Trojan.MSIL.Krypt.TDW

Trojan.MSIL.Krypt.TDW, Windows bilgisayarları hedef alan bir Truva atıdır. Tehlike derecesi 10 üzerinden 8 olup, yüksek riskli kategoriye girmektedir. Adındaki "MSIL" kısmı, .NET platformunda geliştirilmiş bir programa işaret etmektedir. Tespit ilk olarak 08.08.2026 tarihinde, en son ise 27.08.2026 tarihinde yapılmıştır. Kayıtlara göre şu ana kadar yalnızca bir tespit yapılmıştır, bu nedenle ne kadar yaygınlaştığına dair çok az veri bulunmaktadır.

Tehdidin yaptığı şey

Diğer Truva atları gibi, arka planda sessizce çalışacak ve kullanıcının farkına varmadan kötü amaçlı eylemler gerçekleştirecek şekilde tasarlanmıştır. Yayınlanan bilgilere göre, saldırganlara bulaşmış bir sistemin tam kontrolünü verebilir ve diğer zararlı işlevlerin yanı sıra dosyaları gizlice silebilir.

Analiz edilen örnekte çeşitli teknik özellikler gözlemlenmiştir:

• Bu, paketlenmemiş ve dijital imza taşımayan 32 bitlik bir .NET GUI yürütülebilir dosyasıdır.
• Sürüm bilgileri, onu bir kaldırma programı gibi gösteren dahili ve orijinal adı olan "Aventa2xUninstaller.exe"yi kullanıyor. Truva atları genellikle bu gibi zararsız görünen isimler kullanır, ancak haberde ismin kasıtlı bir kamuflaj olduğu belirtilmiyor.
• Bu, genellikle analizi zorlaştırmak için kullanılan bir hata ayıklama önleme kontrolü (IsDebuggerPresent) kullanır.
• Bu, NtUnmapViewOfSection ve ReadProcessMemory dahil olmak üzere süreç manipülasyonuyla ilgili işlevleri çağırır. Bu kombinasyon genellikle diğer süreçlere müdahale ile ilişkilendirilir, ancak burada ne yapıldığına dair bir bilgi verilmemiştir.
• Windows şifreleme işlevini (BCryptOpenAlgorithmProvider) kullanarak yeni bir işlem oluşturur. Analiz sırasında, .NET Framework hata raporlama bileşenini (dw20.exe) başlatır.
• Kullanıcı profilindeki Windows kayıt defteri işlem dosyalarına, Amcache dosyasına ve bir adlandırılmış boruya dokundu.

Gözlemlenen 208 faaliyet bloğundan 8'i potansiyel olarak kötü amaçlı olarak işaretlendi, 90'ı beyaz listeye alındı ve 110'unun nedeni bilinmiyor.

Bilgisayarlara genellikle nasıl bulaşıyor?

Habere göre bu Truva atı kendini gizlice yüklüyor. Genellikle kullanılan yollar şunlardır:

• Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanmak.
• Zararlı web sitelerinden yazılım indirmeleri.
• Güvenilmeyen kaynaklardan gelen e-posta ekleri, genellikle .exe, .pif, .avi ve hatta .jpg dosyalarıdır.

Resim veya video gibi görünen dosyalar, kullanıcıların şüphelenmeden açma eğiliminde olmaları nedeniyle tipik bir dolandırıcılık yöntemidir.

Kullanıcı için riskler

• Uzaktan saldıranlar bilgisayarın tam kontrolünü ele geçirebilirler.
• Dosyalar bilginiz dışında silinebilir.
• Daha fazla zararlı yazılım yüklenebilir. Bu, Truva atları için tipiktir, ancak içerik özeti her işlevi listelemeden önce kesilir.
• Makinedeki kişisel veriler ve hesaplar açığa çıkabilir. Bu, uzaktan kontrol yeteneğine sahip Truva atlarının tipik bir riskidir ve bu örneğin doğrulanmış bir davranışı değildir.

Enfeksiyon belirtileri

Bu Truva atı gizli kalacak şekilde tasarlanmıştır, bu nedenle belirgin belirtileri olmayabilir. Bu tür tehditlere dair tipik uyarı işaretleri şunlardır:

• Alışılmadık süreçlerden kaynaklanan beklenmedik yavaşlamalar veya yüksek kaynak kullanımı.
• Açıklama yapılmadan kaybolan veya değişen dosyalar.
• Bilinmeyen programlar veya sebepsiz yere beliren hata bildirme pencereleri.
• Trojan.MSIL.Krypt.TDW adlı tespit edilen virüs hakkında sizi uyaran bir güvenlik aracı.
• İndirmediğiniz veya bilerek çalıştırmadığınız bir dosyanın, kaldırma programı gibi bir isimle adlandırılmış olması.

