Agente Troyano MSIL.MOA

Trojan.MSIL.Agent.MOA es un troyano de Windows con un nivel de peligro de 8 sobre 10. La parte "MSIL" del nombre indica que se trata de un programa desarrollado en la plataforma .NET. Troyanos como este se hacen pasar por software inofensivo mientras realizan acciones dañinas ocultas. Los datos del feed solo registran una detección, por lo que la información disponible es limitada. Cuando los datos no proporcionan información, este artículo describe el comportamiento típico de los troyanos y lo indica.

Lo que hace la amenaza

Según la información disponible, el troyano se ejecuta silenciosamente en segundo plano y realiza funciones maliciosas. Puede otorgar a los atacantes el control total de un sistema infectado y, entre otras acciones, puede eliminar archivos de forma encubierta.

La muestra analizada presenta las siguientes características:

• Se trata de una aplicación GUI de 64 bits para .NET. No está empaquetada y no tiene firma digital.
• Su información de versión lo presenta como "LXBASE" con la descripción "Puerta de enlace FFI Just-In-Time". Esto parece una herramienta legítima para desarrolladores, un disfraz común para el malware.
• Contiene referencias a la clase de cifrado Rijndael y a las funciones VirtualQueryEx y WriteProcessMemory . El código que escribe en la memoria de otros procesos es típico del malware que inyecta código o se oculta dentro de otros programas.
• Utiliza el ajuste de privilegios ( AdjustTokenPrivileges ) y la interceptación de teclado o ratón ( SetWindowsHookEx ). Estas acciones se consideran sospechosas. Este tipo de interceptación se suele utilizar para monitorizar la entrada del usuario, aunque el informe no confirma este propósito en este caso.
• Utiliza funciones de red como sockets y búsqueda de direcciones, por lo que puede comunicarse a través de la red. El feed no menciona ningún servidor.
• Ejecuta un comando wmic para leer la línea de comandos de un proceso en ejecución. Esta es una forma de recopilar información sobre el sistema.
• Escribe archivos llamados self_exe.dat en dos ubicaciones del perfil de usuario: una carpeta de caché de Windows y una carpeta de caché temporal llamada "brightinfo". Esto sugiere que almacena copias de sí mismo o datos relacionados allí.

Cómo suele llegar a los ordenadores

Según la información disponible, este troyano se instala de forma sigilosa. Las rutas habituales son:

• Explotar las vulnerabilidades del sistema y las fallas de seguridad.
• Descargas de software desde sitios web maliciosos.
• Archivos adjuntos de correo electrónico procedentes de fuentes no fiables, normalmente archivos .exe, .pif, .avi o incluso .jpg.

Los atacantes suelen disfrazar los archivos ejecutables como imágenes o vídeos para que los usuarios los abran sin sospechar nada.

Riesgos para el usuario

Con control remoto total, un atacante podría realizar numerosas acciones. El análisis confirma que es posible que se eliminen archivos. La actividad típica de un troyano también incluye el robo de contraseñas y datos personales, la instalación de otro malware y el uso del equipo para realizar ataques adicionales. Dado que la muestra puede comunicarse a través de la red y monitorizar la entrada de datos, la información personal y financiera podría estar en riesgo. Este comportamiento es típico de esta categoría, pero no se ha confirmado en esta muestra en particular.

Signos de infección

Este tipo de troyano está diseñado para permanecer oculto, por lo que puede que no presente síntomas evidentes. Algunas posibles señales de alerta son:

• Un programa o proceso desconocido llamado LXBASE, o uno descrito como "Puerta de enlace FFI Just-In-Time".
• Archivos self_exe.dat inesperados en las cachés o carpetas temporales del perfil de usuario.
• Actividad de red inexplicable, ralentizaciones o archivos faltantes.

Cómo mantenerse protegido

• Mantén Windows y todo tu software actualizados para corregir las vulnerabilidades que explotan los atacantes.
• No abras archivos adjuntos de remitentes desconocidos, incluso si parecen imágenes o vídeos. Ten cuidado con los archivos que tengan extensiones inesperadas.
• Descargue el software únicamente desde el sitio web oficial del editor.
• Si sospecha que hay una infección, utilice una herramienta de seguridad fiable y actualizada, y realice un análisis completo del sistema.
• Realice copias de seguridad periódicas sin conexión de sus archivos importantes para que los datos eliminados o dañados puedan restaurarse.
• Si cree que su equipo está infectado, desconéctese de internet, elimine la amenaza con un análisis completo y cambie sus contraseñas desde un dispositivo limpio.