트로이.크립틱.EDHCW

Trojan.Kryptik.EDHCW는 Windows 컴퓨터를 대상으로 하는 트로이 목마입니다. 위험도는 10점 만점에 8점으로, 심각한 위협으로 간주해야 합니다. 피드 데이터에 따르면 이 트로이 목마는 2026년 7월 18일에 처음 발견되었고, 가장 최근에는 2026년 9월 17일에 발견되었으며, 현재까지 탐지 횟수는 2회로 적습니다. Kryptik 그룹의 트로이 목마는 일반적으로 실제 목적을 숨기고 다른 악성 코드를 로드하는 것으로 알려져 있지만, 이 특정 샘플에 대한 공개된 정보는 제한적입니다.

위협이 하는 일

설명에 따르면 Kryptik.EDHCW는 은밀하게 설치되어 백그라운드에서 조용히 실행되면서 악성 기능을 수행합니다. 감염된 시스템에 대한 완전한 제어권을 공격자에게 제공할 수 있습니다. 또한 파일을 몰래 삭제하고 추가 소프트웨어를 설치할 수도 있다고 설명되어 있지만, 해당 목록의 전체 내용은 피드에서 확인할 수 없습니다.

분석된 파일의 기술적 세부 정보는 몇 가지 추가적인 단서를 제공합니다.

• 이것은 콘솔 애플리케이션으로 실행되는 64비트 네이티브 Windows 실행 파일입니다(NET 애플리케이션이 아닙니다).
• 이 파일에는 디지털 서명, 버전 정보, 디버그 정보 및 보안 정보가 포함되어 있지 않습니다.
• 이는 높은 엔트로피로 표시되며, 이는 종종 (항상 그런 것은 아니지만) 난독화되거나 암호화된 콘텐츠와 관련이 있습니다.
• 이 파일은 실행 가능한 섹션이 두 개 이상 있으며 압축되어 있지 않습니다.
• 이 함수는 다른 프로세스의 메모리에 데이터를 쓰는 데 일반적으로 사용되는 API인 WriteProcessMemory를 사용합니다.
• 이 코드는 ntdll.dll에 있는 NtWriteFile, NtDeviceIoControlFile 및 NtOpenThread를 비롯한 저수준 시스템 함수(시스템 호출)와 식별되지 않은 호출 하나를 호출합니다.
• 이는 NtUnmapViewOfSection을 사용하는데, 분석에서는 이를 프로세스 조작 및 회피로 분류합니다.

프로세스 메모리에 쓰기를 하거나 특정 영역을 매핑 해제하는 것은 코드 인젝션 공격에서 흔히 볼 수 있는 기법입니다. 해당 샘플이 이러한 기법을 정확히 어떻게 사용하는지는 피드에서 확인할 수 없으므로, 이는 해당 파일 자체의 특징이 아니라 코드 인젝션 공격에서 일반적으로 나타나는 동작으로 해석해야 합니다.

행동 분석 결과, 관찰된 2031개 블록 중 26개가 잠재적으로 악성으로 표시되었고, 140개는 화이트리스트에 등록되었으며, 1865개는 알 수 없었습니다.

일반적으로 컴퓨터에 침투하는 경로

설명에 따르면 이 트로이 목마는 주로 다음과 같은 방식으로 침투합니다.

• 시스템 취약점과 보안 결함을 악용함으로써.
• 악성 웹사이트에서 소프트웨어를 다운로드하는 것을 통해 감염될 수 있습니다.
• 출처가 불분명한 이메일 첨부파일, 주로 .exe, .pif, .avi, 심지어 .jpg 파일을 통해 감염될 수 있습니다.

실행 파일이 미디어 또는 이미지 이름으로 위장된 경우처럼 이중적인 의미를 가진 파일은 흔히 사용되는 수법입니다. 사용자는 이러한 파일이 무해하다고 생각하고 열어볼 수 있습니다.

사용자에게 미치는 위험

• 공격자는 시스템에 대한 완전한 제어권을 획득할 수 있습니다.
• 파일이 사용자 모르게 삭제될 수 있습니다.
• 원치 않거나 악성 프로그램이 추가로 설치될 수 있습니다.
• 일반적으로 원격 접속 기능을 가진 트로이 목마는 개인 데이터, 저장된 비밀번호 및 온라인 계정을 노출할 수 있지만, 해당 샘플에서는 이러한 사실이 확인되지 않았습니다.

감염 징후

이 트로이 목마는 조용히 실행되도록 설계되었으므로 뚜렷한 증상이 나타나지 않을 수 있습니다. 피드에는 특정 징후가 표시되지 않습니다. 트로이 목마 감염의 일반적인 징후는 다음과 같습니다.

• 원인을 알 수 없는 속도 저하 또는 CPU, 디스크 또는 네트워크 사용량 급증.
• 누락되었거나 변경된 파일.
• 설치하지 않은 새 프로그램입니다.
• 보안 도구가 비활성화되었거나 실행되지 않는 경우.
• 작업 관리자에서 익숙하지 않은 프로세스가 실행 중입니다.

증상이 나타나지 않을 수 있으므로 최신 보안 도구를 사용하여 전체 시스템을 검사하는 것이 가장 확실한 확인 방법입니다.

자신을 보호하는 방법

1. 이러한 트로이 목마가 악용하는 취약점을 차단하려면 Windows와 설치된 모든 소프트웨어를 최신 상태로 유지하십시오.
2. 소프트웨어는 공식적이고 신뢰할 수 있는 출처에서만 다운로드하십시오.
3. 알 수 없는 발신자가 보낸 이메일 첨부 파일은 열지 마시고, 프로그램처럼 작동하거나 실행을 요구하는 이미지나 동영상은 의심해 보세요.
4. Windows에서 파일 확장자 표시를 활성화하면 위장된 실행 파일을 더 쉽게 찾을 수 있습니다.
5. 정기적으로 전체 검사를 실행하고 실시간 보호 기능을 켜 두십시오.
6. 삭제되거나 손상된 데이터를 복원할 수 있도록 중요 파일의 오프라인 또는 클라우드 백업을 유지하십시오.

바이러스 감염이 의심되면 컴퓨터의 인터넷 연결을 끊고, 신뢰할 수 있고 최신 버전의 보안 도구를 사용하여 전체 검사를 실행한 후 발견된 모든 항목을 제거하십시오. 검사 후에는 깨끗한 컴퓨터에서 중요한 암호를 변경하십시오. 시스템이 원격으로 제어되고 있었다면 시스템 복원 또는 Windows 재설치를 고려하십시오.