Trojan.MSIL.Spammer.MA

Trojan.MSIL.Spammer.MA是一款基于 Windows 的木马程序，使用 .NET 框架 (MSIL) 编写，被列为高风险威胁，危险等级为 8 分（满分 10 分）。它旨在悄无声息地渗透系统，在后台运行，并在计算机所有者不知情或未经其同意的情况下执行恶意指令。其存在于系统中应被视为严重的安全事件。

Trojan.MSIL.Spammer.MA 的作用

Trojan.MSIL.Spammer.MA 一旦在计算机上激活，便会在后台静默运行，执行恶意操作。此类木马通常旨在赋予远程攻击者对受感染计算机的高度控制权。这包括秘密删除文件、安装其他恶意程序、修改系统设置以及操纵计算机上运行的进程。本次检测的样本使用了诸如写入其他进程内存和加密例程等技术，这些技术通常被恶意软件用来隐藏其活动、逃避检测并增加分析难度。它还会检查是否存在调试工具，这种策略通常用于避免被安全研究人员研究或延迟检测。顾名思义，此类木马也与垃圾邮件活动相关，这意味着受感染的计算机可能被用于在用户不知情的情况下传播垃圾邮件或恶意邮件。

它通常是如何进入电脑的

Trojan.MSIL.Spammer.MA 通常通过欺骗或利用漏洞的方式传播，而不是诱骗用户将其伪装成合法软件进行安装。此类威胁的常见感染途径包括利用未修补的系统漏洞和安全缺陷、从恶意或被入侵的网站下载软件，以及接收来自不可信或伪造来源的电子邮件附件。这些附件可能使用误导性的文件扩展名进行伪装，看起来像是可执行文件、视频文件，甚至是图像文件，以此诱骗用户打开它们。由于这种恶意文件没有数字签名，也没有经过验证的发布者信息，因此乍一看可能毫不起眼，很容易逃过粗心大意的检查。

用户面临的风险

系统中存在此木马程序可能导致严重后果。攻击者可能获得对受感染计算机的广泛控制权，从而窃取敏感数据、安装其他恶意软件、扰乱系统正常运行，或将该计算机作为大型网络的一部分用于恶意目的，例如发送垃圾邮件。用户也可能遇到系统性能下降、意外崩溃或文件和设置被未经授权更改等问题。

感染迹象

由于这类木马程序旨在隐蔽运行，因此并非总能发现明显的警告信号。但是，用户可能会注意到系统运行速度异常变慢、出现异常的网络活动、后台运行着陌生的进程、安全工具被禁用或出现故障，或者文件和设置发生无法解释的更改。

如何做好防护

为降低感染风险，用户应确保操作系统和所有已安装软件保持最新状态，以修复已知的安全漏洞。避免从非官方或可疑网站下载程序，切勿打开来自未知或未经核实发件人的电子邮件附件，尤其是伪装成其他文件类型的可执行文件。定期备份重要数据并使用信誉良好且最新的安全软件，有助于在 Trojan.MSIL.Spammer.MA 等威胁造成永久性损害之前将其检测并清除。

分析报告

一般信息

姓：	Trojan.MSIL.Spammer.MA
签名状态：	No Signature

已知样本

i

已知样本

本节列出了其他据信与该家族有关的文件样本。

MD5: 642cf9701752df1cceaff976f0607ca7 SHA1: e69be9af27faf0ee78f049b4a3ce1633eac8adb2 SHA256: 471C0DF5CEB961E16E53A5874064EA6DCF7E18E5E7F4AEDBDEB88602E9996AD1 文件大小: 2.85 MB,2848768字节

Windows 可移植可执行文件属性

i

Windows 可移植可执行文件属性

本节列出了在恶意软件家族样本中发现的文件属性。这些属性提取自文件的 Windows PE（可移植可执行文件）规范和各种系统标志。可移植可执行文件属性使恶意软件研究人员能够深入了解文件的功能、可执行文件的详细信息、平台和运行时环境。

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

i

文件图标

本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。

Windows PE 版本信息

i

Windows PE 版本信息

本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。

姓名	价值
Assembly Version	1.1.0.2
Comments	AutoPK
Company Name	https://Autokid.com
File Description	AutoPK
File Version	1.0.0.0
Internal Name	KeoXePK.exe
Legal Copyright	https://Autokid.com
Original Filename	KeoXePK.exe
Product Name	https://Autokid.com
Product Version	1.0.0.0

文件特征

• .NET
• ntdll
• RijndaelManaged
• WriteProcessMemory
• x86

区块信息

i

区块信息

在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。

总区块数：	3,045
潜在恶意块：	1,439
白名单区块：	213
未知区块：	1,393

可视化地图

... 数据已截断

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

注册表修改

i

注册表修改

本节列出了此系列样本创建、修改和/或删除的注册表项和值。Windows 注册表活动可以提供关于恶意软件功能的宝贵信息。此外，恶意软件通常会创建注册表值，以便在初始感染系统后自动启动并无限期地持续存在。

键::值	数据	API名称
HKLM\software\wow6432node\microsoft\.netframework\v4.0.30319::schusestrongcrypto		RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\.netframework\v4.0.30319::schusestrongcrypto		RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\client::disabledbydefault		RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\client::enabled		RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\server::disabledbydefault		RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\server::enabled		RegNtPreCreateKey

Windows API 使用情况

i

Windows API 使用情况

本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。

类别	API
User Data Access	GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	IsDebuggerPresent NtQuerySystemInformation
Encryption Used	BCryptOpenAlgorithmProvider