Trojan.Pennguish.KB
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Classifica di popolarità: | 23,648 |
| Livello di minaccia: | 80 % (Alto) |
| Computer infetti: | 11 |
| Visto per la prima volta: | March 15, 2025 |
| Ultima visualizzazione: | November 4, 2026 |
| Sistemi operativi interessati: | Windows |
Trojan.Penguish.KB è un Trojan per Windows con un livello di pericolosità pari a 8 su 10. Come altri Trojan, si finge innocuo o utile mentre in realtà svolge la sua attività dannosa in background. È stato rilevato per la prima volta il 15/03/2025 e più recentemente il 04/11/2026, quindi è ancora attivo.
Sommario
Cosa fa la minaccia
Secondo i dati del feed, Penguish.KB si installa furtivamente e viene eseguito silenziosamente in background, svolgendo funzioni dannose. Potrebbe dare agli aggressori il controllo completo di un sistema infetto. La descrizione afferma anche che potrebbe eliminare file in modo occulto. I trojan di questo tipo in genere scaricano anche altro malware, ma il testo del feed è troncato a quel punto, quindi è meglio considerarlo un comportamento tipico piuttosto che una capacità confermata.
Uno dei campioni analizzati conteneva informazioni sulla versione che sembrano appartenere a un'utility per la conversione da joystick a tastiera chiamata JoyToKey. Gli aggressori spesso camuffano il malware come programmi legittimi o lo includono in bundle con essi per apparire credibili. Il feed non specifica come sia stato creato questo file, quindi la sua esatta relazione con il programma autentico non è chiara. Lo stesso campione presentava le seguenti caratteristiche:
- Si tratta di un eseguibile GUI a 32 bit per Windows, non compresso.
- Non possiede una firma digitale.
- Utilizza funzioni di Windows relative agli hook e allo stato della tastiera (SetWindowsHookEx e GetKeyState). Anche i legittimi strumenti di rimappatura dell'input le utilizzano, ma sono tipiche anche dei programmi che monitorano la pressione dei tasti.
- Ha modificato un file di registro in una cartella JoyToKey all'interno della cartella Documenti dell'utente.
Poiché questi comportamenti si sovrappongono a quelli di un software normale, nessuno di essi, preso singolarmente, dimostra che un file sia dannoso. L'assenza di una firma e la discrepanza tra un nome apparentemente affidabile e un rilevamento di attività sospette sono motivi di cautela.
Come di solito si insinua nei computer
Il feed elenca i seguenti percorsi di distribuzione:
- Sfruttamento delle vulnerabilità del sistema e delle falle di sicurezza.
- Download di software da siti web dannosi.
- Allegati di posta elettronica provenienti da fonti non attendibili, solitamente con estensioni .exe, .pif, .avi o persino .jpg.
Poiché questo campione imita un programma di utilità, scaricare strumenti da siti non ufficiali, mirror o copie riconfezionate o localizzate rappresenta un rischio plausibile. Questo è uno schema tipico dei Trojan, piuttosto che una caratteristica specifica di questo caso.
Rischi per l’utente
- Controllo remoto del computer da parte di un utente malintenzionato.
- Perdita o cancellazione di file.
- Installazione di programmi aggiuntivi indesiderati o dannosi, tipica dei Trojan.
- Possibile esposizione di dati digitati, come le password, in caso di uso improprio delle funzioni relative alla tastiera. Questa possibilità si basa sulle funzioni utilizzate dal campione, non è confermata dal feed.
Segni di infezione
Il feed non elenca sintomi visibili e il Trojan è progettato per funzionare silenziosamente. In generale, fai attenzione a:
- Un programma che hai scaricato si comporta in modo anomalo o crea file imprevisti.
- Rallentamenti inspiegabili o attività in background.
- File che scompaiono senza alcuna spiegazione.
- Programmi sconosciuti che compaiono autonomamente.
- Account che mostrano accessi o modifiche non effettuate da te.
Poiché l'infezione può essere asintomatica, un sistema apparentemente pulito non la esclude.
Come proteggersi
- Mantieni Windows e tutti i software installati aggiornati, poiché le vulnerabilità rappresentano un punto di ingresso principale.
Se pensi di aver eseguito un file collegato a questo rilevamento, disconnettiti da Internet, esegui una scansione del computer e rimuovi tutto ciò che viene segnalato. Dopodiché, cambia le password da un dispositivo pulito e controlla i tuoi account importanti per individuare attività sospette.
Rapporto di analisi
Informazione Generale
| Cognome: | Trojan.Penguish.KB |
|---|---|
| Stato della firma: | No Signature |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
2984ad93d4c813379fa25fa2bc4e97dd
SHA1:
693c69f04e82bfa53ab323c06d7ec06ddf753c37
SHA256:
67CA30B9C3A42CE4A71CAEACE25F52BA349FA0FE32D8AEFC1D9F59F59C258888
Dimensione del file:
4.95 MB.4946288 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Show 2 more
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icone dei file
Icone dei file
Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.
Informazioni sulla versione di Windows PE
Informazioni sulla versione di Windows PE
Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.| Nome | Valore |
|---|---|
| Comments | https://joytokey.net/ |
| Company Name | JTK software |
| File Description | JoyToKey - Convert Joystick to Keyboard/Mouse Input |
| File Version | 7.0.0.565 |
| Internal Name | JoyToKey |
| Legal Copyright | Copyright(C) JTK, 1999-2024 |
| Original Filename | JoyToKey |
| Product Name | 一羞汉化 |
| Product Version | 7.0 |
| Program I D | 一羞汉化 |
Caratteristiche dei file
- HighEntropy
- VirtualQueryEx
- x86
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 11,644 |
|---|---|
| Blocchi potenzialmente dannosi: | 450 |
| Blocchi consentiti: | 11,194 |
| Blocchi sconosciuti: | 0 |
Mappa visiva
... Dati troncati? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
Famiglie simili
Famiglie simili
Questa sezione elenca altre famiglie che presentano similitudini con questa famiglia, sulla base dell'analisi di EnigmaSoft. Molte famiglie di malware sono create a partire dagli stessi toolkit e utilizzano le stesse tecniche di compressione e crittografia, ma ne estendono le funzionalità in modo univoco. Famiglie simili possono anche condividere codice sorgente, attributi, icone, sottocomponenti, firme digitali compromesse e/o non valide e caratteristiche di rete. I ricercatori sfruttano queste somiglianze per analizzare rapidamente ed efficacemente i campioni di file ed estendere le regole di rilevamento del malware.- Ousaban.C
- Penguish.KB
- Se7enkills.A
File modificati
File modificati
Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.| File | Attributi |
|---|---|
| c:\users\user\documents\joytokey\joytokey.log | Generic Write,Read Attributes |
Modifiche al registro
Modifiche al registro
Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.| Chiave::Valore | Dati | Nome API |
|---|---|---|
| HKCU\system\currentcontrolset\control\mediaproperties\privateproperties\directinput\vid_0627&pid_0001\calibration\0::guid | P.�F����DEST | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::usesmapper | RegNtPreCreateKey | |
| HKCU\software\microsoft\directinput\mostrecentapplication::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::id | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_00049462886634D1DC004B7970 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::version | ࠀ | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::mostrecentstart | 릙ᜐ泣ǝ | RegNtPreCreateKey |
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Keyboard Access |
|