Trojan.Lethic.WE
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Classifica di popolarità: | 20,149 |
| Livello di minaccia: | 80 % (Alto) |
| Computer infetti: | 2 |
| Visto per la prima volta: | July 29, 2026 |
| Ultima visualizzazione: | October 2, 2026 |
| Sistemi operativi interessati: | Windows |
Trojan.Lethic.WE è un trojan basato su Windows, la cui presenza è stata osservata in circolazione, con le prime segnalazioni registrate a metà del 2026 e attività continuata nei mesi successivi. Classificato come una minaccia ad alto rischio con un livello di pericolosità pari a 8 su 10, questo trojan è progettato per infiltrarsi silenziosamente in un computer, senza alcun processo di installazione visibile, e quindi eseguire azioni dannose in background mentre l'utente non si accorge di nulla.
Sommario
Cosa fa Trojan.Lethic.WE
Come altre minacce della categoria Trojan, Trojan.Lethic.WE è progettato per infiltrarsi segretamente nel sistema operativo Windows e ottenere un solido punto d'appoggio che gli consenta di operare con un controllo elevato sul computer infetto. Una volta attivo, i Trojan di questo tipo tentano in genere di assumere il controllo delle funzioni chiave del sistema, il che può consentire al malware di eliminare o modificare file, alterare le impostazioni di sistema e di sicurezza, monitorare l'attività dell'utente e raccogliere informazioni sensibili come password o dati personali memorizzati. Poiché opera in modo furtivo, Trojan.Lethic.WE può rimanere attivo silenziosamente per lunghi periodi, utilizzando risorse di sistema e connessioni di rete all'insaputa dell'utente, aprendo potenzialmente la strada all'installazione successiva di ulteriori componenti dannosi.
Come solitamente si installa sui computer
I trojan di questa famiglia, in linea con la categoria più ampia, si diffondono più comunemente tramite allegati e-mail ingannevoli. Questi allegati sono spesso camuffati da file innocui, come documenti, immagini o video, ma in realtà sono programmi eseguibili contenenti il payload dannoso. I tipi di file comunemente utilizzati a questo scopo includono .exe, .pif, .avi e persino file .jpg che sono stati manipolati per eseguire codice. Gli utenti vengono in genere indotti ad aprire questi allegati tramite tattiche di ingegneria sociale, come e-mail che sembrano provenire da contatti fidati, fatture false, notifiche di spedizione o altri messaggi dal tono urgente. Anche il download di software da fonti non attendibili o il clic su link ingannevoli possono esporre un sistema a questo tipo di infezione.
Rischi per l’utente
Un'infezione da Trojan.Lethic.WE comporta seri rischi. Poiché i Trojan di questo tipo in genere ottengono un controllo esteso sul sistema compromesso, le vittime potrebbero subire il furto di dati, incluse le credenziali di accesso, i dati bancari o altre informazioni personali. Il malware potrebbe anche compromettere le prestazioni del sistema, destabilizzare il sistema operativo o facilitare ulteriori infezioni scaricando altro software dannoso. In molti casi, il computer compromesso potrebbe essere utilizzato nell'ambito di un'operazione malevola più ampia senza il consenso del proprietario, mettendo a rischio sia i dati personali che l'intera rete.
Segni di infezione
Poiché i Trojan sono progettati per operare in modo furtivo, non è sempre garantito che presentino sintomi evidenti. Tuttavia, i segnali di allarme tipici possono includere rallentamenti inaspettati, processi sconosciuti in esecuzione in background, attività di rete anomale, modifiche alle impostazioni di sistema o del browser non autorizzate dall'utente e la comparsa di file o programmi sconosciuti. Anche arresti anomali frequenti o finestre pop-up insolite possono indicare un sistema compromesso.
Come rimanere protetti
Per ridurre il rischio di infezione, gli utenti dovrebbero evitare di aprire allegati e-mail provenienti da mittenti sconosciuti o non verificati, soprattutto file eseguibili camuffati da file multimediali o documenti. Mantenere aggiornati il sistema operativo e tutti i software installati contribuisce a colmare le lacune di sicurezza che i malware possono sfruttare. Scaricare programmi solo da fonti ufficiali e affidabili, effettuare backup regolari dei dati importanti e utilizzare software di sicurezza affidabile e aggiornato sono inoltre pratiche fortemente raccomandate per difendersi da Trojan come Trojan.Lethic.WE.
