Trojan.MSIL.Krypt.TDW

Trojan.MSIL.Krypt.TDW é um Trojan que tem como alvo computadores Windows. Ele é classificado com 8 de 10 em termos de perigo, o que o coloca na faixa de alto risco. A sigla "MSIL" no nome indica um programa desenvolvido na plataforma .NET. A primeira detecção ocorreu em 08/08/2026 e a mais recente em 27/08/2026. O feed registra apenas uma detecção até o momento, portanto, há poucos dados sobre a extensão de sua disseminação.

O que a ameaça faz

Assim como outros Trojans, ele foi projetado para funcionar silenciosamente em segundo plano e executar ações maliciosas sem que o usuário perceba. De acordo com a publicação, ele pode dar aos atacantes controle total de um sistema infectado e pode excluir arquivos secretamente, entre outras funções prejudiciais.

A amostra analisada apresenta diversas características técnicas:

• Trata-se de um executável GUI .NET de 32 bits que não está compactado e não possui assinatura digital.
• As informações da versão usam o nome interno e original "Aventa2xUninstaller.exe", o que faz com que pareça um utilitário de desinstalação. Trojans costumam usar nomes aparentemente inofensivos como esse, mas o feed não menciona que o nome é um disfarce deliberado.
• Ele usa uma verificação anti-depuração (IsDebuggerPresent), que normalmente é usada para dificultar a análise.
• Ele chama funções relacionadas à manipulação de processos, incluindo NtUnmapViewOfSection e ReadProcessMemory. Essa combinação é comumente associada à adulteração de outros processos, embora o feed não confirme o que foi feito neste caso.
• Ele utiliza uma função de criptografia do Windows (BCryptOpenAlgorithmProvider) e cria um novo processo. Durante a análise, ele executou um componente de relatório de erros do .NET Framework (dw20.exe).
• A ação afetou arquivos de transação do registro do Windows no perfil do usuário, o arquivo Amcache e um pipe nomeado.

Dos 208 blocos de atividade observados, 8 foram sinalizados como potencialmente maliciosos, 90 foram adicionados à lista de permissões e 110 permaneceram desconhecidos.

Geralmente é assim que chega aos computadores.

O feed diz que este Trojan se instala furtivamente. As rotas usuais são:

• Exploração de vulnerabilidades e falhas de segurança do sistema.
• Downloads de software de sites maliciosos.
• Anexos de e-mail de fontes não confiáveis, geralmente arquivos .exe, .pif, .avi e até mesmo .jpg.

Arquivos que se fazem passar por fotos ou vídeos são um truque típico, já que os usuários tendem a abri-los sem suspeitar de nada.

Riscos para o usuário

• Os atacantes remotos podem assumir o controle total do computador.
• Os arquivos podem ser apagados sem o seu conhecimento.
• Outros softwares maliciosos podem ser instalados. Isso é típico de Trojans, embora o trecho do feed esteja cortado antes de listar todas as funções.
• Dados pessoais e contas no computador podem ser expostos. Este é um risco típico de Trojans com capacidade de controle remoto, e não um comportamento confirmado neste exemplo.

Sinais de infecção

Este cavalo de Troia foi projetado para permanecer oculto, portanto, pode não apresentar sintomas óbvios. Os sinais de alerta típicos para esse tipo de ameaça incluem:

• Lentidão inesperada ou uso excessivo de recursos devido a processos desconhecidos.
• Arquivos que desaparecem ou são alterados sem explicação.
• Programas desconhecidos ou janelas de relatório de erros que aparecem sem motivo aparente.
• Uma ferramenta de segurança que o alerta sobre a detecção do nome Trojan.MSIL.Krypt.TDW.
• Um arquivo com nome semelhante a um desinstalador que você nunca baixou ou executou de propósito.

