Trojan.MSIL.Krypt.TDW

Trojan.MSIL.Krypt.TDW è un Trojan che prende di mira i computer Windows. Il suo livello di pericolosità è di 8 su 10, il che lo colloca nella fascia di rischio elevato. La sigla "MSIL" nel nome indica che il programma è basato sulla piattaforma .NET. Il rilevamento è stato registrato per la prima volta l'08/08/2026 e più recentemente il 27/08/2026. Il feed registra finora un solo rilevamento, quindi ci sono pochi dati sulla sua diffusione.

Cosa fa la minaccia

Come altri Trojan, è progettato per funzionare silenziosamente in background ed eseguire azioni dannose senza che l'utente se ne accorga. Secondo quanto riportato, potrebbe dare agli aggressori il controllo completo di un sistema infetto e potrebbe eliminare file di nascosto, tra le altre funzioni dannose.

Il campione analizzato presenta diverse caratteristiche tecniche:

• Si tratta di un eseguibile GUI .NET a 32 bit non compresso e privo di firma digitale.
• Le informazioni sulla versione utilizzano il nome interno e originale "Avanta2xUninstaller.exe", che lo fa sembrare un'utilità di disinstallazione. I trojan spesso usano nomi apparentemente innocui come questo, ma il feed non specifica che si tratti di un travestimento deliberato.
• Utilizza un controllo anti-debugging (IsDebuggerPresent), che in genere viene utilizzato per rendere più difficile l'analisi.
• Il codice richiama funzioni relative alla manipolazione dei processi, tra cui NtUnmapViewOfSection e ReadProcessMemory. Questa combinazione è comunemente associata alla manomissione di altri processi, sebbene il feed non confermi cosa sia stato fatto in questo caso.
• Utilizza una funzione di crittografia di Windows (BCryptOpenAlgorithmProvider) e crea un nuovo processo. Durante l'analisi, ha avviato un componente di segnalazione errori di .NET Framework (dw20.exe).
• Ha modificato i file di transazione del registro di sistema di Windows nel profilo utente, il file Amcache e una named pipe.

Su 208 blocchi di attività osservati, 8 sono stati segnalati come potenzialmente dannosi, 90 sono stati inseriti nella lista bianca e 110 sono risultati sconosciuti.

Come di solito si insinua nei computer

Secondo le informazioni in nostro possesso, questo Trojan si installa in modo furtivo. I percorsi più comuni sono:

• Sfruttamento delle vulnerabilità del sistema e delle falle di sicurezza.
• Download di software da siti web dannosi.
• Allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi e persino .jpg.

I file che si spacciano per immagini o video sono un tipico trucco, poiché gli utenti tendono ad aprirli senza sospettare nulla.

Rischi per l’utente

• Gli aggressori remoti possono assumere il pieno controllo del computer.
• I file potrebbero essere eliminati a tua insaputa.
• Potrebbe essere installato ulteriore software dannoso. Questo è tipico dei Trojan, sebbene l'estratto del feed sia troncato prima di elencare tutte le funzioni.
• I dati personali e gli account presenti sul computer potrebbero essere esposti. Questo è un rischio tipico dei Trojan con capacità di controllo remoto, piuttosto che un comportamento confermato di questo campione.

Segni di infezione

Questo Trojan è progettato per rimanere nascosto, quindi potrebbero non esserci sintomi evidenti. I tipici segnali di allarme per questo tipo di minaccia includono:

• Rallentamenti imprevisti o elevato consumo di risorse dovuti a processi sconosciuti.
• File che scompaiono o vengono modificati senza alcuna spiegazione.
• Programmi sconosciuti o finestre di segnalazione errori che compaiono senza motivo.
• Uno strumento di sicurezza che ti avvisa del rilevamento del nome Trojan.MSIL.Krypt.TDW.
• Un file con un nome simile a quello di un programma di disinstallazione che non hai mai scaricato o eseguito di proposito.

