База данных угроз Трояны Trojan.MSIL.Krypt.ACAO

Trojan.MSIL.Krypt.ACAO

К CagedTech году в Трояны году
Опубликовано:
Перевести на:

Карта показателей угрозы

Рейтинг популярности: 22,375
Уровень угрозы: 80 % (Высокая)
Зараженные компьютеры: 5
Первый раз: February 23, 2023
Последний визит: October 17, 2026
ОС(а) Затронутые: Windows

Trojan.MSIL.Krypt.ACAO — это троянская программа для Windows, созданная на основе платформы Microsoft .NET Framework, предназначенная для незаметного проникновения в системы и выполнения вредоносных инструкций без ведома пользователя. Уровень опасности этой угрозы составляет 8 из 10. Она активна с начала 2023 года и продолжает обнаруживаться в системах, представляя собой постоянную проблему для пользователей Windows.

Что делает Trojan.MSIL.Krypt.ACAO

После активации в системе Trojan.MSIL.Krypt.ACAO работает незаметно в фоновом режиме, избегая очевидных признаков, которые могли бы предупредить пользователя о его присутствии. Он скомпилирован как 64-битный исполняемый файл .NET и не имеет цифровой подписи, что означает отсутствие проверки подлинности, которую обычно предоставляют легитимные издатели программного обеспечения. Было замечено, что троян создает и изменяет файлы в скрытых папках данных приложений в профиле пользователя, включая файлы конфигурации и временные файлы, что предполагает его постоянное присутствие и возможное хранение настроек или данных, связанных с его работой.

Этот троян использует системные функции, связанные с шифрованием, что может указывать на его предназначение для защиты собственного кода, коммуникаций или украденных данных от легкого анализа. Он также проверяет наличие инструментов отладки — метода, часто используемого вредоносными программами для обнаружения того, что их изучают специалисты по безопасности, и для уклонения от анализа. Кроме того, Trojan.MSIL.Krypt.ACAO может предоставлять злоумышленникам удаленный доступ к зараженной машине, потенциально позволяя им удалять файлы, устанавливать дополнительные вредоносные программы или манипулировать системой другими опасными способами.

Как это обычно попадает на компьютеры

Как и многие трояны своего семейства, Trojan.MSIL.Krypt.ACAO обычно распространяется обманным путем, а не используя какую-либо конкретную уязвимость. Распространенные методы заражения включают загрузку программного обеспечения с ненадежных или вредоносных веб-сайтов, открытие вложений в электронных письмах от неизвестных или непроверенных отправителей, а также замаскированные файлы, которые могут выглядеть как исполняемые файлы, изображения или другие распространенные форматы, чтобы обманом заставить пользователей открыть их. Он также может использовать устаревшее программное обеспечение или неустраненные уязвимости безопасности в системе для установки без очевидного взаимодействия с пользователем.

Риски для пользователя

Вирусные заражения, использующие этот тип трояна, несут в себе серьезные риски. Поскольку он может работать незаметно и потенциально предоставлять злоумышленникам контроль над зараженным компьютером, пользователи могут столкнуться с кражей данных, несанкционированным удалением файлов, установкой дополнительного вредоносного ПО или полной компрометацией безопасности системы. Личная информация, учетные данные для входа в систему и другие конфиденциальные данные, хранящиеся или вводимые на зараженном компьютере, могут быть раскрыты киберпреступникам.

Признаки инфекции

Поскольку трояны этого семейства разработаны для скрытой работы, видимые симптомы часто минимальны или отсутствуют. Однако пользователи могут заметить необычное замедление работы системы, появление неожиданных файлов в папках данных приложений, незнакомые процессы, работающие в фоновом режиме, или необъяснимые изменения системных настроек. Подозрительная сетевая активность, даже когда система в остальном неактивна, также может быть предупреждающим знаком.

Как обеспечить свою безопасность

Чтобы снизить риск заражения, избегайте загрузки программного обеспечения с неофициальных или сомнительных веб-сайтов и никогда не открывайте вложения электронной почты от неизвестных или неожиданных отправителей. Регулярно обновляйте операционную систему Windows и все установленные приложения, устанавливая последние исправления безопасности для устранения известных уязвимостей. Будьте осторожны с любыми файлами, которые приходят неожиданно, даже если они кажутся распространенными форматами, такими как изображение или документ, поскольку замаскированные вредоносные файлы — распространенная тактика заражения. Регулярное резервное копирование важных данных и использование надежного, актуального программного обеспечения для обеспечения безопасности также помогут обнаружить и удалить подобные угрозы до того, как они причинят серьезный вред.

