Trojan.Penguish.KB

Trojan.Penguish.KB, 10 üzerinden 8 tehlike seviyesine sahip bir Windows Truva atıdır. Diğer Truva atları gibi, zararsız veya yararlı bir şey gibi görünürken, gerçek işini arka planda sessizce yapar. İlk olarak 15 Mart 2025'te ve en son 4 Kasım 2026'da görüldü, yani hala aktiftir.

Tehdidin yaptığı şey

Verilere göre, Penguish.KB kendini gizlice kuruyor ve arka planda sessizce çalışarak kötü amaçlı işlevler gerçekleştiriyor. Saldırganlara bulaşmış bir sistem üzerinde tam kontrol sağlayabilir. Açıklamada ayrıca dosyaları gizlice silebileceği de belirtiliyor. Bu tür Truva atları genellikle daha fazla kötü amaçlı yazılım da indirir, ancak veri metni bu noktada kesildiği için bunu onaylanmış bir özellikten ziyade tipik bir davranış olarak değerlendirin.

Analiz edilen örneklerden birinde, JoyToKey adlı bir joystick-klavye dönüştürme yardımcı programına benzeyen sürüm bilgileri bulunuyordu. Saldırganlar genellikle kötü amaçlı yazılımları güvenilir görünmesi için gerçek programlar gibi gizler veya onlarla birlikte paketler. Dosyanın nasıl oluşturulduğu belirtilmediğinden, gerçek programla olan kesin ilişkisi belirsizdir. Aynı örnek şu özellikleri de gösterdi:

• Bu, paketlenmemiş, 32 bit Windows grafik arayüzüne sahip bir yürütülebilir dosyadır.
• Dijital imzası bulunmamaktadır.
• Bu, kancalar ve klavye durumuyla ilgili Windows işlevlerini (SetWindowsHookEx ve GetKeyState) kullanır. Yasal giriş yeniden eşleme araçları da bunları kullanır, ancak bunlar aynı zamanda tuş vuruşlarını izleyen programlar için de tipiktir.
• Kullanıcının Belgeler klasöründeki JoyToKey klasöründe bulunan bir günlük dosyasını değiştirdi.

Bu davranışlar normal yazılımlarla örtüştüğü için, bunların hiçbiri tek başına bir dosyanın kötü amaçlı olduğunu kanıtlamaz. İmza eksikliği ve güvenilir görünen bir isim ile işaretlenmiş bir tespit arasındaki uyuşmazlık, dikkatli olunması gereken nedenlerdir.

Bilgisayarlara genellikle nasıl bulaşıyor?

Haber kaynağında şu dağıtım rotaları listelenmiştir:

• Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanmak.
• Zararlı web sitelerinden yazılım indirmeleri.
• Güvenilmeyen kaynaklardan gelen e-posta ekleri, genellikle .exe, .pif, .avi veya hatta .jpg uzantılıdır.

Bu örnek bir yardımcı programı taklit ettiğinden, resmi olmayan sitelerden, aynalardan veya yeniden paketlenmiş veya yerelleştirilmiş kopyalardan araç indirmek olası bir risktir. Bu, Truva atları için tipik bir kalıptır, ancak bu Truva atı için kesin bir gerçek değildir.

Kullanıcı için riskler

• Bir saldırgan tarafından bilgisayarınızın uzaktan kontrol edilmesi.
• Dosyaların kaybolması veya silinmesi.
• Truva atları için tipik olan, istenmeyen veya zararlı ek programların yüklenmesi.
• Klavyeyle ilgili işlevlerin kötüye kullanılması durumunda, parolalar gibi girilen verilerin ifşa edilmesi olasılığı bulunmaktadır. Bu, örnekte kullanılan işlevlere dayalı bir olasılıktır, besleme tarafından doğrulanmış bir şey değildir.

Enfeksiyon belirtileri

Virüsün yaydığı belirtiler görünür değil ve Truva atı sessizce çalışacak şekilde tasarlanmış. Genel olarak şunlara dikkat edin:

• İndirdiğiniz bir program garip davranıyor veya beklenmedik dosyalar oluşturuyor.
• Açıklanamayan yavaşlamalar veya arka plan etkinlikleri.
• Açıklama yapılmadan kaybolan dosyalar.
• Kendiliğinden ortaya çıkan, daha önce hiç görmediğiniz programlar.
• Sizin yapmadığınız giriş bilgilerini veya değişiklikleri gösteren hesaplar.

Enfeksiyon belirti vermeden ilerleyebileceğinden, temiz görünen bir sistem enfeksiyonu tamamen dışlamaz.

