Trojan.Kryptik.Gen.EKL

Trojan.Kryptik.Gen.EKL è un cavallo di Troia ad alto rischio che prende di mira i computer Windows. Classificato come pericoloso con un livello di gravità pari a 8 su 10, questa minaccia è progettata per infiltrarsi silenziosamente nei sistemi, eseguire azioni dannose in background e potenzialmente consentire agli aggressori di assumere il controllo di una macchina infetta. Appartenendo all'ampia e prolifica famiglia di Trojan Kryptik, Trojan.Kryptik.Gen.EKL condivide molte caratteristiche con minacce simili come Trojan.Kryptik.Gen.FQK e Trojan.Kryptik.Gen.FZB, che si basano tutte su tattiche di furtività ed elusione analoghe.

Cosa fa Trojan.Kryptik.Gen.EKL

Una volta attivo su un sistema, Trojan.Kryptik.Gen.EKL viene eseguito silenziosamente in background senza alcuna interfaccia visibile, rendendo difficile per un utente medio notare qualcosa di insolito. È stato creato come applicazione nativa a 32 bit per Windows e mostra segni di elevata entropia, una caratteristica spesso associata a codice dannoso offuscato o crittografato, progettato per resistere all'analisi e al rilevamento. Il campione osservato presentava inoltre una firma digitale non corrispondente all'hash del file, il che significa che tentava di apparire legittimamente firmato pur fallendo la verifica: un trucco comune utilizzato dagli autori di malware per conferire falsa credibilità ai propri file.

Dal punto di vista comportamentale, questo Trojan è stato osservato utilizzare tecniche associate alla manipolazione e all'elusione dei processi, inclusi metodi che possono essere impiegati per svuotare o manomettere processi legittimi in memoria. È stato anche rilevato l'accesso alle informazioni sugli oggetti utente, il che può rappresentare un passo verso la sorveglianza o un'ulteriore ricognizione del sistema. Durante l'infezione, crea e modifica file di cache e metadati in cartelle di sistema nascoste, che può utilizzare per memorizzare componenti scaricati, dati di configurazione o informazioni rubate prima di trasmetterle altrove.

Come solitamente si installa sui computer

Come la maggior parte delle minacce della famiglia Kryptik, Trojan.Kryptik.Gen.EKL si diffonde in genere tramite mezzi ingannevoli piuttosto che sfruttando una singola vulnerabilità specifica. I percorsi di infezione più comuni includono software scaricato da siti web inaffidabili o compromessi, programmi di installazione inclusi in bundle e allegati e-mail camuffati da file innocui, come file eseguibili, file multimediali o file immagine che in realtà nascondono codice dannoso. In molti casi, può anche infettare il sistema sfruttando vulnerabilità non corrette, installandosi all'insaputa e senza il consenso dell'utente.

Rischi per l’utente

Le conseguenze di un'infezione da Trojan.Kryptik.Gen.EKL possono essere gravi. Una volta installato, questo tipo di Trojan può conferire agli aggressori remoti un controllo significativo sul computer infetto, consentendo loro potenzialmente di rubare dati sensibili, installare ulteriore malware, monitorare l'attività degli utenti o utilizzare il sistema come piattaforma di lancio per ulteriori attacchi. Le sue tecniche di elusione rendono più difficile il rilevamento e la rimozione sia per gli strumenti di sicurezza che per gli utenti, aumentando il rischio di una compromissione prolungata e non rilevata.

Segni di infezione

Poiché i Trojan come questo sono progettati per operare in modo furtivo, le infezioni sono spesso difficili da individuare. Gli utenti dovrebbero prestare attenzione a rallentamenti inspiegabili del sistema, attività di rete anomale, file sconosciuti che compaiono nelle cartelle di sistema, arresti anomali imprevisti o segnalazioni di rilevamenti sospetti da parte dei software di sicurezza. Anche la presenza di file di cache o metadati sconosciuti in directory di dati nascoste delle applicazioni, come nel caso di questa minaccia, può essere un segnale di allarme.

