Trojan.Penguish.KB
Cartão de pontuação de ameaças
EnigmaSoft Threat Scorecard
Os EnigmaSoft Threat Scorecards são relatórios de avaliação para diferentes ameaças de malware que foram coletadas e analisadas por nossa equipe de pesquisa. Os Scorecards de Ameaças da EnigmaSoft avaliam e classificam as ameaças usando várias métricas, incluindo fatores de risco reais e potenciais, tendências, frequência, prevalência e persistência. Os Scorecards de Ameaças da EnigmaSoft são atualizados regularmente com base em nossos dados e métricas de pesquisa e são úteis para uma ampla gama de usuários de computador, desde usuários finais que buscam soluções para remover malware de seus sistemas até especialistas em segurança que analisam ameaças.
Os Scorecards de Ameaças da EnigmaSoft exibem uma variedade de informações úteis, incluindo:
Classificação de Popularidade: A classificação de uma ameaça específica no Banco de Dados de Ameaças da EnigmaSoft.
Nível de gravidade: O nível de gravidade determinado de um objeto, representado numericamente, com base em nosso processo de modelagem de risco e pesquisa, conforme explicado em nossos Critérios de Avaliação de Ameaças .
Computadores infectados: O número de casos confirmados e suspeitos de uma determinada ameaça detectada em computadores infectados conforme relatado pelo SpyHunter.
Consulte também Critérios de Avaliação de Ameaças .
| Classificação de popularidade: | 23,648 |
| Nível da Ameaça: | 80 % (Alto) |
| Computadores infectados: | 11 |
| Visto pela Primeira Vez: | March 15, 2025 |
| Visto pela Última Vez: | November 4, 2026 |
| SO (s) Afetados: | Windows |
Trojan.Penguish.KB é um Trojan para Windows com nível de perigo 8 em 10. Como outros Trojans, ele se disfarça de algo inofensivo ou útil enquanto realiza seu trabalho real silenciosamente em segundo plano. Foi detectado pela primeira vez em 15/03/2025 e mais recentemente em 04/11/2026, portanto, ainda está ativo.
Índice
O que a ameaça faz
De acordo com os dados do feed, o Penguish.KB instala-se furtivamente e executa silenciosamente em segundo plano, realizando funções maliciosas. Ele pode dar aos atacantes controle total sobre um sistema infectado. A descrição também menciona que ele pode excluir arquivos de forma oculta. Trojans desse tipo normalmente também baixam outros malwares, mas o texto do feed é interrompido nesse ponto, portanto, considere isso um comportamento típico e não uma capacidade confirmada.
Uma das amostras analisadas continha informações de versão que se assemelhavam a um utilitário de conversão de joystick para teclado chamado JoyToKey. É comum que atacantes disfarcem malware como programas legítimos ou o incluam em pacotes com eles para parecerem confiáveis. O feed não informa como esse arquivo foi criado, portanto, a relação exata com o programa genuíno não está clara. A mesma amostra apresentou as seguintes características:
- É um executável GUI para Windows de 32 bits que não está compactado.
- Não possui assinatura digital.
- Ele usa funções do Windows relacionadas a ganchos e estado do teclado (SetWindowsHookEx e GetKeyState). Ferramentas legítimas de remapeamento de entrada também usam essas funções, mas elas também são típicas de programas que monitoram as teclas pressionadas.
- O programa modificou um arquivo de registro em uma pasta JoyToKey localizada dentro da pasta Documentos do usuário.
Como esses comportamentos se sobrepõem aos de softwares normais, nenhum deles isoladamente comprova que um arquivo é malicioso. A ausência de uma assinatura e a discrepância entre um nome aparentemente confiável e uma detecção sinalizada são motivos para cautela.
Geralmente é assim que chega aos computadores.
O feed lista estas rotas de distribuição:
- Exploração de vulnerabilidades e falhas de segurança do sistema.
- Downloads de software de sites maliciosos.
- Anexos de e-mail de fontes não confiáveis, geralmente com extensões .exe, .pif, .avi ou até mesmo .jpg.
Como este exemplo imita um programa utilitário, baixar ferramentas de sites não oficiais, espelhos ou cópias reempacotadas ou localizadas é um risco plausível. Este é um padrão típico de Trojans, e não um fato confirmado sobre este caso específico.
Riscos para o usuário
- Controle remoto do seu computador por um invasor.
- Perda ou eliminação de arquivos.
- Instalação de programas adicionais indesejados ou maliciosos, o que é típico de cavalos de Troia.
- Existe a possibilidade de exposição de dados digitados, como senhas, caso as funções relacionadas ao teclado sejam utilizadas indevidamente. Essa é uma possibilidade baseada nas funções utilizadas no exemplo, e não algo que o feed confirme.
