트로이.익스피로.I

Trojan.Expiro.I는 위험도 10점 만점에 8점으로 평가된 Windows 트로이 목마입니다. 이 악성 프로그램은 수년간 발견되어 왔으며, 첫 번째 탐지는 2021년 10월 8일에, 가장 최근 탐지는 2026년 11월 13일에 기록되었습니다. 해당 피드에는 40만 건 이상의 탐지 사례가 등록되어 있으므로, 드물거나 단기간에 사라지는 위협이 아닙니다.

Trojan.Expiro.I의 역할

Expiro.I는 사용자 몰래 설치된 후 백그라운드에서 조용히 실행되므로 사용자는 아무런 이상 징후를 감지하지 못할 수 있습니다. 일단 시스템에 설치되면 공격자는 컴퓨터에 대한 완전한 제어권을 확보할 수 있습니다. 또한 파일을 몰래 삭제하거나 추가 악성 프로그램을 설치할 수도 있습니다. 이러한 유형의 트로이 목마는 일반적으로 감염된 PC에서 정보를 수집하지만, 피드 텍스트에 전체 목록이 표시되지 않으므로 이는 확정된 특징이라기보다는 일반적인 동작으로 간주해야 합니다.

분석 대상 파일은 그래픽 사용자 인터페이스(GUI) 하위 시스템을 포함하는 32비트 네이티브 Windows 실행 파일입니다. .NET 프로그램이 아니며 압축되어 있지 않습니다. 또한 이 파일은 디버거 존재 여부 확인( IsDebuggerPresent )을 포함하고 있는데, 이는 악성 프로그램이 분석을 어렵게 하기 위해 자주 사용하는 기법입니다.

해당 파일의 버전 정보는 마이크로소프트의 "Windows 문제 보고" 구성 요소로 표시되고, 서명 체인에도 마이크로소프트가 언급되어 있습니다. 하지만 서명 상태는 자체 서명 으로 보고됩니다. Windows 구성 요소처럼 보이는 이름, 설명 또는 저작권 표시가 있다고 해서 파일이 정품이라고 단정할 수는 없습니다. 악성 프로그램은 의심을 피하기 위해 신뢰할 수 있는 시스템 파일의 모양을 모방하는 경우가 많습니다.

일반적으로 컴퓨터에 침투하는 경로

피드에 따르면 Expiro.I는 주로 다음과 같은 경로로 도착합니다.

• 시스템 취약점과 보안 결함을 악용하는 행위.
• 악성 웹사이트에서 소프트웨어를 다운로드하는 행위.
• 출처가 불분명한 이메일 첨부 파일은 일반적으로 .exe, .pif, .avi, 심지어 .jpg 파일입니다.

미디어 파일처럼 보이는 확장자를 가진 파일은 흔히 위장 수단으로 사용됩니다. 사진이나 동영상처럼 보이지만 프로그램처럼 작동하는 파일은 의심해 봐야 합니다.

사용자에게 미치는 위험

• 제어권 상실: 완전한 접근 권한을 가진 공격자는 로그인한 사용자가 할 수 있는 거의 모든 작업을 수행할 수 있습니다.
• 데이터 손실: 파일이 예고 없이 삭제될 수 있습니다.
• 추가 감염: 트로이목마가 다른 악성 소프트웨어를 다운로드하고 설치할 수 있습니다.
• 개인정보 및 계정 위험: 트로이목마의 일반적인 특징처럼, 컴퓨터에 저장된 개인 데이터와 비밀번호가 노출될 수 있습니다.

감염 징후

이 위협은 은밀하게 작동하도록 설계되었기 때문에 눈에 띄는 증상이 거의 없을 수 있습니다. 이러한 경고 신호는 트로이목마 감염에서 흔히 나타나는 현상이며 Expiro.I에 특화된 것으로 확인된 것은 아닙니다.

• 예기치 않은 위치에 나타나거나 이상하게 동작하는 시스템 프로세스, 특히 Windows 구성 요소라고 주장하는 프로세스를 말합니다.
• 원인을 알 수 없는 속도 저하, 시스템 충돌 또는 높은 리소스 사용량.
• 파일이 사라지거나 설치하지 않은 프로그램이 나타났습니다.
• 예기치 않은 네트워크 활동이나 보안 설정이 저절로 변경되는 경우.

자신을 보호하는 방법

1. 윈도우와 소프트웨어를 최신 상태로 유지하여 알려진 취약점을 해결하십시오.
2. 알 수 없는 발신자가 보낸 이메일 첨부 파일, 특히 .exe 또는 .pif 파일이나 실행을 요구하는 "사진" 또는 "동영상" 파일은 주의해서 살펴보세요 .
3. 소프트웨어는 공식 출처에서만 다운로드하고 , 알 수 없는 웹사이트는 피하십시오.

