Trojan.MSIL.Krypt.TDW

Trojan.MSIL.Krypt.TDW — это троянская программа, нацеленная на компьютеры под управлением Windows. Её уровень опасности оценивается в 8 из 10, что относит её к категории высокого риска. Часть названия "MSIL" указывает на программу, созданную на платформе .NET. Первое обнаружение было зафиксировано 08.08.2026, а последнее — 27.08.2026. В ленте пока зафиксировано только одно обнаружение, поэтому данных о масштабах распространения мало.

Что делает эта угроза?

Как и другие трояны, он разработан для незаметной работы в фоновом режиме и выполнения вредоносных действий без ведома пользователя. Согласно сообщениям, он может предоставить злоумышленникам полный контроль над зараженной системой и, помимо прочих вредоносных функций, скрытно удалять файлы.

Анализируемый образец демонстрирует ряд технических характеристик:

• Это 32-битный исполняемый файл графического интерфейса пользователя (GUI) для .NET, который не упакован и не имеет цифровой подписи.
• В информации о версии используется внутреннее и оригинальное имя "Aventa2xUninstaller.exe", что создает впечатление, будто это утилита для удаления программ. Трояны часто используют подобные безобидные на вид имена, но в сообщении не говорится, что это преднамеренная маскировка.
• В нём используется проверка на отсутствие отладки (IsDebuggerPresent), которая обычно применяется для усложнения анализа.
• Он вызывает функции, связанные с манипулированием процессами, включая NtUnmapViewOfSection и ReadProcessMemory. Эта комбинация обычно ассоциируется с вмешательством в другие процессы, хотя в ленте новостей не подтверждается, что именно было сделано в данном случае.
• Он использует криптографическую функцию Windows (BCryptOpenAlgorithmProvider) и создает новый процесс. В процессе анализа он запустил компонент для отправки отчетов об ошибках .NET Framework (dw20.exe).
• Это затронуло файлы транзакций реестра Windows в профиле пользователя, файл Amcache и именованный канал.

Из 208 зафиксированных блоков активности 8 были помечены как потенциально вредоносные, 90 были внесены в белый список, а 110 остались неизвестными.

Как это обычно попадает на компьютеры

В сообщении говорится, что этот троян устанавливается незаметно. Обычно он распространяется следующим образом:

• Использование уязвимостей системы и недостатков безопасности.
• Загрузка программного обеспечения с вредоносных веб-сайтов.
• Вложения в электронные письма из ненадежных источников, обычно это файлы с расширениями .exe, .pif, .avi и даже .jpg.

Файлы, выдающие себя за изображения или видео, — это типичный трюк, поскольку пользователи, как правило, открывают их, не подозревая ничего подозрительного.

Риски для пользователя

• Удаленные злоумышленники могут получить полный контроль над компьютером.
• Файлы могут быть удалены без вашего ведома.
• Может быть установлено дополнительное вредоносное программное обеспечение. Это типично для троянских программ, хотя фрагмент текста обрывается до перечисления всех функций.
• Личные данные и учетные записи на компьютере могут быть скомпрометированы. Это типичный риск, связанный с троянами, обладающими возможностью удаленного управления, а не подтвержденное поведение данного образца.

Признаки инфекции

Этот троян разработан таким образом, чтобы оставаться незаметным, поэтому явных симптомов может не быть. Типичные признаки такой угрозы включают:

• Неожиданные замедления или высокое потребление ресурсов из-за незнакомых процессов.
• Файлы, которые пропадают или изменяются без объяснения причин.
• Неизвестные программы или окна с сообщениями об ошибках, появляющиеся без видимой причины.
• Инструмент безопасности, оповещающий об обнаружении объекта Trojan.MSIL.Krypt.TDW.
• Файл с названием, похожим на деинсталлятор, который вы никогда не скачивали и не запускали намеренно.

