Trojan.Penguish.KB

Trojan.Penguish.KB — это троян для Windows с уровнем опасности 8 из 10. Как и другие трояны, он притворяется безобидным или полезным, в то время как его настоящая работа выполняется незаметно в фоновом режиме. Впервые он был обнаружен 15 марта 2025 года, а последний раз — 4 ноября 2026 года, поэтому он всё ещё активен.

Что делает эта угроза?

Согласно данным из ленты новостей, Penguish.KB устанавливается незаметно и работает в фоновом режиме, выполняя вредоносные функции. Он может предоставить злоумышленникам полный контроль над зараженной системой. В описании также говорится, что он может скрытно удалять файлы. Трояны этого типа обычно также загружают дополнительное вредоносное ПО, но текст в ленте новостей на этом месте обрывается, поэтому рассматривайте это как типичное поведение, а не как подтвержденную возможность.

В одном из проанализированных образцов содержалась информация о версии, которая выглядит как утилита для преобразования джойстика в клавиатуру под названием JoyToKey. Злоумышленники часто маскируют вредоносное ПО под настоящие программы или включают его в состав настоящих программ, чтобы выглядеть заслуживающими доверия. В ленте не указано, как был создан этот файл, поэтому точная связь с подлинной программой неясна. Тот же образец демонстрировал следующие признаки:

• Это 32-битный исполняемый файл с графическим интерфейсом для Windows, который не упакован.
• Оно не имеет цифровой подписи.
• Она использует функции Windows, связанные с перехватом событий и состоянием клавиатуры (SetWindowsHookEx и GetKeyState). Легитимные инструменты переназначения ввода также используют их, но они также типичны для программ, отслеживающих нажатия клавиш.
• Это привело к изменению файла журнала в папке JoyToKey, расположенной внутри папки «Документы» пользователя.

Поскольку эти особенности поведения пересекаются с обычным программным обеспечением, ни одна из них сама по себе не доказывает, что файл является вредоносным. Отсутствие сигнатуры и несоответствие между именем, выглядящим надежным, и сообщением о подозрительной активности являются основаниями для осторожности.

Как это обычно попадает на компьютеры

В ленте указаны следующие маршруты распространения:

• Использование уязвимостей системы и недостатков безопасности.
• Загрузка программного обеспечения с вредоносных веб-сайтов.
• Вложения в электронные письма из ненадежных источников, обычно с расширениями .exe, .pif, .avi или даже .jpg.

Поскольку этот образец имитирует служебную программу, загрузка инструментов с неофициальных сайтов, зеркал или переупакованных или локализованных копий представляет собой вполне реальную опасность. Это типичная модель поведения троянов, а не подтвержденный факт в отношении данного конкретного случая.

Риски для пользователя

• Удаленное управление вашим компьютером со стороны злоумышленника.
• Потеря или удаление файлов.
• Установка дополнительных нежелательных или вредоносных программ, что типично для троянских программ.
• Возможна утечка введенных данных, таких как пароли, в случае злоупотребления функциями клавиатуры. Это предположение основано на функциях, используемых в образце, но не подтверждается данными из источника.

Признаки инфекции

В сообщении не указаны видимые симптомы, и троянская программа разработана для бесшумной работы. В целом, обращайте внимание на следующее:

• Загруженная вами программа ведёт себя некорректно или создаёт неожиданные файлы.
• Необъяснимые замедления или фоновая активность.
• Файлы, пропавшие без объяснения причин.
• Незнакомые программы, которые появляются сами по себе.
• Учетные записи, отображающие входы в систему или изменения, которые вы не вносили.

Поскольку инфекция может протекать бессимптомно, чистый внешний вид не исключает её наличия.

Как обеспечить свою безопасность

• Регулярно обновляйте Windows и все установленное программное обеспечение, поскольку уязвимости являются основной точкой проникновения.

Если вы считаете, что запустили файл, связанный с этим обнаружением, отключитесь от интернета, просканируйте компьютер и удалите все обнаруженные вредоносные программы. После этого смените пароли на чистом устройстве и проверьте важные учетные записи на наличие подозрительной активности.