악성코드 감염이 의심되는 경우, 컴퓨터의 인터넷 연결을 끊고 최신 악성코드 방지 프로그램을 사용하여 전체 검사를 실행한 후, 안전한 다른 기기에서 중요한 암호를 변경하십시오. 이러한 조치 후에도 시스템이 제대로 작동하지 않으면 전문가의 도움을 받거나 Windows를 새로 설치하는 것을 고려하십시오.

분석 보고서

일반 정보

성씨:	Trojan.Expiro.I
서명 상태:	Self Signed

알려진 샘플

i

알려진 샘플

이 섹션에는 이 가족과 연관된 것으로 추정되는 다른 파일 샘플이 나열되어 있습니다.

MD5: c7191ac917ba703648750fc98c749c99 샤1: 2a0fb4af8e099d342250d3fbd49134d9b3a9d4d2 샤256: 4772FFAFCBB7B4EB5830AC608D029722104DF8851C0CCDEF58042835BEBA9326 파일 크기: 506.22 KB,506216 바이트

Windows 휴대용 실행 파일 속성

i

Windows 휴대용 실행 파일 속성

이 섹션에서는 해당 패밀리 샘플에서 발견된 파일 속성을 나열합니다. 이러한 속성은 파일의 Windows PE(Portable Executable) 사양 및 다양한 시스템 플래그에서 추출됩니다. 휴대용 실행 파일 속성은 악성코드 연구원에게 파일의 기능, 실행 세부 정보, 플랫폼 및 런타임 환경에 대한 정보를 제공합니다.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

파일 아이콘

i

파일 아이콘

이 섹션에는 패밀리 샘플에서 발견된 아이콘 리소스가 표시됩니다. 악성 프로그램은 종종 정식 소프트웨어와 관련된 아이콘을 복제하여 사용자가 악성 프로그램이 안전하다고 착각하도록 만듭니다.

Windows PE 버전 정보

i

Windows PE 버전 정보

이 섹션에서는 이 제품군에 속하는 샘플에 대해 Windows 파일 버전 정보 데이터 구조에 설정된 값과 속성을 표시합니다. 악성코드 공격자는 사용자를 속이기 위해 종종 정품 소프트웨어를 모방한 가짜 버전 정보를 추가합니다.

이름	값
Company Name	Microsoft Corporation
File Description	Windows Problem Reporting
File Version	10.0.19041.7811 (WinBuild.160101.0800)
Internal Name	WerFault
Legal Copyright	© Microsoft Corporation. All rights reserved.
Original Filename	WerFault.exe
Product Name	Microsoft® Windows® Operating System
Product Version	10.0.19041.7811

디지털 서명

i

디지털 서명

이 섹션에서는 해당 악성코드 계열에 속하는 샘플에 첨부된 디지털 서명을 나열합니다. 디지털 서명을 분석하고 검증할 때는 서명의 루트 기관이 잘 알려져 있고 신뢰할 수 있는 기관인지, 그리고 서명의 상태가 유효한지 확인하는 것이 중요합니다. 악성코드는 종종 신뢰할 수 없는 "자체 서명" 디지털 서명(악성코드 제작자가 검증 없이 쉽게 생성할 수 있음)으로 서명됩니다. 또한 악성코드는 유효하지 않은 상태의 합법적인 서명이나, 가짜 또는 오해의 소지가 있는 "서명자" 이름을 사용하는 의심스러운 루트 기관의 서명으로 서명될 수도 있습니다.

서명자	뿌리	상태
Microsoft Windows	Microsoft Windows Production PCA 2026 RSA2048-SHA256	Self Signed
Microsoft Windows	Windows Production PCA 2023	Self Signed

파일 특성

• HighEntropy
• ntdll
• x86

블록 정보

i

블록 정보

EnigmaSoft는 분석 과정에서 파일 샘플을 논리적 블록으로 분할하여 다른 샘플과 분류 및 비교합니다. 이러한 블록은 악성코드 탐지 규칙을 생성하고, 공유 소스 코드, 기능 및 기타 특징적인 속성을 기반으로 파일 샘플을 패밀리로 그룹화하는 데 사용될 수 있습니다. 이 섹션에서는 해당 블록 데이터의 요약과 EnigmaSoft의 분류 결과를 제공합니다. 가능한 경우 블록 데이터의 시각적 표현도 함께 표시됩니다.

총 블록 수:	1,090
잠재적으로 악의적인 차단:	1
허용된 블록:	572
알 수 없는 블록:	517

시각적 지도

0 - 안전 블록 가능성 높음
? - 알 수 없는 블록
x - 잠재적으로 악의적인 차단

Windows API 사용법

i

Windows API 사용법

이 섹션에서는 이 제품군의 샘플에서 사용되는 Windows API 호출 목록을 제공합니다. Windows API 사용 분석은 키로깅, 보안 권한 상승, 데이터 암호화, 데이터 유출, 바이러스 백신 소프트웨어 방해, 네트워크 요청 조작과 같은 악의적인 활동을 식별하는 데 유용한 도구입니다.

범주	API
Anti Debug	IsDebuggerPresent