Аналитический отчет

Главная Информация

Фамилия: Trojan.MSIL.Krypt.ACAO
Статус подписи: No Signature

Известные образцы

MD5: a07e8390d2164892db9a5639d0557c38
ША1: a60a0101f81e2063e6d44ab05f7fd713b4b13e2a
SHA256: 37B8700DA35755233CEFC6C4C607AF0B06472CA12B4E6B5ED42A00200A2E18A2
Размер файла: 922.62 KB, 922624 байт

Атрибуты исполняемого файла Windows Portable

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have relocations information
  • File doesn't have security information
  • File is .NET application
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
Показать больше
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Значки файлов

Информация о версии Windows PE

имя Ценность
Assembly Version 2.0.3.0
File Description PT
File Version 2.0.3.0
Internal Name PT.exe
Legal Copyright Copyright © 2025
Original Filename PT.exe
Product Name PT
Product Version 2.0.3.0

Характеристики файла

  • .NET
  • HighEntropy
  • x64

Информация о блоке

Всего блоков: 666
Потенциально вредоносные блоки: 17
Блоки, внесенные в белый список: 277
Неизвестные блоки: 372

Визуальная карта

0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 ? ? 0 0 0 0 0 0 0 ? 0 ? ? ? 0 ? 0 0 0 0 0 0 0 ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? 0 0 x ? ? ? 0 0 ? 0 0 ? ? ? ? 0 ? ? 0 x 0 x 0 ? ? 0 0 ? ? ? ? 0 0 0 ? ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? ? ? x ? 0 0 ? ? ? 0 0 0 0 ? 0 ? ? ? ? ? 0 ? ? ? ? ? ? ? ? 0 ? ? ? ? 0 0 ? ? ? ? 0 0 ? ? ? 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? 0 0 x ? ? ? 0 ? ? 0 0 ? ? ? ? ? ? ? ? ? ? ? 0 0 ? 0 0 ? ? ? ? ? ? 0 ? 0 0 0 ? ? ? 0 0 ? ? 0 0 0 0 0 0 ? ? ? ? ? ? ? 0 ? 0 ? ? ? ? 0 0 ? 0 ? ? ? x x ? ? ? ? 0 ? 0 ? 0 x 0 0 ? ? ? ? ? ? ? ? ? ? ? ? 0 0 0 x 0 0 0 ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? 0 0 ? ? 0 0 0 0 ? 0 0 0 ? ? 0 ? 0 0 0 ? ? ? ? ? 0 ? 0 0 0 0 ? ? ? 0 0 0 0 0 0 ? 0 ? ? 0 0 ? 0 ? ? 0 ? x 0 0 0 0 ? ? ? ? ? ? 0 ? 0 ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? ? ? ? ? ? 0 ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? 0 ? ? ? ? ? 0 0 x x ? ? x ? ? ? ? 0 0 0 ? ? 0 ? ? ? 0 ? ? 0 ? 0 0 ? 0 ? ? ? ? ? 0 ? ? ? ? 0 ? ? ? ? ? 0 ? x x ? ? ? ? ? ? 0 ? ? ? 0 0 ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? ? ? 0 0 ? ? 0 0 0 0 0 0 0 0 0 ? ? 0 0 ? 0 ? 0 ? 0 0 0 0 0 ? 0 0 0 0 0 0 ? 0 0 0 ? 0 0 ? ? ? ? ? ? ? ? ? 0 0 0 ? ? ? ? ? ? 0 ? 0 ? ? ? ? x 0 0 0 0 0 0 ? 0 0 ? 0 0 ? 0 0 0 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 0 ? 0 0 ? ? ? x ? ? ? ? ? ? ?
0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Файлы изменены

Файл Атрибуты
c:\users\user\appdata\local\loginapp\a60a0101f81e2063e6d44ab05_url_ozjmkllw3upp10tpnjmsewmiqq1bktfa\2.0.3.0\4u3f3rfx.newcfg Generic Write,Read Attributes
c:\users\user\appdata\local\loginapp\a60a0101f81e2063e6d44ab05_url_ozjmkllw3upp10tpnjmsewmiqq1bktfa\2.0.3.0\4u3f3rfx.tmp Generic Write,Read Attributes
c:\users\user\appdata\local\loginapp\a60a0101f81e2063e6d44ab05_url_ozjmkllw3upp10tpnjmsewmiqq1bktfa\2.0.3.0\user.config Synchronize,Write Data

Изменения в реестре

Ключ::Значение Данные Название API
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect RegNtPreCreateKey

Использование API Windows

Категория API
Syscall Use
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcConnectPortEx
  • ntdll.dll!NtAlpcQueryInformation
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
Показать больше
  • ntdll.dll!NtCreateIoCompletion
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreatePrivateNamespace
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtCreateTimer2
  • ntdll.dll!NtCreateWaitCompletionPacket
  • ntdll.dll!NtCreateWorkerFactory
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtEnumerateKey
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtFsControlFile
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSemaphore
  • ntdll.dll!NtOpenSymbolicLinkObject
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDefaultLocale
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryEvent
  • ntdll.dll!NtQueryFullAttributesFile
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationJobObject
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseSemaphore
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetSecurityObject
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtUnmapViewOfSectionEx
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWaitLowEventPair
  • ntdll.dll!NtWorkerFactoryWorkerReady
  • ntdll.dll!NtWriteFile
  • ntdll.dll!NtYieldExecution
  • UNKNOWN
User Data Access
  • GetComputerNameEx
  • GetUserDefaultLocaleName
  • GetUserObjectInformation
Encryption Used
  • BCryptOpenAlgorithmProvider
Anti Debug
  • IsDebuggerPresent