Rapporto di analisi
Informazione Generale
| Cognome: | Trojan.Lethic.WE |
|---|---|
| Stato della firma: | No Signature |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
18c81aea32131786311055317934749d
SHA1:
bce6175c62585218780dd62234e14c6ab9a5b48d
SHA256:
804945B4E99D725D8EFE4154684F2484C825ACC8F92234A38213DDE229E37CA9
Dimensione del file:
94.60 KB.94601 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
- File is either console or GUI application
- File is Native application (NOT .NET application)
- File is not packed
Mostra altro
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icone dei file
Icone dei file
Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.
Informazioni sulla versione di Windows PE
Informazioni sulla versione di Windows PE
Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.| Nome | Valore |
|---|---|
| Company Name | Zona Soluzioni Srls |
| File Description | VPN Connector |
| File Version | 1.0.0.0 |
| Legal Copyright | Zona Soluzioni Srls |
| Product Name | VPN Connector |
| Product Version | 1.0.0.0 |
Caratteristiche dei file
- x86
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 198 |
|---|---|
| Blocchi potenzialmente dannosi: | 5 |
| Blocchi consentiti: | 193 |
| Blocchi sconosciuti: | 0 |
Mappa visiva
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
File modificati
File modificati
Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.| File | Attributi |
|---|---|
| \device\namedpipe | Generic Read,Write Attributes |
| \device\namedpipe | Generic Write,Read Attributes |
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134345672799862024.4712.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_bzlwlhaf.nyb.psm1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_dtwifrxc.z3o.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is64.bat | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is64.fil | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is64.txt | Generic Write,Read Attributes |
Mostra altro
| c:\users\user\appdata\local\temp\xtmp | Write Attributes |
| c:\users\user\appdata\local\temp\xtmp\tmp80475.bat | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\xtmp\tmp80475.exe | Generic Write,Read Attributes |
Modifiche al registro
Modifiche al registro
Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.| Chiave::Valore | Dati | Nome API |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | ௵砣䪭ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | 硍䪭ǝ | RegNtPreCreateKey |
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Syscall Use |
Mostra altro
Altri 12 articoli non sono visualizzati qui sopra. |
| User Data Access |
|
| Encryption Used |
|
| Other Suspicious |
|
| Anti Debug |
|
Esecuzione di comandi shell
Esecuzione di comandi shell
Questa sezione elenca i comandi della shell di Windows eseguiti dai campioni di questa famiglia. I comandi della shell di Windows vengono spesso sfruttati dai malware per scopi illeciti e possono essere utilizzati per elevare i privilegi di sicurezza, scaricare e avviare altri malware, sfruttare le vulnerabilità, raccogliere ed esfiltrare dati e nascondere attività dannose.
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c mode con:cols=0065 lines=0040
|
C:\WINDOWS\system32\mode.com mode con:cols=0065 lines=0040
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c title VPN Professionisti e Consulenti
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if not exist "C:\Users\Tivpkbkg\AppData\Local\Temp\afolder" mkdir "C:\Users\Tivpkbkg\AppData\Local\Temp\afolder"
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if not exist "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp" mkdir "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp"
|
Mostra altro
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c attrib +h C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp
|
C:\WINDOWS\system32\attrib.exe attrib +h C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c echo:0>C:\Users\Tivpkbkg\AppData\Local\Temp\is64.txt
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c C:\Users\Tivpkbkg\AppData\Local\Temp\is64.bat
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if exist "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat" del "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat"
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if exist "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.exe" del "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.exe"
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c C:\WINDOWS\Sysnative\cmd.exe /C C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat "c:\users\user\downloads\bce6175c62585218780dd62234e14c6ab9a5b48d_0000094601"
|
C:\WINDOWS\Sysnative\cmd.exe C:\WINDOWS\Sysnative\cmd.exe /C C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat "c:\users\user\downloads\bce6175c62585218780dd62234e14c6ab9a5b48d_0000094601"
|
C:\WINDOWS\system32\mode.com Mode 65,40
|
C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell Invoke-RestMethod api.ipify.org
|