Como se manter protegido

• Não abra anexos de remetentes desconhecidos, especialmente arquivos .exe ou .pif e arquivos de mídia que apresentem comportamento estranho.
• Baixe softwares somente de fontes oficiais e confiáveis e evite instaladores crackeados ou não oficiais.
• Mantenha o Windows e todos os seus aplicativos atualizados para eliminar as vulnerabilidades exploradas por Trojans.
• Utilize uma solução de segurança confiável e atualizada com proteção em tempo real e execute verificações completas regularmente.
• Mantenha cópias de segurança de arquivos importantes em um dispositivo ou serviço que não esteja permanentemente conectado ao seu computador.

Se suspeitar de uma infecção, desconecte o computador da internet, execute uma verificação completa e remova tudo o que for detectado. Em seguida, altere suas senhas importantes em um dispositivo limpo, pois um Trojan com acesso remoto pode tê-las exposto.

Relatório de análise

Informação geral

Nome de família:	Trojan.MSIL.Krypt.TDW
Status da assinatura:	No Signature

Amostras conhecidas

i

Amostras conhecidas

Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.

MD5: 404f46839df957a1ea63b5d9ed0117c0 SHA1: 305135a9d1716386415a1b3571f76b2089fb81cf SHA256: 9D5B1BAACF327FA304C696E80F2FB04C33DD96E484DFDC729C4B387ACBD86354 Tamanho do Arquivo: 466.43 KB.466432 bytes

Atributos do executável portátil do Windows

i

Atributos do executável portátil do Windows

Esta seção lista os atributos de arquivo encontrados nas amostras da família. Esses atributos são extraídos da especificação Windows PE (Portable Executable) dos arquivos e de vários sinalizadores do sistema. Os atributos do Portable Executable fornecem aos pesquisadores de malware informações sobre a funcionalidade de um arquivo, detalhes do executável, plataforma e ambiente de execução.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Ícones de arquivo

i

Ícones de arquivo

Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.

























Informações sobre a versão do Windows PE

i

Informações sobre a versão do Windows PE

Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.

Nome	Valor
Assembly Version	1.0.3541.16625
File Version	1.0.3541.16625
Internal Name	Aventa2xUninstaller.exe
Original Filename	Aventa2xUninstaller.exe
Product Version	1.0.3541.16625

Características do arquivo

• .NET
• HighEntropy
• Installer Version
• x86

Informações do bloco

i

Informações do bloco

Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.

Total de blocos:	208
Blocos potencialmente maliciosos:	8
Blocos permitidos:	90
Blocos desconhecidos:	110

Mapa visual

0 - Bloco Provavelmente Seguro
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso

Arquivos modificados

i

Arquivos modificados

Esta seção lista os arquivos que foram criados, modificados, movidos e/ou excluídos por amostras desta família. A atividade do sistema de arquivos pode fornecer informações valiosas sobre como o malware funciona no sistema operacional.

Arquivo	Atributos
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

Modificações no Registro

i

Modificações no Registro

Esta seção lista as chaves e os valores do registro que foram criados, modificados e/ou excluídos por amostras desta família. A atividade do Registro do Windows pode fornecer informações valiosas sobre a funcionalidade do malware. Além disso, o malware frequentemente cria valores no registro para permitir que ele inicie automaticamente e persista indefinidamente após uma infecção inicial comprometer o sistema.

Chave::Valor	Dados	Nome da API
HKLM\system\software\microsoft\tip\aggregateresults::data	ⳛ˼ 耀塉»ⳛ˼ 耀塉 隞̃́耀꧌ڌԹ	RegNtPreCreateKey

Utilização da API do Windows

i

Utilização da API do Windows

Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.

Categoria	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort Show 78 more ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDelayExecution ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtFsControlFile ntdll.dll!NtLoadKeyEx ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenSymbolicLinkObject ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySymbolicLinkObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtTraceEvent ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess
Encryption Used	BCryptOpenAlgorithmProvider

Execução de comandos do shell

i

Execução de comandos do shell

Esta seção lista os comandos do shell do Windows executados pelas amostras desta família. Os comandos do shell do Windows são frequentemente explorados por malware para fins maliciosos e podem ser usados para elevar privilégios de segurança, baixar e executar outros malwares, explorar vulnerabilidades, coletar e exfiltrar dados e ocultar atividades maliciosas.

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 836