Come proteggersi

• Non aprire allegati provenienti da mittenti sconosciuti, soprattutto file .exe o .pif e file multimediali che presentano anomalie.
• Scarica il software solo da fonti ufficiali e affidabili ed evita programmi di installazione pirata o non ufficiali.
• Mantieni Windows e tutte le tue applicazioni aggiornate per chiudere le vulnerabilità sfruttate dai Trojan.
• Utilizza una soluzione di sicurezza affidabile e aggiornata con protezione in tempo reale ed esegui regolarmente scansioni complete.
• Eseguite regolarmente il backup dei file importanti su un dispositivo o servizio non permanentemente connesso al computer.

Se sospetti un'infezione, disconnetti il computer da Internet, esegui una scansione completa e rimuovi tutto ciò che viene rilevato. Dopodiché, cambia le tue password importanti da un dispositivo pulito, poiché un Trojan con accesso remoto potrebbe averle esposte.

Rapporto di analisi

Informazione Generale

Cognome:	Trojan.MSIL.Krypt.TDW
Stato della firma:	No Signature

Campioni noti

i

Campioni noti

Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.

MD5: 404f46839df957a1ea63b5d9ed0117c0 SHA1: 305135a9d1716386415a1b3571f76b2089fb81cf SHA256: 9D5B1BAACF327FA304C696E80F2FB04C33DD96E484DFDC729C4B387ACBD86354 Dimensione del file: 466.43 KB.466432 byte

Attributi di Windows Portable Executable

i

Attributi di Windows Portable Executable

Questa sezione elenca gli attributi dei file trovati all'interno dei campioni della famiglia. Questi attributi vengono estratti dalle specifiche Windows PE (Portable Executable) dei file e da vari flag di sistema. Gli attributi Portable Executable forniscono ai ricercatori di malware informazioni sulla funzionalità di un file, sui dettagli dell'eseguibile, sulla piattaforma e sull'ambiente di runtime.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icone dei file

i

Icone dei file

Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.

























Informazioni sulla versione di Windows PE

i

Informazioni sulla versione di Windows PE

Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.

Nome	Valore
Assembly Version	1.0.3541.16625
File Version	1.0.3541.16625
Internal Name	Aventa2xUninstaller.exe
Original Filename	Aventa2xUninstaller.exe
Product Version	1.0.3541.16625

Caratteristiche dei file

• .NET
• HighEntropy
• Installer Version
• x86

Informazioni sul blocco

i

Informazioni sul blocco

Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.

Blocchi totali:	208
Blocchi potenzialmente dannosi:	8
Blocchi consentiti:	90
Blocchi sconosciuti:	110

Mappa visiva

0 - Probabile blocco di sicurezza
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso

File modificati

i

File modificati

Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.

File	Attributi
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

Modifiche al registro

i

Modifiche al registro

Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.

Chiave::Valore	Dati	Nome API
HKLM\system\software\microsoft\tip\aggregateresults::data	ⳛ˼ 耀塉»ⳛ˼ 耀塉 隞̃́耀꧌ڌԹ	RegNtPreCreateKey

Utilizzo delle API di Windows

i

Utilizzo delle API di Windows

Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.

Categoria	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort Show 78 more ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDelayExecution ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtFsControlFile ntdll.dll!NtLoadKeyEx ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenSymbolicLinkObject ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySymbolicLinkObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtTraceEvent ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess
Encryption Used	BCryptOpenAlgorithmProvider

Esecuzione di comandi shell

i

Esecuzione di comandi shell

Questa sezione elenca i comandi della shell di Windows eseguiti dai campioni di questa famiglia. I comandi della shell di Windows vengono spesso sfruttati dai malware per scopi illeciti e possono essere utilizzati per elevare i privilegi di sicurezza, scaricare e avviare altri malware, sfruttare le vulnerabilità, raccogliere ed esfiltrare dati e nascondere attività dannose.

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 836