Trojan.Expiro.I
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Classifica di popolarità: | 278 |
| Livello di minaccia: | 80 % (Alto) |
| Computer infetti: | 400,030 |
| Visto per la prima volta: | October 8, 2021 |
| Ultima visualizzazione: | November 13, 2026 |
| Sistemi operativi interessati: | Windows |
Trojan.Expiro.I è un Trojan per Windows classificato 8 su 10 per pericolosità. È presente da diversi anni: la prima rilevazione risale all'08/10/2021 e la più recente al 13/11/2026. Il feed elenca oltre 400.000 rilevamenti, quindi non si tratta di una minaccia rara o di breve durata.
Sommario
Cosa fa Trojan.Expiro.I
Expiro.I si installa in modo furtivo e poi viene eseguito silenziosamente in background, quindi l'utente potrebbe non notare nulla di insolito. Una volta installato sul sistema, può dare agli aggressori il controllo completo del computer. Può anche eliminare file e installare ulteriore malware in modo occulto. I trojan di questo tipo in genere raccolgono anche informazioni dal PC infetto, ma il testo del feed non fornisce un elenco completo, quindi è bene considerarlo un comportamento tipico piuttosto che un dettaglio confermato.
Il file analizzato è un eseguibile nativo a 32 bit per Windows con un sottosistema grafico (GUI). Non è un programma .NET e non è compresso. Il file include anche un controllo del debugger ( IsDebuggerPresent ), una tecnica spesso utilizzata dai malware per rendere più difficile l'analisi.
Le informazioni sulla versione del file lo presentano come il componente "Segnalazione problemi di Windows" di Microsoft e le sue catene di firma menzionano Microsoft. Tuttavia, lo stato della firma è riportato come "Autofirmato" . Un nome, una descrizione o una riga di copyright che assomiglia a un componente di Windows non dimostra che un file sia autentico. Il malware spesso imita l'aspetto di file di sistema attendibili per non destare sospetti.
Come di solito finisce sui computer
Secondo il feed, Expiro.I arriva più spesso tramite:
- Sfruttamento delle vulnerabilità del sistema e delle falle di sicurezza.
- Download di software da siti web dannosi.
- Allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi e persino .jpg.
I file con estensioni di tipo multimediale sono un travestimento comune. Un file che sembra un'immagine o un video ma si comporta come un programma merita sospetti.
Rischi per l’utente
- Perdita di controllo: un utente malintenzionato con accesso completo può fare quasi tutto ciò che può fare l'utente connesso.
- Perdita di dati: i file potrebbero essere eliminati senza preavviso.
- Maggiori infezioni: il Trojan potrebbe scaricare e installare altri malware.
- Rischio per la privacy e l'account: come spesso accade con i Trojan, i dati personali e le password presenti sul computer potrebbero essere esposti.
Segni di infezione
Poiché la minaccia è progettata per rimanere nascosta, i sintomi visibili potrebbero essere pochi. Questi segnali di allarme sono tipici delle infezioni da Trojan e non sono confermati specificamente per Expiro.I:
- Un processo di sistema che appare in una posizione inaspettata o si comporta in modo anomalo, soprattutto se si presenta come un componente di Windows.
- Rallentamenti inspiegabili, arresti anomali o consumo elevato di risorse.
- File mancanti o programmi che non hai installato.
- Attività di rete inaspettate o impostazioni di sicurezza che cambiano autonomamente.
Come proteggersi
- Mantieni Windows e il tuo software aggiornati in modo che le vulnerabilità note vengano corrette.
- Fai attenzione agli allegati email provenienti da mittenti sconosciuti, soprattutto ai file .exe o .pif, o a qualsiasi "immagine" o "video" che richieda di essere eseguito.
- Scarica il software solo da fonti ufficiali ed evita siti web sconosciuti.
Se sospetti un'infezione, disconnetti il computer da Internet, esegui una scansione completa con un programma antimalware aggiornato e cambia le password importanti da un dispositivo pulito. Se il sistema continua a comportarsi in modo anomalo, valuta la possibilità di rivolgerti a un professionista o di reinstallare Windows da zero.
Rapporto di analisi
Informazione Generale
| Cognome: | Trojan.Expiro.I |
|---|---|
| Stato della firma: | Self Signed |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
c7191ac917ba703648750fc98c749c99
SHA1:
2a0fb4af8e099d342250d3fbd49134d9b3a9d4d2
SHA256:
4772FFAFCBB7B4EB5830AC608D029722104DF8851C0CCDEF58042835BEBA9326
Dimensione del file:
506.22 KB.506216 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have exports table
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icone dei file
Icone dei file
Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.
Informazioni sulla versione di Windows PE
Informazioni sulla versione di Windows PE
Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.| Nome | Valore |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | Windows Problem Reporting |
| File Version | 10.0.19041.7811 (WinBuild.160101.0800) |
| Internal Name | WerFault |
| Legal Copyright | © Microsoft Corporation. All rights reserved. |
| Original Filename | WerFault.exe |
| Product Name | Microsoft® Windows® Operating System |
| Product Version | 10.0.19041.7811 |
Firme digitali
Firme digitali
Questa sezione elenca le firme digitali associate ai campioni appartenenti a questa famiglia. Durante l'analisi e la verifica delle firme digitali, è importante accertarsi che l'autorità radice della firma sia un'entità nota e affidabile e che lo stato della firma sia valido. Il malware è spesso firmato con firme digitali "autofirmate" non affidabili (che possono essere create facilmente dall'autore del malware senza alcuna verifica). Il malware può anche essere firmato con firme legittime che presentano uno stato non valido, oppure con firme provenienti da autorità radice discutibili con nomi di "firmatario" falsi o fuorvianti.| Firmatario | Radice | Stato |
|---|---|---|
| Microsoft Windows | Microsoft Windows Production PCA 2026 RSA2048-SHA256 | Self Signed |
| Microsoft Windows | Windows Production PCA 2023 | Self Signed |
Caratteristiche dei file
- HighEntropy
- ntdll
- x86
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 1,090 |
|---|---|
| Blocchi potenzialmente dannosi: | 1 |
| Blocchi consentiti: | 572 |
| Blocchi sconosciuti: | 517 |
Mappa visiva
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| Anti Debug |
|