Nasıl korunabilirsiniz?

• Bilinmeyen göndericilerden gelen ekleri, özellikle .exe veya .pif dosyalarını ve garip davranan medya dosyalarını açmayın.
• Yazılım indirme işlemlerini yalnızca resmi ve güvenilir kaynaklardan yapın ve korsan veya resmi olmayan kurulum dosyalarından kaçının.
• Truva atlarının istismar ettiği güvenlik açıklarını kapatmak için Windows'u ve tüm uygulamalarınızı güncel tutun.
• Gerçek zamanlı koruma sağlayan, güvenilir ve güncel bir güvenlik çözümü kullanın ve düzenli olarak tam taramalar gerçekleştirin.
• Önemli dosyalarınızın yedeklerini, bilgisayarınıza sürekli bağlı olmayan bir cihazda veya hizmette saklayın.

Virüs bulaştığından şüpheleniyorsanız, bilgisayarın internet bağlantısını kesin, tam tarama yapın ve tespit edilen her şeyi kaldırın. Ardından, uzaktan erişim sağlayan bir Truva atı şifrelerinizi ifşa etmiş olabileceğinden, önemli şifrelerinizi temiz bir cihazdan değiştirin.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.MSIL.Krypt.TDW
İmza durumu:	No Signature

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: 404f46839df957a1ea63b5d9ed0117c0 SHA1: 305135a9d1716386415a1b3571f76b2089fb81cf SHA256: 9D5B1BAACF327FA304C696E80F2FB04C33DD96E484DFDC729C4B387ACBD86354 Dosya boyutu: 466.43 KB.466432 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Simgeleri

i

Dosya Simgeleri

Bu bölümde, aile örnekleri içinde bulunan simge kaynakları gösterilmektedir. Kötü amaçlı yazılımlar, kullanıcıları kötü amaçlı yazılımın güvenli olduğuna inandırmak için genellikle meşru yazılımlarla ilişkilendirilen simgeleri kopyalar.

























Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
Assembly Version	1.0.3541.16625
File Version	1.0.3541.16625
Internal Name	Aventa2xUninstaller.exe
Original Filename	Aventa2xUninstaller.exe
Product Version	1.0.3541.16625

Dosya Özellikleri

• .NET
• HighEntropy
• Installer Version
• x86

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	208
Potansiyel Olarak Zararlı Bloklar:	8
Beyaz Listeye Alınan Bloklar:	90
Bilinmeyen Bloklar:	110

Görsel Harita

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Değiştirilen Dosyalar

i

Değiştirilen Dosyalar

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.

Dosya	Özellikler
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

Sicil Değişiklikleri

i

Sicil Değişiklikleri

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen ve/veya silinen kayıt defteri anahtarları ve değerleri listelenmiştir. Windows Kayıt Defteri etkinliği, kötü amaçlı yazılımların işlevselliği hakkında değerli bilgiler sağlayabilir. Ek olarak, kötü amaçlı yazılımlar genellikle, ilk enfeksiyon sistemi tehlikeye attıktan sonra otomatik olarak başlamasına ve süresiz olarak kalmasına olanak sağlamak için kayıt defteri değerleri oluşturur.

Anahtar::Değer	Veri	API Adı
HKLM\system\software\microsoft\tip\aggregateresults::data	ⳛ˼ 耀塉»ⳛ˼ 耀塉 隞̃́耀꧌ڌԹ	RegNtPreCreateKey

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort Show 78 more ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDelayExecution ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtFsControlFile ntdll.dll!NtLoadKeyEx ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenSymbolicLinkObject ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySymbolicLinkObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtTraceEvent ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess
Encryption Used	BCryptOpenAlgorithmProvider

Kabuk Komutu Yürütme

i

Kabuk Komutu Yürütme

Bu bölümde, bu ailedeki örnekler tarafından çalıştırılan Windows kabuk komutları listelenmiştir. Windows kabuk komutları genellikle kötü amaçlı yazılımlar tarafından zararlı amaçlarla kullanılır ve güvenlik ayrıcalıklarını yükseltmek, diğer kötü amaçlı yazılımları indirip çalıştırmak, güvenlik açıklarından yararlanmak, veri toplamak ve sızdırmak ve kötü amaçlı faaliyetleri gizlemek için kullanılabilir.

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 836