Trojan.Expiro.I

Trojan.Expiro.I, tehlike derecesi 10 üzerinden 8 olan bir Windows Truva atıdır. Birkaç yıldır görülmektedir: ilk tespit 08.10.2021 tarihinde, en son tespit ise 13.11.2026 tarihinde kaydedilmiştir. Beslemede 400.000'den fazla tespit listelenmiştir, bu nedenle nadir veya kısa süreli bir tehdit değildir.

Trojan.Expir.I ne yapar?

Expiro.I kendini gizlice kurar ve arka planda sessizce çalışır, bu nedenle kullanıcı olağandışı bir şey fark etmeyebilir. Bir sisteme bulaştığında, saldırganlara bilgisayar üzerinde tam kontrol sağlayabilir. Ayrıca gizlice dosyaları silebilir ve ek kötü amaçlı yazılımlar yükleyebilir. Bu tür Truva atları genellikle bulaşmış bilgisayardan bilgi de toplar, ancak besleme metni tam bir liste vermediği için bunu onaylanmış bir ayrıntıdan ziyade tipik bir davranış olarak değerlendirin.

Analiz edilen dosya, grafik arayüzü (GUI) alt sistemine sahip 32 bitlik yerel bir Windows yürütülebilir dosyasıdır. .NET programı değildir ve sıkıştırılmamıştır. Dosya ayrıca, kötü amaçlı yazılımların analizi zorlaştırmak için sıklıkla kullandığı bir teknik olan hata ayıklayıcı kontrolü ( IsDebuggerPresent ) içerir.

Dosyanın sürüm bilgileri, onu Microsoft "Windows Sorun Bildirme" bileşeni olarak gösteriyor ve imza zincirlerinde Microsoft'tan bahsediliyor. Ancak, imza durumu "Kendinden İmzalı" olarak bildiriliyor. Bir Windows bileşenine benzeyen bir ad, açıklama veya telif hakkı satırı, dosyanın orijinal olduğunu kanıtlamaz. Kötü amaçlı yazılımlar, şüphe çekmemek için genellikle güvenilir sistem dosyalarının görünümünü kopyalar.

Bilgisayarlara genellikle nasıl bulaşıyor?

Paylaşımlara göre Expiro.I'ye en sık şu yollarla ulaşılıyor:

• Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanmak.
• Zararlı web sitelerinden yazılım indirmeleri.
• Güvenilmeyen kaynaklardan gelen e-posta ekleri, genellikle .exe, .pif, .avi ve hatta .jpg dosyalarıdır.

Medya uzantılı dosyalar yaygın bir gizleme yöntemidir. Resim veya video gibi görünen ancak program gibi davranan bir dosya şüphe uyandırır.

Kullanıcı için riskler

• Kontrol kaybı: Tam erişime sahip bir saldırgan, oturum açmış kullanıcının yapabileceği hemen hemen her şeyi yapabilir.
• Veri kaybı: Dosyalar önceden haber verilmeksizin silinebilir.
• Daha fazla enfeksiyon: Truva atı başka kötü amaçlı yazılımları indirip kurabilir.
• Gizlilik ve hesap riski: Truva atlarında olduğu gibi, bilgisayardaki kişisel veriler ve şifreler açığa çıkabilir.

Enfeksiyon belirtileri

Tehdidin gizli kalacak şekilde tasarlandığı için, görünür belirtiler az olabilir. Bu uyarı işaretleri Truva atı enfeksiyonları için tipiktir ve Expiro.I için özel olarak doğrulanmamıştır.

• Beklenmedik bir yerde ortaya çıkan veya garip davranan, özellikle de Windows bileşeni olduğunu iddia eden bir sistem işlemi.
• Açıklanamayan yavaşlamalar, çökmeler veya yüksek kaynak kullanımı.
• Kaybolan dosyalar veya yüklemediğiniz programlar.
• Beklenmedik ağ etkinliği veya kendiliğinden değişen güvenlik ayarları.

Nasıl korunabilirsiniz?

1. Windows ve yazılımlarınızı güncel tutarak bilinen güvenlik açıklarının kapatılmasını sağlayın.
2. Bilinmeyen göndericilerden gelen e-posta eklerine, özellikle .exe veya .pif dosyalarına veya çalıştırılmayı isteyen herhangi bir "resim" veya "video" dosyasına dikkat edin .
3. Yazılım indirme işlemlerini yalnızca resmi kaynaklardan yapın ve bilmediğiniz web sitelerinden uzak durun.

Virüs bulaştığından şüpheleniyorsanız, bilgisayarın internet bağlantısını kesin, güncel bir kötü amaçlı yazılım önleme programıyla tam tarama yapın ve önemli şifrelerinizi temiz bir cihazdan değiştirin. Sistem bundan sonra hala garip davranıyorsa, profesyonel yardım almayı veya Windows'u yeniden yüklemeyi düşünün.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.Expiro.I
İmza durumu:	Self Signed

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: c7191ac917ba703648750fc98c749c99 SHA1: 2a0fb4af8e099d342250d3fbd49134d9b3a9d4d2 SHA256: 4772FFAFCBB7B4EB5830AC608D029722104DF8851C0CCDEF58042835BEBA9326 Dosya boyutu: 506.22 KB.506216 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Simgeleri

i

Dosya Simgeleri

Bu bölümde, aile örnekleri içinde bulunan simge kaynakları gösterilmektedir. Kötü amaçlı yazılımlar, kullanıcıları kötü amaçlı yazılımın güvenli olduğuna inandırmak için genellikle meşru yazılımlarla ilişkilendirilen simgeleri kopyalar.

Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
Company Name	Microsoft Corporation
File Description	Windows Problem Reporting
File Version	10.0.19041.7811 (WinBuild.160101.0800)
Internal Name	WerFault
Legal Copyright	© Microsoft Corporation. All rights reserved.
Original Filename	WerFault.exe
Product Name	Microsoft® Windows® Operating System
Product Version	10.0.19041.7811

Dijital İmzalar

i

Dijital İmzalar

Bu bölümde, bu aile içindeki örneklere eklenmiş dijital imzalar listelenmiştir. Dijital imzaları analiz ederken ve doğrularken, imzanın kök otoritesinin tanınmış ve güvenilir bir kuruluş olduğunu ve imzanın durumunun iyi olduğunu doğrulamak önemlidir. Kötü amaçlı yazılımlar genellikle güvenilir olmayan "Kendinden İmzalı" dijital imzalarla imzalanır (bu imzalar, kötü amaçlı yazılım yazarı tarafından doğrulama yapılmadan kolayca oluşturulabilir). Kötü amaçlı yazılımlar ayrıca geçersiz duruma sahip meşru imzalarla ve sahte veya yanıltıcı "İmzalayan" adlarına sahip şüpheli kök otoritelerden gelen imzalarla da imzalanabilir.

İmzalayan	Kök	Durum
Microsoft Windows	Microsoft Windows Production PCA 2026 RSA2048-SHA256	Self Signed
Microsoft Windows	Windows Production PCA 2023	Self Signed

Dosya Özellikleri

• HighEntropy
• ntdll
• x86

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	1,090
Potansiyel Olarak Zararlı Bloklar:	1
Beyaz Listeye Alınan Bloklar:	572
Bilinmeyen Bloklar:	517

Görsel Harita

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
Anti Debug	IsDebuggerPresent