위협 데이터베이스 트로이 목마 트로이목마.MSIL.크립트.TDW

트로이목마.MSIL.크립트.TDW

트로이 목마년에 CagedTech 년까지
게시됨:
마지막 업데이트:

위협 스코어카드

인기 순위: 25,519
위협 수준: 80 % (높은)
처음 본 것: August 8, 2026
마지막으로 본: August 27, 2026
영향을 받는 OS: Windows

Trojan.MSIL.Krypt.TDW는 Windows 컴퓨터를 대상으로 하는 트로이 목마입니다. 위험도는 10점 만점에 8점으로, 높은 위험 등급에 속합니다. 이름의 "MSIL"은 .NET 플랫폼으로 제작된 프로그램임을 나타냅니다. 이 악성 프로그램은 2026년 8월 8일에 처음 발견되었고, 가장 최근에는 2026년 8월 27일에 발견되었습니다. 현재까지 단 한 건의 탐지 사례만 기록되어 있어 확산 정도에 대한 정보는 부족합니다.

위협이 하는 일

다른 트로이목마와 마찬가지로, 이 악성 프로그램은 사용자가 눈치채지 못하게 백그라운드에서 조용히 실행되면서 악의적인 행위를 수행하도록 설계되었습니다. 해당 정보에 따르면, 이 프로그램은 공격자에게 감염된 시스템에 대한 완전한 제어권을 부여하고 파일을 몰래 삭제하는 등 여러 가지 유해한 기능을 수행할 수 있습니다.

분석된 샘플은 다음과 같은 몇 가지 기술적 특징을 보여줍니다.

  • 이 파일은 압축되지 않았고 디지털 서명이 없는 32비트 .NET GUI 실행 파일입니다.
  • 해당 프로그램의 버전 정보는 내부적으로 사용되는 원래 이름인 "Aventa2xUninstaller.exe"를 사용하므로 마치 제거 유틸리티처럼 보입니다. 트로이 목마는 종종 이처럼 무해해 보이는 이름을 사용하지만, 해당 정보에는 이 이름이 의도적인 위장이라는 언급은 없습니다.
  • 이 코드는 디버깅을 어렵게 하기 위해 일반적으로 사용되는 안티 디버깅 검사(IsDebuggerPresent)를 사용합니다.
  • 이 코드는 NtUnmapViewOfSection 및 ReadProcessMemory를 포함하여 프로세스 조작과 관련된 함수를 호출합니다. 이러한 함수 조합은 일반적으로 다른 프로세스를 변조하는 데 사용되지만, 해당 로그는 여기서 구체적으로 어떤 작업을 수행했는지 확인시켜주지는 않습니다.
  • 이 공격은 Windows 암호화 함수(BCryptOpenAlgorithmProvider)를 사용하여 새 프로세스를 생성합니다. 분석 과정에서 .NET Framework 오류 보고 구성 요소(dw20.exe)가 실행되었습니다.
  • 이 문제는 사용자 프로필의 Windows 레지스트리 트랜잭션 파일, Amcache 파일 및 명명된 파이프를 건드렸습니다.

관찰된 208건의 활동 블록 중 8건은 잠재적으로 악의적인 것으로 표시되었고, 90건은 화이트리스트에 등록되었으며, 110건은 알 수 없었습니다.

일반적으로 컴퓨터에 침투하는 경로

해당 정보에 따르면 이 트로이 목마는 은밀하게 설치됩니다. 일반적인 설치 경로는 다음과 같습니다.

  • 시스템 취약점과 보안 결함을 악용하는 행위.
  • 악성 웹사이트에서 소프트웨어를 다운로드하는 행위.
  • 출처가 불분명한 이메일 첨부 파일은 일반적으로 .exe, .pif, .avi, 심지어 .jpg 파일입니다.

사진이나 동영상인 척하는 파일은 사용자들이 의심 없이 열어보는 경향이 있기 때문에 흔한 수법입니다.

사용자에게 미치는 위험

  • 원격 공격자는 컴퓨터에 대한 완전한 제어권을 확보할 수 있습니다.
  • 파일이 사용자 모르게 삭제될 수 있습니다.
  • 추가적인 악성 소프트웨어가 설치될 수 있습니다. 이는 트로이목마의 전형적인 특징이지만, 피드 발췌 부분은 모든 기능을 나열하기 전에 잘려 있습니다.
  • 해당 기기에 저장된 개인 데이터와 계정 정보가 노출될 수 있습니다. 이는 원격 제어 기능을 가진 트로이 목마의 일반적인 위험 요소이며, 이 샘플에서 확인된 특정 동작은 아닙니다.

