威胁数据库 特洛伊木马 Trojan.MSIL.Taskun.JA

Trojan.MSIL.Taskun.JA

通过CagedTech在 特洛伊木马
发布时间：
翻译为：

Trojan.MSIL.Taskun.JA是一款针对 Windows 计算机的木马程序。其名称中的“MSIL”部分表明该恶意程序是使用微软的 .NET 框架编写的，这是恶意软件作者常用的技术，因为它可以快速编译威胁程序，有时还能帮助代码绕过不够彻底的安全扫描。与大多数木马程序一样，该威胁程序旨在用户不知情或未经用户同意的情况下在后台静默运行，执行有利于攻击者而非计算机所有者的任务。

Trojan.MSIL.Taskun.JA 的作用

与其他木马类威胁一样，Trojan.MSIL.Taskun.JA 不会主动发出警报。相反，它通常会尝试在受感染的系统中建立立足点，并可能尝试执行诸如收集计算机信息、修改系统设置、创建或操纵计划任务以维持持久性，或与网络犯罪分子控制的远程服务器通信等操作。该家族中的许多木马还能够下载并安装其他恶意组件，这意味着如果置之不理，最初的小规模感染可能会演变成更大的问题。由于不同变种的具体功能可能有所不同，用户应将检测到的任何此类威胁视为严重的警告信号，而非无关紧要的小麻烦。

它通常是如何进入电脑的

此类木马通常通过欺骗手段传播，而非直接利用软件漏洞。典型的感染方式包括：伪装成发票、收据或其他合法文件的恶意电子邮件附件；钓鱼邮件中的链接；从非官方或盗版软件来源捆绑下载；虚假的软件更新或破解程序；以及将用户重定向到被入侵网站的恶意广告活动。一旦用户被诱骗打开受感染的文件或点击恶意链接，木马就会在后台静默安装自身。

用户面临的风险

活跃的木马病毒感染会使用户面临一系列风险，包括个人或财务信息被盗、系统遭到未经授权的远程访问、计算机性能下降，以及安装其他恶意软件，例如勒索软件、间谍软件或加密货币挖矿程序。由于木马病毒旨在隐蔽运行，受害者可能在造成重大损失（例如银行账户被盗、凭证被窃取或系统严重受损）之前，不会注意到任何此类后果。

感染迹象

由于木马程序旨在隐藏自身，因此感染迹象可能非常隐蔽。用户应注意以下情况：系统运行速度无故下降、CPU 或网络活动异常激增、任务管理器中出现不明程序或进程、意外的计划任务、安全软件无故被禁用，以及出现不熟悉的弹出窗口和浏览器重定向。任何此类症状，尤其是同时出现时，都可能表明存在此类木马程序。

如何做好防护

为降低感染风险，请避免打开来自未知或意外发件人的电子邮件附件或点击链接；仅从官方和可信来源下载软件；保持操作系统和所有应用程序更新至最新安全补丁；并定期使用信誉良好的反恶意软件工具扫描系统。定期备份重要文件也是一项重要的安全措施，可确保在木马或相关恶意软件造成损害时能够恢复数据。保持警惕并随时了解最新信息仍然是抵御 Trojan.MSIL.Taskun.JA 等威胁的最有效防御措施之一。

分析报告

一般信息

姓： Trojan.MSIL.Taskun.JA
签名状态： No Signature

已知样本

MD5: 4fa126c30b2458ec025665db7845ba24
SHA1: 04563fcf452339311b587e0c886a124a1792c15a
SHA256: 7FF9C750FFF98B0394F69189E12268FEB9CA79F331B978E6C62D9BBB26A2E3B8
文件大小: 4.00 MB,3999744字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have security information
  • File is .NET application
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
显示更多
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE 版本信息

姓名 价值
Assembly Version 1.0.0.0
Comments 69:=7A3@E=@CHG;>JAH
Company Name ;A@<;<68B5J9584?<9H4GJ
File Description ;<975@>E=GG;=J3DF:CA4?A
File Version 11.27.15.253
Internal Name newo.exe
Legal Copyright Copyright © 2015 ;A@<;<68B5J9584?<9H4GJ. All rights reserved.
Original Filename newo.exe
Product Name ;<975@>E=GG;=J3DF:CA4?A
Product Version 11.27.15.253

文件特征

  • .NET
  • NewLateBinding
  • RijndaelManaged
  • x86

区块信息

总区块数： 443
潜在恶意块： 36
白名单区块： 211
未知区块： 196

可视化地图

0 0 0 0 0 0 0 0 ? 0 ? 0 ? 0 ? 0 ? 0 ? 0 ? 0 0 0 ? 0 ? 0 ? 0 ? ? 0 ? 0 0 0 0 0 0 0 ? 0 0 0 0 x 0 ? ? x 0 0 0 0 0 0 0 0 ? ? 0 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? ? ? 0 ? ? x ? 0 ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? x x ? ? 0 0 0 0 x x x ? ? 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? ? ? ? x x 0 ? 0 x 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 x 0 x 0 0 0 0 0 0 ? ? ? ? x ? x ? ? 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? ? ? x ? ? ? ? ? 0 ? 0 0 0 ? ? ? ? ? ? ? ? ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? x ? ? ? x ? x ? ? x ? 0 ? 0 ? ? ? ? ? ? ? ? 0 ? ? 0 x ? 0 ? ? ? ? x x ? 0 0 0 ? ? ? ? x x ? ? ? ? ? ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? ? 0 ? x ? ? ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? x ? ? ? x x ? 0 x x x 0 ? 0 0 ? 0 0 0 x ? ? ? 0 0 0 0 0 ? ?
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

文件已修改

文件 属性
\device\namedpipe\dec_78ba2068cb094bad8dd733f270c4a5e6 Generic Read,Write Data,Write Attributes,Write extended,Append data
\device\namedpipe\dec_78ba2068cb094bad8dd733f270c4a5e6 Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288

Windows API 使用情况

类别 API
User Data Access
  • GetUserDefaultLocaleName
  • GetUserObjectInformation
Anti Debug
  • IsDebuggerPresent
  • NtQuerySystemInformation
Encryption Used
  • BCryptOpenAlgorithmProvider
  • CryptAcquireContext