Аналитический отчет

Главная Информация

Фамилия:	Trojan.Penguish.KB
Статус подписи:	No Signature

Известные образцы

i

Известные образцы

В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.

MD5: 2984ad93d4c813379fa25fa2bc4e97dd ША1: 693c69f04e82bfa53ab323c06d7ec06ddf753c37 SHA256: 67CA30B9C3A42CE4A71CAEACE25F52BA349FA0FE32D8AEFC1D9F59F59C258888 Размер файла: 4.95 MB, 4946288 байт

Атрибуты исполняемого файла Windows Portable

i

Атрибуты исполняемого файла Windows Portable

В этом разделе перечислены атрибуты файлов, обнаруженные в образцах семейства. Эти атрибуты извлекаются из спецификации исполняемых файлов Windows PE (Portable Executable) и различных системных флагов. Атрибуты исполняемых файлов позволяют исследователям вредоносного ПО получить представление о функциональности файла, деталях исполняемого файла, платформе и среде выполнения.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Значки файлов

i

Значки файлов

В этом разделе отображаются значки, найденные в образцах вредоносных программ. Вредоносные программы часто копируют значки, обычно ассоциируемые с легитимным программным обеспечением, чтобы ввести пользователей в заблуждение и заставить их поверить в безопасность вредоносной программы.

Информация о версии Windows PE

i

Информация о версии Windows PE

В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.

имя	Ценность
Comments	https://joytokey.net/
Company Name	JTK software
File Description	JoyToKey - Convert Joystick to Keyboard/Mouse Input
File Version	7.0.0.565
Internal Name	JoyToKey
Legal Copyright	Copyright(C) JTK, 1999-2024
Original Filename	JoyToKey
Product Name	一羞汉化
Product Version	7.0
Program I D	一羞汉化

Характеристики файла

• HighEntropy
• VirtualQueryEx
• x86

Информация о блоке

i

Информация о блоке

В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.

Всего блоков:	11,644
Потенциально вредоносные блоки:	450
Блоки, внесенные в белый список:	11,194
Неизвестные блоки:	0

Визуальная карта

... Данные усечены

0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Похожие семьи

i

Похожие семьи

В этом разделе перечислены другие семейства вредоносных программ, имеющие сходства с данным семейством, на основе анализа EnigmaSoft. Многие семейства вредоносных программ создаются с использованием одних и тех же наборов инструментов и применяют одни и те же методы упаковки и шифрования, но обладают уникальными расширенными функциональными возможностями. Схожие семейства могут также иметь общий исходный код, атрибуты, значки, субкомпоненты, скомпрометированные и/или недействительные цифровые подписи и сетевые характеристики. Исследователи используют эти сходства для быстрой и эффективной сортировки образцов файлов и расширения правил обнаружения вредоносных программ.

• Ousaban.C
• Penguish.KB
• Se7enkills.A

Файлы изменены

i

Файлы изменены

В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.

Файл	Атрибуты
c:\users\user\documents\joytokey\joytokey.log	Generic Write,Read Attributes

Изменения в реестре

i

Изменения в реестре

В этом разделе перечислены ключи и значения реестра, которые были созданы, изменены и/или удалены образцами из этого семейства. Активность реестра Windows может дать ценную информацию о функциональности вредоносных программ. Кроме того, вредоносные программы часто создают значения реестра, чтобы автоматически запускаться и неограниченно существовать после того, как первоначальное заражение скомпрометировало систему.

Ключ::Значение	Данные	Название API
HKCU\system\currentcontrolset\control\mediaproperties\privateproperties\directinput\vid_0627&pid_0001\calibration\0::guid	P.�F���� DEST	RegNtPreCreateKey
HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::name	693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288	RegNtPreCreateKey
HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::usesmapper		RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::name	693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288	RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::id	693C69F04E82BFA53AB323C06D7EC06DDF753C37_00049462886634D1DC004B7970	RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::version	ࠀ	RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::mostrecentstart	릙ᜐ泣ǝ	RegNtPreCreateKey

Использование API Windows

i

Использование API Windows

В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.

Категория	API
Other Suspicious	SetWindowsHookEx
User Data Access	GetUserObjectInformation
Keyboard Access	GetKeyState