Trojan.MSIL.Krypt.EEFG

Trojan.MSIL.Krypt.EEFG — это троян для Windows с уровнем опасности 8 из 10. Как и другие трояны, он притворяется безобидным или проникает незаметно для пользователя, а затем выполняет вредоносные действия в фоновом режиме. Часть его названия «MSIL» указывает на программу, созданную на платформе .NET. Он указан как связанный с другим обнаружением, MSIL.Krypt.GERE. Наши данные показывают, что он был впервые обнаружен 23.10.2026, а последний раз — 11.11.2026, на данный момент зарегистрировано 5 обнаружений.

Что делает эта угроза?

Согласно описанию, MSIL.Krypt.EEFG устанавливается незаметно и работает в фоновом режиме, выполняя вредоносные функции. После установки он может позволить злоумышленникам получить полный контроль над зараженной системой. Он также может тайно удалять файлы, а в описании перечислены и другие вредоносные действия.

Анализируемый файл представляет собой 32-битный исполняемый файл .NET с графическим интерфейсом пользователя. Он не упакован, не имеет цифровой подписи и демонстрирует высокую энтропию. Он также использует функции Windows, обычно используемые для защиты от отладки, а именно IsDebuggerPresent и NtQuerySystemInformation . Вредоносные программы часто используют такие проверки для обнаружения сред анализа и избегания исследователей. Он также вызывает функции, считывающие информацию, связанную с пользователем, например, локаль по умолчанию.

В информации о версии файла указано, что это "Royal Mint" от "Officina Regalis" с общим номером версии 1.0.0.0. Такие данные легко установить на любое значение, поэтому они ничего не говорят о легитимности файла. Вредоносные программы часто используют обычные на вид имена и описания, чтобы избежать подозрений.

В ходе поведенческого анализа было изучено 190 блоков. Из них 6 были помечены как потенциально вредоносные, 134 были внесены в белый список, а 50 остались неизвестными.

Как это обычно попадает на компьютеры

Согласно данным из ленты новостей, этот троян чаще всего распространяется следующими способами:

• Использование уязвимостей системы и недостатков безопасности.
• Загрузка программного обеспечения с вредоносных веб-сайтов.
• Вложения в электронные письма из ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi и даже .jpg.

Файлы с двойным смыслом или замаскированными расширениями, например, программы, замаскированные под изображения или видео, — это типичный трюк, чтобы заставить людей их открыть.

Риски для пользователя

При уровне опасности 8 данное обнаружение следует воспринимать серьезно. Исходя из описания, основные риски следующие:

• Удаленное управление вашим компьютером со стороны злоумышленника.
• Скрытое удаление файлов.
• Прочие нежелательные процессы незаметно протекают в фоновом режиме.

Трояны этого типа часто также служат для внедрения дополнительного вредоносного ПО или сбора личных данных. Это типично для данной категории и не подтверждено конкретно для этого образца, но это веская причина рассматривать любое заражение как потенциальную проблему конфиденциальности и безопасности учетной записи.

Признаки инфекции

Троянская программа разработана для бесшумной работы, поэтому явных симптомов может не быть. Типичные признаки такой угрозы включают:

• Неожиданные замедления, сбои или высокое потребление ресурсов.
• Файлы, которые пропадают или изменяются без объяснения причин.
• Незнакомые программы или процессы, которые вы не устанавливали.
• Необычная сетевая активность или самопроизвольные изменения настроек.
• Ваше программное обеспечение безопасности сообщает об обнаружении объекта с этим именем.

Поскольку эти симптомы могут иметь и другие причины, наиболее надежным способом проверки является полное обследование.

Как обеспечить свою безопасность

• Регулярно обновляйте Windows и все установленные программы, чтобы устранить известные уязвимости.
• Загружайте программное обеспечение только из официальных, проверенных источников и избегайте незнакомых веб-сайтов.
• Не открывайте вложения от неизвестных отправителей, особенно исполняемые файлы или файлы, тип которых не соответствует заявленному. Включите отображение полных расширений файлов в Windows.
• Будьте осторожны с неподписанными программами, которые вы не планировали запускать.
• Используйте надежный и современный инструмент обеспечения безопасности и регулярно проводите полное сканирование.
• Сохраняйте резервные копии важных файлов на отдельном диске или в службе, которая не всегда подключена к сети.

Если вы подозреваете заражение, отключите компьютер от интернета, выполните полное сканирование системы и удалите все обнаруженные вредоносные программы. Затем смените важные пароли на чистом устройстве. Если компьютер по-прежнему ведет себя странно, обратитесь за профессиональной помощью.

Аналитический отчет

Главная Информация

Фамилия:	Trojan.MSIL.Krypt.EEFG
Статус подписи:	No Signature

Известные образцы

i

Известные образцы

В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.

MD5: ff8f929487b17cdd601abc654d5b9761 ША1: afaf66ede550e9b176dd3a82bab7602cb2c52c6c SHA256: 698C73A3A1E09C027B51407F93662FFE6DB4EC5B4F977153E4CD2CCC6FBEB139 Размер файла: 974.34 KB, 974336 байт

Атрибуты исполняемого файла Windows Portable

i

Атрибуты исполняемого файла Windows Portable

В этом разделе перечислены атрибуты файлов, обнаруженные в образцах семейства. Эти атрибуты извлекаются из спецификации исполняемых файлов Windows PE (Portable Executable) и различных системных флагов. Атрибуты исполняемых файлов позволяют исследователям вредоносного ПО получить представление о функциональности файла, деталях исполняемого файла, платформе и среде выполнения.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Значки файлов

i

Значки файлов

В этом разделе отображаются значки, найденные в образцах вредоносных программ. Вредоносные программы часто копируют значки, обычно ассоциируемые с легитимным программным обеспечением, чтобы ввести пользователей в заблуждение и заставить их поверить в безопасность вредоносной программы.

Информация о версии Windows PE

i

Информация о версии Windows PE

В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.

имя	Ценность
Assembly Version	1.0.0.0
Company Name	Officina Regalis
File Description	Royal Mint
File Version	1.0.0.0
Internal Name	Lxdy.exe
Legal Copyright	Copyright 2026
Original Filename	Lxdy.exe
Product Name	Royal Mint
Product Version	1.0.0.0

Характеристики файла

• .NET
• HighEntropy
• x86

Информация о блоке

i

Информация о блоке

В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.

Всего блоков:	190
Потенциально вредоносные блоки:	6
Блоки, внесенные в белый список:	134
Неизвестные блоки:	50

Визуальная карта

0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Похожие семьи

i

Похожие семьи

В этом разделе перечислены другие семейства вредоносных программ, имеющие сходства с данным семейством, на основе анализа EnigmaSoft. Многие семейства вредоносных программ создаются с использованием одних и тех же наборов инструментов и применяют одни и те же методы упаковки и шифрования, но обладают уникальными расширенными функциональными возможностями. Схожие семейства могут также иметь общий исходный код, атрибуты, значки, субкомпоненты, скомпрометированные и/или недействительные цифровые подписи и сетевые характеристики. Исследователи используют эти сходства для быстрой и эффективной сортировки образцов файлов и расширения правил обнаружения вредоносных программ.

• MSIL.Krypt.GERE

Использование API Windows

i

Использование API Windows

В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.

Категория	API
User Data Access	GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	IsDebuggerPresent NtQuerySystemInformation