Agente troyano MSIL NOB

Trojan.MSIL.Agent.NOB es un troyano de Windows con un nivel de peligrosidad de 8 sobre 10. La parte "MSIL" de su nombre indica que se trata de un programa desarrollado con el framework .NET. Como la mayoría de los troyanos, suele hacerse pasar por algo inofensivo mientras realiza acciones dañinas ocultas. Según nuestros datos, se detectó por primera vez el 6 de junio de 2026 y, más recientemente, el 26 de agosto de 2026.

Lo que hace la amenaza

Según la descripción, este troyano se instala sigilosamente y se ejecuta en segundo plano sin causar daños. Puede otorgar a los atacantes control total sobre el sistema infectado, además de eliminar archivos e instalar otro software de forma encubierta. La descripción está incompleta, por lo que no podemos enumerar todas sus funciones.

La muestra analizada presenta varias características destacables:

• Se presenta como Microsoft Teams , con "Microsoft" en los campos de empresa y marca registrada. Su nombre de archivo original también está configurado para parecerse a un componente de Teams. Esto es un disfraz. Sin embargo, su nombre interno contiene las palabras "xeno rat client", lo que sugiere una herramienta de acceso remoto. Esta es una observación de los metadatos de la muestra, no una prueba de lo que hace cada variante.
• Es un ejecutable GUI de 32 bits para .NET. No está empaquetado y no tiene firma digital.
• Modificó un archivo dentro de una carpeta en el área de datos de la aplicación itinerante del usuario, con un nombre que hace referencia a "xenomanager".
• Utiliza funciones que leen información del usuario y del sistema, como el nombre del equipo y la configuración regional. También emplea comprobaciones anti-depuración ( IsDebuggerPresent y NtQuerySystemInformation ), que se utilizan habitualmente para evitar el análisis por parte de investigadores de seguridad.

En el análisis del entorno aislado, se registraron 114 bloques. 48 fueron marcados como potencialmente maliciosos y 66 fueron incluidos en la lista blanca.

Cómo suele llegar a los ordenadores

Según la información disponible, este troyano se propaga con mayor frecuencia aprovechando vulnerabilidades del sistema y fallos de seguridad, mediante descargas de software de sitios web maliciosos o a través de archivos adjuntos de correo electrónico de fuentes no confiables. Los archivos adjuntos suelen ser archivos .exe, .pif, .avi e incluso .jpg. Los archivos que parecen ser imágenes o vídeos pueden ser, en realidad, programas ejecutables.

La falsa imagen de marca de Microsoft Teams sugiere que también podría intentar hacerse pasar por una aplicación de colaboración legítima. Los troyanos de este tipo suelen distribuirse de esta manera, pero la fuente no menciona ninguna campaña de distribución específica.

Riesgos para el usuario

• Pérdida de control: los atacantes pueden tomar el control total del ordenador.
• Pérdida de datos: los archivos pueden eliminarse sin su conocimiento.
• Software malicioso adicional: es posible que se instalen otros programas no deseados.
• Exposición a la privacidad: las herramientas de acceso remoto de este tipo suelen permitir el espionaje y la recopilación de información personal, aunque el flujo de datos no confirma exactamente qué información recopila esta muestra.

Signos de infección

Dado que el troyano se ejecuta silenciosamente, es posible que no presente síntomas evidentes. Algunos aspectos a tener en cuenta son:

• Un programa como "Microsoft Teams" o similar que no hayas instalado, especialmente uno que se esté ejecutando desde una ubicación inusual.
• Una carpeta desconocida en los datos de aplicaciones itinerantes, como por ejemplo una llamada "xenomanager".
• Archivos faltantes o cambios inexplicables en su sistema.
• Ralentizaciones inesperadas, actividad de red extraña o programas nuevos que no reconoce.

