База данных угроз Трояны Trojan.Expiro.I

Trojan.Expiro.I

К CagedTech году в Трояны году
Опубликовано:

Карта показателей угрозы

Рейтинг популярности: 278
Уровень угрозы: 80 % (Высокая)
Зараженные компьютеры: 400,030
Первый раз: October 8, 2021
Последний визит: November 13, 2026
ОС(а) Затронутые: Windows

Trojan.Expiro.I — это троян для Windows, получивший оценку опасности 8 из 10. Он встречается уже несколько лет: первое обнаружение было зафиксировано 08.10.2021, а последнее — 13.11.2026. В ленте новостей зарегистрировано более 400 000 обнаружений, поэтому это не редкая и не кратковременная угроза.

Что делает Trojan.Expiro.I?

Expiro.I устанавливается незаметно и работает в фоновом режиме, поэтому пользователь может ничего необычного не заметить. После попадания в систему он может предоставить злоумышленникам полный контроль над компьютером. Он также может скрытно удалять файлы и устанавливать дополнительное вредоносное ПО. Трояны такого рода обычно также собирают информацию с зараженного ПК, но в тексте ленты нет полного списка, поэтому рассматривайте это как типичное поведение, а не как подтвержденную информацию.

Анализируемый файл представляет собой 32-битный исполняемый файл Windows с графической подсистемой (GUI). Это не программа .NET и не упакована. Файл также содержит проверку отладчика ( IsDebuggerPresent ), метод, часто используемый вредоносными программами для затруднения анализа.

В информации о версии файла указано, что он является компонентом Microsoft "Windows Problem Reporting", а в цепочке подписей упоминается Microsoft. Однако статус подписи указан как "Самоподписанный ". Имя, описание или строка об авторских правах, которые выглядят как компонент Windows, не доказывают подлинность файла. Вредоносные программы часто копируют внешний вид доверенных системных файлов, чтобы избежать подозрений.

Как это обычно попадает на компьютеры

Согласно данным, Expiro.I чаще всего появляется следующим образом:

  • Использование уязвимостей системы и недостатков безопасности.
  • Загрузка программного обеспечения с вредоносных веб-сайтов.
  • Вложения в электронные письма из ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi и даже .jpg.

Файлы с расширениями, похожими на медиафайлы, — распространённый способ маскировки. Файл, который выглядит как изображение или видео, но ведёт себя как программа, заслуживает подозрения.

Риски для пользователя

  • Потеря контроля: злоумышленник с полным доступом может делать практически все, что может делать авторизованный пользователь.
  • Потеря данных: файлы могут быть удалены без предупреждения.
  • Дополнительные заражения: троянская программа может загрузить и установить другое вредоносное ПО.
  • Риски для конфиденциальности и учетной записи: как это типично для троянских программ, личные данные и пароли на компьютере могут быть раскрыты.

Признаки инфекции

Поскольку угроза разработана таким образом, чтобы оставаться скрытой, видимых симптомов может быть немного. Эти предупреждающие признаки типичны для троянских инфекций и не подтверждены конкретно для Expiro.I:

  • Системный процесс, который появляется в неожиданном месте или ведёт себя странно, особенно тот, который выдаёт себя за компонент Windows.
  • Необъяснимые замедления, сбои или высокое потребление ресурсов.
  • Пропавшие файлы или программы, которые вы не устанавливали.
  • Неожиданная сетевая активность или самопроизвольные изменения настроек безопасности.

Как обеспечить свою безопасность

  1. Регулярно обновляйте Windows и программное обеспечение, чтобы устранять известные уязвимости.
  2. Будьте осторожны с вложениями в электронные письма от неизвестных отправителей, особенно с файлами .exe или .pif, а также с любыми "изображениями" или "видео", которые запрашивают разрешение на запуск.
  3. Загружайте программное обеспечение только из официальных источников и избегайте незнакомых веб-сайтов.
  • Используйте надежное, современное решение для обеспечения безопасности с защитой в режиме реального времени и регулярно проводите полное сканирование системы.
  • Не доверяйте файлу только из-за его названия или описания. Проверьте, где он хранится и действительна ли его цифровая подпись.
  • Сохраняйте резервные копии важных файлов на отключенном от сети диске или на отдельном носителе.

    • Если вы подозреваете заражение, отключите компьютер от интернета, выполните полное сканирование с помощью обновленной антивирусной программы и смените важные пароли на чистом устройстве. Если после этого система по-прежнему ведет себя странно, обратитесь за помощью к специалисту или выполните чистую переустановку Windows.

    Аналитический отчет

    Главная Информация

    Фамилия: Trojan.Expiro.I
    Статус подписи: Self Signed

    Известные образцы

    MD5: c7191ac917ba703648750fc98c749c99
    ША1: 2a0fb4af8e099d342250d3fbd49134d9b3a9d4d2
    SHA256: 4772FFAFCBB7B4EB5830AC608D029722104DF8851C0CCDEF58042835BEBA9326
    Размер файла: 506.22 KB, 506216 байт

    Атрибуты исполняемого файла Windows Portable

    • File doesn't have "Rich" header
    • File doesn't have exports table
    • File is 32-bit executable
    • File is either console or GUI application
    • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
    • File is Native application (NOT .NET application)
    • File is not packed
    • IMAGE_FILE_DLL is not set inside PE header (Executable)
    • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

    Значки файлов

    Информация о версии Windows PE

    имя Ценность
    Company Name Microsoft Corporation
    File Description Windows Problem Reporting
    File Version 10.0.19041.7811 (WinBuild.160101.0800)
    Internal Name WerFault
    Legal Copyright © Microsoft Corporation. All rights reserved.
    Original Filename WerFault.exe
    Product Name Microsoft® Windows® Operating System
    Product Version 10.0.19041.7811

    Цифровые подписи

    Подписавший Корень Статус
    Microsoft Windows Microsoft Windows Production PCA 2026 RSA2048-SHA256 Self Signed
    Microsoft Windows Windows Production PCA 2023 Self Signed

    Характеристики файла

    • HighEntropy
    • ntdll
    • x86

    Информация о блоке

    Всего блоков: 1,090
    Потенциально вредоносные блоки: 1
    Блоки, внесенные в белый список: 572
    Неизвестные блоки: 517

    Визуальная карта

    0 - Вероятный безопасный блок
    ? - Неизвестный блок
    x - Потенциально вредоносная блокировка

    Использование API Windows

    Категория API
    Anti Debug
    • IsDebuggerPresent