Как обеспечить свою безопасность

• Не открывайте вложения от неизвестных отправителей, особенно файлы .exe или .pif, а также медиафайлы, которые ведут себя некорректно.
• Загружайте программное обеспечение только из официальных, проверенных источников и избегайте взломанных или неофициальных установщиков.
• Регулярно обновляйте Windows и все приложения, чтобы устранить уязвимости, которые используют трояны.
• Используйте надежное, современное решение для обеспечения безопасности с защитой в режиме реального времени и регулярно проводите полное сканирование.
• Создавайте резервные копии важных файлов на устройстве или в сервисе, который не подключен постоянно к вашему компьютеру.

Если вы подозреваете заражение, отключите компьютер от интернета, выполните полное сканирование и удалите все обнаруженные вредоносные программы. После этого смените важные пароли на чистом устройстве, поскольку троянская программа с удаленным доступом могла их скомпрометировать.

Аналитический отчет

Главная Информация

Фамилия:	Trojan.MSIL.Krypt.TDW
Статус подписи:	No Signature

Известные образцы

i

Известные образцы

В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.

MD5: 404f46839df957a1ea63b5d9ed0117c0 ША1: 305135a9d1716386415a1b3571f76b2089fb81cf SHA256: 9D5B1BAACF327FA304C696E80F2FB04C33DD96E484DFDC729C4B387ACBD86354 Размер файла: 466.43 KB, 466432 байт

Атрибуты исполняемого файла Windows Portable

i

Атрибуты исполняемого файла Windows Portable

В этом разделе перечислены атрибуты файлов, обнаруженные в образцах семейства. Эти атрибуты извлекаются из спецификации исполняемых файлов Windows PE (Portable Executable) и различных системных флагов. Атрибуты исполняемых файлов позволяют исследователям вредоносного ПО получить представление о функциональности файла, деталях исполняемого файла, платформе и среде выполнения.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Значки файлов

i

Значки файлов

В этом разделе отображаются значки, найденные в образцах вредоносных программ. Вредоносные программы часто копируют значки, обычно ассоциируемые с легитимным программным обеспечением, чтобы ввести пользователей в заблуждение и заставить их поверить в безопасность вредоносной программы.

























Информация о версии Windows PE

i

Информация о версии Windows PE

В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.

имя	Ценность
Assembly Version	1.0.3541.16625
File Version	1.0.3541.16625
Internal Name	Aventa2xUninstaller.exe
Original Filename	Aventa2xUninstaller.exe
Product Version	1.0.3541.16625

Характеристики файла

• .NET
• HighEntropy
• Installer Version
• x86

Информация о блоке

i

Информация о блоке

В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.

Всего блоков:	208
Потенциально вредоносные блоки:	8
Блоки, внесенные в белый список:	90
Неизвестные блоки:	110

Визуальная карта

0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Файлы изменены

i

Файлы изменены

В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.

Файл	Атрибуты
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

Изменения в реестре

i

Изменения в реестре

В этом разделе перечислены ключи и значения реестра, которые были созданы, изменены и/или удалены образцами из этого семейства. Активность реестра Windows может дать ценную информацию о функциональности вредоносных программ. Кроме того, вредоносные программы часто создают значения реестра, чтобы автоматически запускаться и неограниченно существовать после того, как первоначальное заражение скомпрометировало систему.

Ключ::Значение	Данные	Название API
HKLM\system\software\microsoft\tip\aggregateresults::data	ⳛ˼ 耀塉»ⳛ˼ 耀塉 隞̃́耀꧌ڌԹ	RegNtPreCreateKey

Использование API Windows

i

Использование API Windows

В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.

Категория	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort Show 78 more ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDelayExecution ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtFsControlFile ntdll.dll!NtLoadKeyEx ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenSymbolicLinkObject ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySymbolicLinkObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtTraceEvent ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess
Encryption Used	BCryptOpenAlgorithmProvider

Выполнение команд оболочки

i

Выполнение команд оболочки

В этом разделе перечислены команды оболочки Windows, которые выполняются образцами этого семейства. Команды оболочки Windows часто используются вредоносным ПО в злонамеренных целях и могут применяться для повышения привилегий безопасности, загрузки и запуска другого вредоносного ПО, использования уязвимостей, сбора и кражи данных, а также сокрытия вредоносной активности.

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 836