréversibles.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.MSIL.Spammer.MA |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
642cf9701752df1cceaff976f0607ca7
SHA1:
e69be9af27faf0ee78f049b4a3ce1633eac8adb2
SHA256:
471C0DF5CEB961E16E53A5874064EA6DCF7E18E5E7F4AEDBDEB88602E9996AD1
Taille du fichier:
2.85 MB 2848768 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icônes de fichiers
Icônes de fichiers
Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.
Informations sur la version de Windows PE
Informations sur la version de Windows PE
Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.| Nom | Évaluer |
|---|---|
| Assembly Version | 1.1.0.2 |
| Comments | AutoPK |
| Company Name | https://Autokid.com |
| File Description | AutoPK |
| File Version | 1.0.0.0 |
| Internal Name | KeoXePK.exe |
| Legal Copyright | https://Autokid.com |
| Original Filename | KeoXePK.exe |
| Product Name | https://Autokid.com |
| Product Version | 1.0.0.0 |
Caractéristiques du fichier
- .NET
- ntdll
- RijndaelManaged
- WriteProcessMemory
- x86
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 3,045 |
|---|---|
| Blocages potentiellement malveillants : | 1,439 |
| Blocs autorisés : | 213 |
| Blocs inconnus : | 1,393 |
Carte visuelle
... Données tronquées? - Bloc inconnu
x - Blocage potentiellement malveillant
Modifications du registre
Modifications du registre
Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.| Clé::Valeur | Données | Nom de l'API |
|---|---|---|
| HKLM\software\wow6432node\microsoft\.netframework\v4.0.30319::schusestrongcrypto | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\.netframework\v4.0.30319::schusestrongcrypto | RegNtPreCreateKey | |
| HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\client::disabledbydefault | RegNtPreCreateKey | |
| HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\client::enabled | RegNtPreCreateKey | |
| HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\server::disabledbydefault | RegNtPreCreateKey | |
| HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\server::enabled | RegNtPreCreateKey |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| User Data Access |
|
| Anti Debug |
|
| Encryption Used |
|