Nasıl korunabilirsiniz?

• Windows'u ve yüklü tüm yazılımları güncel tutun, çünkü güvenlik açıkları başlıca giriş noktalarından biridir.

Bu tespit ile bağlantılı bir dosya çalıştırdığınızı düşünüyorsanız, internet bağlantınızı kesin, bilgisayarınızı tarayın ve işaretlenen her şeyi kaldırın. Ardından, şifrelerinizi temiz bir cihazdan değiştirin ve önemli hesaplarınızda şüpheli etkinlik olup olmadığını kontrol edin.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.Penguish.KB
İmza durumu:	No Signature

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: 2984ad93d4c813379fa25fa2bc4e97dd SHA1: 693c69f04e82bfa53ab323c06d7ec06ddf753c37 SHA256: 67CA30B9C3A42CE4A71CAEACE25F52BA349FA0FE32D8AEFC1D9F59F59C258888 Dosya boyutu: 4.95 MB.4946288 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Simgeleri

i

Dosya Simgeleri

Bu bölümde, aile örnekleri içinde bulunan simge kaynakları gösterilmektedir. Kötü amaçlı yazılımlar, kullanıcıları kötü amaçlı yazılımın güvenli olduğuna inandırmak için genellikle meşru yazılımlarla ilişkilendirilen simgeleri kopyalar.

Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
Comments	https://joytokey.net/
Company Name	JTK software
File Description	JoyToKey - Convert Joystick to Keyboard/Mouse Input
File Version	7.0.0.565
Internal Name	JoyToKey
Legal Copyright	Copyright(C) JTK, 1999-2024
Original Filename	JoyToKey
Product Name	一羞汉化
Product Version	7.0
Program I D	一羞汉化

Dosya Özellikleri

• HighEntropy
• VirtualQueryEx
• x86

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	11,644
Potansiyel Olarak Zararlı Bloklar:	450
Beyaz Listeye Alınan Bloklar:	11,194
Bilinmeyen Bloklar:	0

Görsel Harita

... Veriler kırpıldı

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Benzer Aileler

i

Benzer Aileler

Bu bölümde, EnigmaSoft'un analizine dayanarak bu aileyle benzerlikler gösteren diğer aileler listelenmiştir. Birçok kötü amaçlı yazılım ailesi aynı kötü amaçlı yazılım araç setlerinden oluşturulur ve aynı paketleme ve şifreleme tekniklerini kullanır, ancak işlevselliği benzersiz bir şekilde genişletir. Benzer aileler ayrıca kaynak kodunu, öznitelikleri, simgeleri, alt bileşenleri, tehlikeye atılmış ve/veya geçersiz dijital imzaları ve ağ özelliklerini de paylaşabilir. Araştırmacılar, dosya örneklerini hızlı ve etkili bir şekilde sınıflandırmak ve kötü amaçlı yazılım tespit kurallarını genişletmek için bu benzerliklerden yararlanır.

• Ousaban.C
• Penguish.KB
• Se7enkills.A

Değiştirilen Dosyalar

i

Değiştirilen Dosyalar

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.

Dosya	Özellikler
c:\users\user\documents\joytokey\joytokey.log	Generic Write,Read Attributes

Sicil Değişiklikleri

i

Sicil Değişiklikleri

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen ve/veya silinen kayıt defteri anahtarları ve değerleri listelenmiştir. Windows Kayıt Defteri etkinliği, kötü amaçlı yazılımların işlevselliği hakkında değerli bilgiler sağlayabilir. Ek olarak, kötü amaçlı yazılımlar genellikle, ilk enfeksiyon sistemi tehlikeye attıktan sonra otomatik olarak başlamasına ve süresiz olarak kalmasına olanak sağlamak için kayıt defteri değerleri oluşturur.

Anahtar::Değer	Veri	API Adı
HKCU\system\currentcontrolset\control\mediaproperties\privateproperties\directinput\vid_0627&pid_0001\calibration\0::guid	P.�F���� DEST	RegNtPreCreateKey
HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::name	693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288	RegNtPreCreateKey
HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::usesmapper		RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::name	693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288	RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::id	693C69F04E82BFA53AB323C06D7EC06DDF753C37_00049462886634D1DC004B7970	RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::version	ࠀ	RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::mostrecentstart	릙ᜐ泣ǝ	RegNtPreCreateKey

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
Other Suspicious	SetWindowsHookEx
User Data Access	GetUserObjectInformation
Keyboard Access	GetKeyState