Trojan.MSIL.DllInject.HA
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 人气排名： | 21,054 |
| 威胁级别： | 80 % (高的) |
| 受感染的计算机： | 64 |
| 初见： | December 13, 2021 |
| 最后一次露面： | November 10, 2026 |
| 受影响的操作系统： | Windows |
Trojan.MSIL.DllInject.HA 是一个针对 .NET 框架编写的 Windows 木马的检测名称。该名称暗示其采用 DLL 注入技术，即将代码加载到另一个正在运行的程序中。但该木马的检测数据并未详细描述其注入机制。其危险等级为 8 分（满分 10 分）。该木马最早于 2021 年 12 月 13 日被发现，最近一次被发现是在 2026 年 11 月 10 日，目前已被记录到 64 次检测。
目录
威胁会造成什么影响？
根据信息来源，这种木马程序会隐蔽地安装自身，并在后台静默运行，执行恶意操作。它可能使攻击者完全控制受感染的系统。描述中还提到，它可能会秘密删除文件。此类木马程序通常会采取更进一步的行动，例如安装其他恶意软件、收集个人数据或更改系统设置，但信息来源并未证实此威胁会执行这些操作。
分析后的文件具有以下特征：
- 这是一个带有图形（GUI）子系统的 64 位 .NET 可执行文件，而不是 DLL 文件。
- 它未打包，也没有数字签名。
- 它通过 ntdll.dll 使用底层 Windows 系统调用，包括写入文件、释放内存以及查询或枚举注册表项的调用。
- 它会读取基本的系统详细信息，例如计算机名称和默认区域设置。
- 它会调用调试器检测功能，恶意软件通常利用该功能来逃避分析。
- 它使用Windows加密功能。但信息源并未说明它加密的是什么。
在分析的 59 个代码块中，1 个被标记为潜在恶意代码块，28 个被列入白名单，30 个未知。这意味着检测结果仅基于一个大部分内容未分类的文件中少量可疑行为。
关于文件版本信息的说明
该样本包含的版本信息指向一家软件公司，并自称是一款系统检查工具。但这并不能证明该文件安全。版本信息很容易被复制或伪造，恶意软件也常常模仿合法程序。此外，该文件没有数字签名，因此仅凭文件本身无法验证其来源。此类检测结果有时也可能是误报。如果您认识该程序，并且直接从其发布者处获取，请在删除前与发布者确认。如果您不认识该程序，请将其视为危险程序。
它通常是如何进入电脑的
该信息源显示，这种木马程序最常见的传播方式是：
- 利用系统漏洞和安全缺陷。
- 从恶意网站下载软件。
- 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。
文件名或扩展名带有媒体风格的文件可能是伪装的可执行文件，因此看起来像图片或视频的文件不一定是无害的。
用户面临的风险
- 远程攻击者可能完全控制您的电脑。
- 文件可能在您不知情的情况下被删除。
- 典型的木马活动，例如数据窃取或下载更多恶意软件，可能会随之发生。
- 由于它运行安静，因此可以长时间留在系统中而不会出现明显的症状。
感染迹象
该信息源指出，木马程序运行悄无声息，因此可能不会发出明显的警告。这些迹象通常是木马感染的典型特征：
- 后台运行着不熟悉的程序或进程。
- 文件缺失或设置自行更改。
如何保护自己
- 保持Windows系统和所有已安装软件更新，以修复已知漏洞。
- 请仅从官方发行商网站下载程序，避免从未知下载网站下载。
- 不要打开来自未知发件人的电子邮件附件，尤其是 .exe 或 .pif 文件，或行为异常的媒体文件。
- 请谨慎使用未签名的可执行文件，并在运行文件前检查其来源。
- 使用最新、信誉良好的安全工具进行全面扫描，并隔离其标记的所有内容。
- 定期在断开连接的硬盘或单独的存储设备上进行备份，以便恢复已删除的文件。
- 如果怀疑系统感染病毒，请断开网络连接，扫描系统，然后从干净的设备上更改重要密码。
分析报告
一般信息
| 姓： | Trojan.MSIL.DllInject.HA |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
42acc78ac1fae632dc2461365e0d344e
SHA1:
b18490894022179ebf092e0fedc93f8050ce5d30
SHA256:
5A0828AE3869045A6B639D4752F1A328EC18970C255AF998EF084DAFBDAD677D
文件大小:
308.22 KB,308224字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File is .NET application
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件图标
文件图标
本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。
Windows PE 版本信息
Windows PE 版本信息
本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。| 姓名 | 价值 |
|---|---|
| Assembly Version | 26.129.9525.16200 |
| Company Name | BÜHLER Informatik GmbH, Durmersheim |
| File Description | BÜHLER Informatik GmbH: System-Check |
| File Version | 26.129.9525.16200 |
| Internal Name | BI-Check.exe |
| Legal Copyright | Copyright © 2026 by BÜHLER Informatik GmbH |
| Original Filename | BI-Check.exe |
| Product Name | BÜHLER Informatik GmbH |
| Product Version | 26.129.9525.16200 |
文件特征
- .NET
- x64
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 59 |
|---|---|
| 潜在恶意块： | 1 |
| 白名单区块： | 28 |
| 未知区块： | 30 |
可视化地图
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截
? - 未知区块
x - 潜在恶意拦截
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| Syscall Use |
Show 61 more
|
| User Data Access |
|
| Anti Debug |
|
| Encryption Used |
|