Cómo mantenerse protegido

1. Mantén Windows y todo el software instalado actualizados para que se corrijan las vulnerabilidades conocidas.
2. Descarga software únicamente de fuentes oficiales. El Microsoft Teams original proviene directamente de Microsoft.
3. No abra archivos adjuntos de remitentes desconocidos, aunque parezcan imágenes o vídeos. Compruebe las extensiones de archivo y active la visualización de extensiones en Windows.
4. Utilice una solución de seguridad fiable y actualizada, y realice análisis completos del sistema con regularidad.
5. Realice copias de seguridad periódicas, ya sea sin conexión o en la nube, de sus archivos importantes.
6. Si sospecha que hay una infección, desconéctese de Internet, ejecute un análisis completo con su software de seguridad, elimine todo lo que detecte y, a continuación, cambie sus contraseñas desde un dispositivo limpio.

Esta muestra no tenía firma digital y solo se detectó una vez en nuestros datos, pero su camuflaje y su potencial para el control remoto justifican que se la tome en serio.

Reporte de análisis

Información general

Apellido:	Trojan.MSIL.Agent.NOB
Estado de la firma:	No Signature

Muestras conocidas

i

Muestras conocidas

Esta sección enumera otras muestras de archivos que se cree que están asociadas con esta familia.

MD5: 912f2c5acae8599fc7e46a34a9640fbd SHA1: c67df4d42a114548268a375b7dbb1cc3714d1caf SHA256: 45CF29EA4DFD41064E41CAAA03B393C2F13C19DC578EFA3DDB2DF33505C59680 Tamaño del archivo: 46.59 KB, 46592 bytes

Atributos de ejecutables portátiles de Windows

i

Atributos de ejecutables portátiles de Windows

Esta sección enumera los atributos de archivo encontrados en muestras de la misma familia. Estos atributos se extraen de la especificación Windows PE (Portable Executable) de los archivos y de diversas marcas del sistema. Los atributos Portable Executable brindan a los investigadores de malware información sobre la funcionalidad del archivo, los detalles del ejecutable, la plataforma y el entorno de ejecución.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Información de la versión de Windows PE

i

Información de la versión de Windows PE

Esta sección muestra los valores y atributos que se han configurado en la estructura de datos de información de versión de archivos de Windows para las muestras de esta familia. Para engañar a los usuarios, los ciberdelincuentes suelen añadir información de versión falsa que imita a software legítimo.

Nombre	Valor
Assembly Version	1.8.2.0
Company Name	Microsoft
File Description	Microsoft Teams
File Version	1.9.5.0
Internal Name	xeno rat client.exe
Legal Copyright	Copyright © 2023
Legal Trademarks	Microsoft
Original Filename	MsoftTeams.exe
Product Name	Microsoft Teams
Product Version	1.8.2.0

Características de archivo

• .NET
• ntdll
• Run
• x86

Información del bloque

i

Información del bloque

Durante el análisis, EnigmaSoft divide las muestras de archivos en bloques lógicos para su clasificación y comparación con otras muestras. Estos bloques se pueden usar para generar reglas de detección de malware y agrupar las muestras de archivos en familias según su código fuente, funcionalidad y otros atributos y características distintivas. Esta sección presenta un resumen de los datos de estos bloques, así como su clasificación por EnigmaSoft. También se muestra una representación visual de los datos de los bloques, cuando está disponible.

Bloques totales:	114
Bloqueos potencialmente maliciosos:	48
Bloqueos permitidos:	66
Bloques desconocidos:	0

Mapa visual

0 - Bloque seguro probable
? - Bloque desconocido
x - Bloqueo potencialmente malicioso

Archivos modificados

i

Archivos modificados

Esta sección enumera los archivos que fueron creados, modificados, movidos o eliminados por muestras de esta familia. La actividad del sistema de archivos puede proporcionar información valiosa sobre cómo funciona el malware en el sistema operativo.

Archivo	Atributos
c:\users\user\appdata\roaming\xenomanager\c67df4d42a114548268a375b7dbb1cc3714d1caf_0000046592	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

Uso de la API de Windows

i

Uso de la API de Windows

Esta sección enumera las llamadas a la API de Windows que utilizan las muestras de esta familia. El análisis del uso de la API de Windows es una herramienta valiosa que puede ayudar a identificar actividades maliciosas, como el registro de pulsaciones de teclas, la escalada de privilegios de seguridad, el cifrado de datos, la exfiltración de datos, la interferencia con el software antivirus y la manipulación de solicitudes de red.

Categoría	API
User Data Access	GetComputerNameEx GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	IsDebuggerPresent NtQuerySystemInformation