감염 징후

이 트로이 목마는 숨어서 작동하도록 설계되었기 때문에 눈에 띄는 증상이 없을 수 있습니다. 이러한 유형의 위협에 대한 일반적인 경고 신호는 다음과 같습니다.

  • 익숙하지 않은 프로세스로 인해 예기치 않은 속도 저하 또는 높은 리소스 사용량이 발생할 수 있습니다.
  • 설명 없이 사라지거나 변경되는 파일.
  • 알 수 없는 프로그램이 실행되거나, 이유 없이 오류 보고 창이 나타나는 경우.
  • Trojan.MSIL.Krypt.TDW라는 탐지 이름이 표시되어 보안 도구가 사용자에게 알림을 보냅니다.
  • 일부러 다운로드하거나 실행한 적이 없는, 마치 제거 프로그램처럼 이름이 붙여진 파일입니다.

자신을 보호하는 방법

  • 알 수 없는 발신자가 보낸 첨부 파일, 특히 .exe 또는 .pif 파일이나 비정상적으로 작동하는 미디어 파일은 열지 마십시오.
  • 공식적이고 신뢰할 수 있는 출처에서만 소프트웨어를 다운로드하고, 크랙 버전이나 비공식 설치 프로그램은 사용하지 마십시오.
  • 트로이 목마가 악용하는 취약점을 차단하려면 Windows와 모든 응용 프로그램을 최신 상태로 유지하세요.
  • 신뢰할 수 있고 최신 보안 솔루션을 사용하여 실시간 보호 기능을 제공하고 정기적으로 전체 검사를 실행하십시오.
  • 중요 파일은 컴퓨터에 항상 연결되어 있지 않은 장치나 서비스에 백업해 두십시오.

    • 악성코드 감염이 의심되면 컴퓨터의 인터넷 연결을 끊고 전체 검사를 실행한 후 발견된 모든 악성코드를 제거하십시오. 그 후, 원격 접속 기능을 가진 트로이 목마로 인해 중요한 암호가 노출되었을 수 있으므로, 안전한 컴퓨터에서 암호를 변경하십시오.

    분석 보고서

    일반 정보

    성씨: Trojan.MSIL.Krypt.TDW
    서명 상태: No Signature

    알려진 샘플

    MD5: 404f46839df957a1ea63b5d9ed0117c0
    샤1: 305135a9d1716386415a1b3571f76b2089fb81cf
    샤256: 9D5B1BAACF327FA304C696E80F2FB04C33DD96E484DFDC729C4B387ACBD86354
    파일 크기: 466.43 KB,466432 바이트

    Windows 휴대용 실행 파일 속성

    • File doesn't have "Rich" header
    • File doesn't have debug information
    • File doesn't have exports table
    • File doesn't have security information
    • File is .NET application
    • File is 32-bit executable
    • File is either console or GUI application
    • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
    • File is not packed
    • IMAGE_FILE_DLL is not set inside PE header (Executable)
    Show 1 more
    • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

    파일 아이콘

    Windows PE 버전 정보

    이름 값
    Assembly Version 1.0.3541.16625
    File Version 1.0.3541.16625
    Internal Name Aventa2xUninstaller.exe
    Original Filename Aventa2xUninstaller.exe
    Product Version 1.0.3541.16625

    파일 특성

    • .NET
    • HighEntropy
    • Installer Version
    • x86

    블록 정보

    총 블록 수: 208
    잠재적으로 악의적인 차단: 8
    허용된 블록: 90
    알 수 없는 블록: 110

    시각적 지도

    0 - 안전 블록 가능성 높음
    ? - 알 수 없는 블록
    x - 잠재적으로 악의적인 차단

    수정된 파일

    파일 속성
    \device\namedpipe\gmdasllogger Generic Write,Read Attributes
    c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
    c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
    c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
    c:\windows\appcompat\programs\amcache.hve Read Data,Read Control,Write Data
    c:\windows\appcompat\programs\amcache.hve Write Attributes

    레지스트리 수정

    키::값 데이터 API 이름
    HKLM\system\software\microsoft\tip\aggregateresults::data ⳛ˼耀塉»ⳛ˼耀塉 隞̃́耀꧌ڌԹ RegNtPreCreateKey

    Windows API 사용법

    범주 API
    Syscall Use
    • ntdll.dll!NtAccessCheck
    • ntdll.dll!NtAdjustPrivilegesToken
    • ntdll.dll!NtAlertThreadByThreadId
    • ntdll.dll!NtAlpcConnectPort
    • ntdll.dll!NtAlpcSendWaitReceivePort
    • ntdll.dll!NtApphelpCacheControl
    • ntdll.dll!NtAssociateWaitCompletionPacket
    • ntdll.dll!NtClearEvent
    • ntdll.dll!NtClose
    • ntdll.dll!NtConnectPort
    Show 78 more
    • ntdll.dll!NtCreateEvent
    • ntdll.dll!NtCreateIoCompletion
    • ntdll.dll!NtCreateKey
    • ntdll.dll!NtCreateMutant
    • ntdll.dll!NtCreateSection
    • ntdll.dll!NtCreateSemaphore
    • ntdll.dll!NtCreateTimer2
    • ntdll.dll!NtCreateWaitCompletionPacket
    • ntdll.dll!NtCreateWorkerFactory
    • ntdll.dll!NtDelayExecution
    • ntdll.dll!NtDeleteValueKey
    • ntdll.dll!NtDeviceIoControlFile
    • ntdll.dll!NtDuplicateObject
    • ntdll.dll!NtDuplicateToken
    • ntdll.dll!NtEnumerateKey
    • ntdll.dll!NtEnumerateValueKey
    • ntdll.dll!NtFreeVirtualMemory
    • ntdll.dll!NtFsControlFile
    • ntdll.dll!NtLoadKeyEx
    • ntdll.dll!NtMapViewOfSection
    • ntdll.dll!NtNotifyChangeKey
    • ntdll.dll!NtOpenDirectoryObject
    • ntdll.dll!NtOpenEvent
    • ntdll.dll!NtOpenFile
    • ntdll.dll!NtOpenKey
    • ntdll.dll!NtOpenKeyEx
    • ntdll.dll!NtOpenProcessToken
    • ntdll.dll!NtOpenProcessTokenEx
    • ntdll.dll!NtOpenSection
    • ntdll.dll!NtOpenSemaphore
    • ntdll.dll!NtOpenSymbolicLinkObject
    • ntdll.dll!NtOpenThread
    • ntdll.dll!NtOpenThreadToken
    • ntdll.dll!NtOpenThreadTokenEx
    • ntdll.dll!NtProtectVirtualMemory
    • ntdll.dll!NtQueryAttributesFile
    • ntdll.dll!NtQueryDefaultLocale
    • ntdll.dll!NtQueryDirectoryFileEx
    • ntdll.dll!NtQueryInformationFile
    • ntdll.dll!NtQueryInformationProcess
    • ntdll.dll!NtQueryInformationThread
    • ntdll.dll!NtQueryInformationToken
    • ntdll.dll!NtQueryKey
    • ntdll.dll!NtQueryLicenseValue
    • ntdll.dll!NtQueryPerformanceCounter
    • ntdll.dll!NtQuerySecurityAttributesToken
    • ntdll.dll!NtQuerySecurityObject
    • ntdll.dll!NtQuerySymbolicLinkObject
    • ntdll.dll!NtQuerySystemInformation
    • ntdll.dll!NtQuerySystemInformationEx
    • ntdll.dll!NtQueryValueKey
    • ntdll.dll!NtQueryVirtualMemory
    • ntdll.dll!NtQueryWnfStateData
    • ntdll.dll!NtReadRequestData
    • ntdll.dll!NtReadVirtualMemory
    • ntdll.dll!NtReleaseMutant
    • ntdll.dll!NtReleaseSemaphore
    • ntdll.dll!NtReleaseWorkerFactoryWorker
    • ntdll.dll!NtRequestWaitReplyPort
    • ntdll.dll!NtSetEvent
    • ntdll.dll!NtSetInformationKey
    • ntdll.dll!NtSetInformationProcess
    • ntdll.dll!NtSetInformationThread
    • ntdll.dll!NtSetInformationVirtualMemory
    • ntdll.dll!NtSetInformationWorkerFactory
    • ntdll.dll!NtSubscribeWnfStateChange
    • ntdll.dll!NtTestAlert
    • ntdll.dll!NtTraceControl
    • ntdll.dll!NtTraceEvent
    • ntdll.dll!NtUnmapViewOfSection
    • ntdll.dll!NtUnmapViewOfSectionEx
    • ntdll.dll!NtWaitForAlertByThreadId
    • ntdll.dll!NtWaitForSingleObject
    • ntdll.dll!NtWaitForWorkViaWorkerFactory
    • ntdll.dll!NtWaitLowEventPair
    • ntdll.dll!NtWorkerFactoryWorkerReady
    • ntdll.dll!NtWriteFile
    • UNKNOWN
    User Data Access
    • GetUserObjectInformation
    Anti Debug
    • IsDebuggerPresent
    Process Manipulation Evasion
    • NtUnmapViewOfSection
    • ReadProcessMemory
    Process Shell Execute
    • CreateProcess
    Encryption Used
    • BCryptOpenAlgorithmProvider

    셸 명령 실행

    C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 836