Trojan.Expiro.I

Trojan.Expiro.I é um Trojan para Windows classificado com 8 de 10 em termos de perigo. Ele tem sido detectado há vários anos: a primeira detecção foi registrada em 08/10/2021 e a mais recente em 13/11/2026. O registro contém mais de 400.000 detecções, portanto, não se trata de uma ameaça rara ou de curta duração.

O que Trojan.Expiro.I faz

O Expiro.I instala-se furtivamente e funciona silenciosamente em segundo plano, de modo que o usuário pode não perceber nada de incomum. Uma vez instalado no sistema, ele pode conceder aos atacantes controle total sobre o computador. Também pode excluir arquivos secretamente e instalar outros malwares. Trojans desse tipo geralmente coletam informações do PC infectado, mas o texto da mensagem não fornece uma lista completa, portanto, considere isso um comportamento típico e não um detalhe confirmado.

O arquivo analisado é um executável nativo do Windows de 32 bits com um subsistema gráfico (GUI). Não é um programa .NET e não está compactado. O arquivo também importa uma verificação de depurador ( IsDebuggerPresent ), uma técnica frequentemente usada por malware para dificultar a análise.

As informações de versão do arquivo o apresentam como o componente "Relatório de Problemas do Windows" da Microsoft, e suas cadeias de assinatura mencionam a Microsoft. No entanto, o status da assinatura é relatado como Autoassinada . Um nome, descrição ou linha de direitos autorais que se assemelha a um componente do Windows não comprova que um arquivo seja genuíno. Malwares frequentemente copiam a aparência de arquivos de sistema confiáveis para evitar suspeitas.

Geralmente é assim que chega aos computadores.

De acordo com o feed, Expiro.I chega com mais frequência por meio de:

• Exploração de vulnerabilidades e falhas de segurança do sistema.
• Downloads de software de sites maliciosos.
• Anexos de e-mail de fontes não confiáveis, geralmente arquivos .exe, .pif, .avi e até mesmo .jpg.

Arquivos com extensões de formato multimídia são um disfarce comum. Um arquivo que parece ser uma imagem ou vídeo, mas se comporta como um programa, deve ser visto com suspeita.

Riscos para o usuário

• Perda de controle: um invasor com acesso total pode fazer praticamente tudo o que o usuário conectado pode fazer.
• Perda de dados: arquivos podem ser apagados sem aviso prévio.
• Mais infecções: o Trojan pode baixar e instalar outros malwares.
• Riscos à privacidade e à conta: como é típico em casos de Trojans, dados pessoais e senhas no computador podem ser expostos.

Sinais de infecção

Como a ameaça foi projetada para permanecer oculta, os sintomas visíveis podem ser poucos. Esses sinais de alerta são típicos de infecções por Trojan e não foram confirmados especificamente para o Expiro.I.

• Um processo do sistema que aparece em um local inesperado ou se comporta de maneira estranha, especialmente um que alega ser um componente do Windows.
• Lentidão inexplicável, travamentos ou alto consumo de recursos.
• Arquivos que desaparecem ou programas que você não instalou.
• Atividade de rede inesperada ou configurações de segurança que mudam sozinhas.

Como se manter protegido

1. Mantenha o Windows e seus softwares atualizados para que as vulnerabilidades conhecidas sejam corrigidas.
2. Tenha cuidado com anexos de e-mail de remetentes desconhecidos, especialmente arquivos .exe ou .pif, ou qualquer "imagem" ou "vídeo" que peça para ser executado.
3. Baixe softwares somente de fontes oficiais e evite sites desconhecidos.

Se suspeitar de uma infecção, desconecte o computador da internet, execute uma verificação completa com uma ferramenta antimalware atualizada e altere as senhas importantes em um dispositivo limpo. Se o sistema ainda apresentar comportamento estranho após essas etapas, considere a ajuda de um profissional ou uma reinstalação limpa do Windows.

Relatório de análise

Informação geral

Nome de família:	Trojan.Expiro.I
Status da assinatura:	Self Signed

Amostras conhecidas

i

Amostras conhecidas

Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.

MD5: c7191ac917ba703648750fc98c749c99 SHA1: 2a0fb4af8e099d342250d3fbd49134d9b3a9d4d2 SHA256: 4772FFAFCBB7B4EB5830AC608D029722104DF8851C0CCDEF58042835BEBA9326 Tamanho do Arquivo: 506.22 KB.506216 bytes

Atributos do executável portátil do Windows

i

Atributos do executável portátil do Windows

Esta seção lista os atributos de arquivo encontrados nas amostras da família. Esses atributos são extraídos da especificação Windows PE (Portable Executable) dos arquivos e de vários sinalizadores do sistema. Os atributos do Portable Executable fornecem aos pesquisadores de malware informações sobre a funcionalidade de um arquivo, detalhes do executável, plataforma e ambiente de execução.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Ícones de arquivo

i

Ícones de arquivo

Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.

Informações sobre a versão do Windows PE

i

Informações sobre a versão do Windows PE

Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.

Nome	Valor
Company Name	Microsoft Corporation
File Description	Windows Problem Reporting
File Version	10.0.19041.7811 (WinBuild.160101.0800)
Internal Name	WerFault
Legal Copyright	© Microsoft Corporation. All rights reserved.
Original Filename	WerFault.exe
Product Name	Microsoft® Windows® Operating System
Product Version	10.0.19041.7811

Assinaturas digitais

i

Assinaturas digitais

Esta seção lista as assinaturas digitais anexadas às amostras desta família. Ao analisar e verificar assinaturas digitais, é importante confirmar se a autoridade raiz da assinatura é uma entidade conhecida e confiável e se o status da assinatura é válido. Malwares frequentemente são assinados com assinaturas digitais "autoassinadas" não confiáveis (que podem ser facilmente criadas por um autor de malware sem qualquer verificação). Malwares também podem ser assinados por assinaturas legítimas com status inválido e por assinaturas de autoridades raiz questionáveis com nomes de "assinante" falsos ou enganosos.

Signatário	Raiz	Status
Microsoft Windows	Microsoft Windows Production PCA 2026 RSA2048-SHA256	Self Signed
Microsoft Windows	Windows Production PCA 2023	Self Signed

Características do arquivo

• HighEntropy
• ntdll
• x86

Informações do bloco

i

Informações do bloco

Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.

Total de blocos:	1,090
Blocos potencialmente maliciosos:	1
Blocos permitidos:	572
Blocos desconhecidos:	517

Mapa visual

0 - Bloco Provavelmente Seguro
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso

Utilização da API do Windows

i

Utilização da API do Windows

Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.

Categoria	API
Anti Debug	IsDebuggerPresent