Sinais de infecção
O feed não lista sintomas visíveis e o Trojan foi projetado para funcionar silenciosamente. Em geral, fique atento a:
- Um programa que você baixou está se comportando de maneira estranha ou criando arquivos inesperados.
- Lentidão inexplicável ou atividade em segundo plano.
- Arquivos que desaparecem sem explicação.
- Programas desconhecidos que aparecem sozinhos.
- Contas que mostram logins ou alterações que você não fez.
Como a infecção pode ser silenciosa, um sistema aparentemente limpo não a descarta.
Como se manter protegido
- Mantenha o Windows e todos os softwares instalados atualizados, pois as vulnerabilidades são um dos principais pontos de entrada.
Se você acha que executou um arquivo relacionado a essa detecção, desconecte-se da internet, faça uma varredura no computador e remova tudo o que for sinalizado. Em seguida, altere suas senhas em um dispositivo limpo e verifique suas contas importantes em busca de atividades suspeitas.
Relatório de análise
Informação geral
| Nome de família: | Trojan.Penguish.KB |
|---|---|
| Status da assinatura: | No Signature |
Amostras conhecidas
Amostras conhecidas
Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.|
MD5:
2984ad93d4c813379fa25fa2bc4e97dd
SHA1:
693c69f04e82bfa53ab323c06d7ec06ddf753c37
SHA256:
67CA30B9C3A42CE4A71CAEACE25F52BA349FA0FE32D8AEFC1D9F59F59C258888
Tamanho do Arquivo:
4.95 MB.4946288 bytes
|
Atributos do executável portátil do Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Show 2 more
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Ícones de arquivo
Ícones de arquivo
Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.
Informações sobre a versão do Windows PE
Informações sobre a versão do Windows PE
Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.| Nome | Valor |
|---|---|
| Comments | https://joytokey.net/ |
| Company Name | JTK software |
| File Description | JoyToKey - Convert Joystick to Keyboard/Mouse Input |
| File Version | 7.0.0.565 |
| Internal Name | JoyToKey |
| Legal Copyright | Copyright(C) JTK, 1999-2024 |
| Original Filename | JoyToKey |
| Product Name | 一羞汉化 |
| Product Version | 7.0 |
| Program I D | 一羞汉化 |
Características do arquivo
- HighEntropy
- VirtualQueryEx
- x86
Informações do bloco
Informações do bloco
Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.| Total de blocos: | 11,644 |
|---|---|
| Blocos potencialmente maliciosos: | 450 |
| Blocos permitidos: | 11,194 |
| Blocos desconhecidos: | 0 |
Mapa visual
... Dados truncados? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso
Famílias semelhantes
Famílias semelhantes
Esta seção lista outras famílias que compartilham semelhanças com esta família, com base na análise da EnigmaSoft. Muitas famílias de malware são criadas a partir dos mesmos kits de ferramentas e utilizam as mesmas técnicas de compactação e criptografia, mas ampliam sua funcionalidade de forma exclusiva. Famílias semelhantes também podem compartilhar código-fonte, atributos, ícones, subcomponentes, assinaturas digitais comprometidas e/ou inválidas e características de rede. Os pesquisadores exploram essas semelhanças para triar amostras de arquivos de forma rápida e eficaz e aprimorar as regras de detecção de malware.- Ousaban.C
- Penguish.KB
- Se7enkills.A
Arquivos modificados
Arquivos modificados
Esta seção lista os arquivos que foram criados, modificados, movidos e/ou excluídos por amostras desta família. A atividade do sistema de arquivos pode fornecer informações valiosas sobre como o malware funciona no sistema operacional.| Arquivo | Atributos |
|---|---|
| c:\users\user\documents\joytokey\joytokey.log | Generic Write,Read Attributes |
Modificações no Registro
Modificações no Registro
Esta seção lista as chaves e os valores do registro que foram criados, modificados e/ou excluídos por amostras desta família. A atividade do Registro do Windows pode fornecer informações valiosas sobre a funcionalidade do malware. Além disso, o malware frequentemente cria valores no registro para permitir que ele inicie automaticamente e persista indefinidamente após uma infecção inicial comprometer o sistema.| Chave::Valor | Dados | Nome da API |
|---|---|---|
| HKCU\system\currentcontrolset\control\mediaproperties\privateproperties\directinput\vid_0627&pid_0001\calibration\0::guid | P.�F����DEST | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::usesmapper | RegNtPreCreateKey | |
| HKCU\software\microsoft\directinput\mostrecentapplication::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::id | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_00049462886634D1DC004B7970 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::version | ࠀ | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::mostrecentstart | 릙ᜐ泣ǝ | RegNtPreCreateKey |
Utilização da API do Windows
Utilização da API do Windows
Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.| Categoria | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Keyboard Access |
|