Come rimanere protetti

Per ridurre il rischio di infezione, evitate di scaricare software da siti web non ufficiali o sospetti e non aprite mai allegati di posta elettronica provenienti da mittenti sconosciuti o non attendibili. Mantenete il sistema operativo Windows e tutti i software installati sempre aggiornati per colmare le lacune di sicurezza che i Trojan spesso sfruttano. L'utilizzo di software di sicurezza affidabile e aggiornato e l'esecuzione di scansioni di sistema regolari possono aiutare a rilevare e rimuovere minacce come Trojan.Kryptik.Gen.EKL prima che causino danni permanenti. Anche la creazione di backup regolari dei dati importanti contribuisce a limitare l'impatto di un'eventuale infezione.

Rapporto di analisi

Informazione Generale

Cognome:	Trojan.Kryptik.Gen.EKL
Stato della firma:	Hash Mismatch

Campioni noti

i

Campioni noti

Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.

MD5: 6ee24211c870cfa69b6f3308459668df SHA1: 78f05bd41f29448afecd416bd6545371282f3c39 SHA256: 63BA3A7317F12EFB1090152C900234CBE86477B81CEEFAC2987055D289D8FE1D Dimensione del file: 657.68 KB.657680 byte

Attributi di Windows Portable Executable

i

Attributi di Windows Portable Executable

Questa sezione elenca gli attributi dei file trovati all'interno dei campioni della famiglia. Questi attributi vengono estratti dalle specifiche Windows PE (Portable Executable) dei file e da vari flag di sistema. Gli attributi Portable Executable forniscono ai ricercatori di malware informazioni sulla funzionalità di un file, sui dettagli dell'eseguibile, sulla piattaforma e sull'ambiente di runtime.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icone dei file

i

Icone dei file

Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.

Informazioni sulla versione di Windows PE

i

Informazioni sulla versione di Windows PE

Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.

Nome	Valore
File Version	1.0.0.0
Product Version	1.0.0.0

Firme digitali

i

Firme digitali

Questa sezione elenca le firme digitali associate ai campioni appartenenti a questa famiglia. Durante l'analisi e la verifica delle firme digitali, è importante accertarsi che l'autorità radice della firma sia un'entità nota e affidabile e che lo stato della firma sia valido. Il malware è spesso firmato con firme digitali "autofirmate" non affidabili (che possono essere create facilmente dall'autore del malware senza alcuna verifica). Il malware può anche essere firmato con firme legittime che presentano uno stato non valido, oppure con firme provenienti da autorità radice discutibili con nomi di "firmatario" falsi o fuorvianti.

Firmatario	Radice	Stato
QIHU 360 SOFTWARE CO. LIMITED	Symantec Class 3 SHA256 Code Signing CA	Hash Mismatch
QIHU 360 SOFTWARE CO. LIMITED	VeriSign Class 3 Code Signing 2010 CA	Hash Mismatch

Caratteristiche dei file

• HighEntropy
• x86

Informazioni sul blocco

i

Informazioni sul blocco

Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.

Blocchi totali:	1,996
Blocchi potenzialmente dannosi:	2
Blocchi consentiti:	1,994
Blocchi sconosciuti:	0

Mappa visiva

0 - Probabile blocco di sicurezza
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso

Famiglie simili

i

Famiglie simili

Questa sezione elenca altre famiglie che presentano similitudini con questa famiglia, sulla base dell'analisi di EnigmaSoft. Molte famiglie di malware sono create a partire dagli stessi toolkit e utilizzano le stesse tecniche di compressione e crittografia, ma ne estendono le funzionalità in modo univoco. Famiglie simili possono anche condividere codice sorgente, attributi, icone, sottocomponenti, firme digitali compromesse e/o non valide e caratteristiche di rete. I ricercatori sfruttano queste somiglianze per analizzare rapidamente ed efficacemente i campioni di file ed estendere le regole di rilevamento del malware.

• Banload.XT
• Kryptik.BDEA
• Trojan.Krypt.Gen.RNS
• Trojan.Kryptik.Gen.EKL
• Trojan.Kryptik.Gen.FQK

Show 1 more

• Trojan.Kryptik.Gen.FZB

File modificati

i

File modificati

Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.

File	Attributi
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data

Modifiche al registro

i

Modifiche al registro

Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.

Chiave::Valore	Dati	Nome API
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey

Utilizzo delle API di Windows

i

Utilizzo delle API di Windows

Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.

Categoria	API
User Data Access	GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection