Trojan.CobaltStrike.O
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 威胁级别： | 80 % (高的) |
| 受感染的计算机： | 19 |
| 初见： | October 21, 2021 |
| 最后一次露面： | October 17, 2026 |
| 受影响的操作系统： | Windows |
Trojan.CobaltStrike.O是一款危险的 Windows 木马，属于一个与高级攻击工具相关的知名威胁家族。该威胁具有极高的危险等级，旨在让网络犯罪分子能够隐蔽地远程访问受感染的计算机，从而严重威胁个人数据和系统整体安全。
目录
Trojan.CobaltStrike.O 的作用
Trojan.CobaltStrike.O 一旦在系统中激活，便会在后台静默运行，不留任何明显的痕迹。它被设计成尽可能长时间地隐蔽运行，这使得攻击者能够在用户毫无察觉的情况下进行恶意活动。该木马程序没有数字签名，这意味着它未经验证或认证为安全软件，这是恶意文件的常见特征。
从技术角度来看，该威胁是一个 64 位可执行文件，具有高熵值，这种特性通常与经过压缩或混淆的代码相关，旨在增加分析和检测的难度。它缺少版本信息、调试数据以及其他通常在合法应用程序中存在的标准元数据，这进一步表明它是为了隐藏其真实目的而构建的。在运行过程中，已观察到它会创建通信通道（例如命名管道），这些通道可用于在进程之间传递命令或数据，远程访问工具经常使用这种技术来协调恶意活动。它还会利用与写入文件、释放内存和管理系统事件相关的底层系统调用，这些调用可被利用来在后台操纵受感染的计算机。
最重要的是，Trojan.CobaltStrike.O 可能允许攻击者获得对受感染系统的广泛甚至完全控制权。这包括秘密删除文件、安装其他恶意软件以及远程执行其他有害命令。
它通常是如何进入电脑的
与此类威胁中的许多威胁一样，Trojan.CobaltStrike.O 通常利用系统漏洞和安全缺陷进行传播。它经常通过恶意或被入侵网站的软件下载，以及来自不可信或未知来源的电子邮件附件进行传播。这些附件可以伪装成看似无害的文件，包括可执行文件，甚至是图像或视频文件，诱骗用户打开它们。
用户面临的风险
由于这种木马程序能够让攻击者远程控制系统，因此风险极大。敏感文件可能被窃取、篡改或删除，其他恶意软件可能在用户不知情的情况下被安装，受感染的计算机可能被用作在网络中发起进一步攻击的跳板。鉴于其隐蔽性，受害者可能在很长一段时间内都察觉不到系统已被入侵，从而加剧了潜在的损失。
感染迹象
由于此类木马程序旨在静默运行，因此可能几乎没有或根本没有明显的症状。用户应警惕系统运行速度异常变慢、网络活动异常、后台运行着陌生的进程，或文件和设置发生意外更改。由于该木马程序缺乏可见的资源或界面元素，因此可能根本不会显示任何窗口或警报。
如何做好防护
为降低感染风险，用户应确保操作系统和所有已安装软件保持最新状态，以修复已知的安全漏洞。避免从不受信任或非官方网站下载软件，切勿打开来自未知或未经核实发件人的电子邮件附件，尤其是可执行文件或带有不寻常扩展名的文件。定期备份重要数据，并使用信誉良好且最新的安全软件扫描和监控系统，也有助于在 Trojan.CobaltStrike.O 等威胁造成严重损害之前检测并阻止它们。
分析报告
一般信息
| 姓： | Trojan.CobaltStrike.O |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
095756b4f0e2e4ad22deed61d5930b53
SHA1:
cd9a630ac8480a9bc6cabe62576a96729484d7ee
SHA256:
3C425CCC60A561DCFE942229EDACEF1BA18FF3F24362490663468B65DE15C9A8
文件大小:
328.70 KB,328704字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have resources
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
显示更多
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件特征
- HighEntropy
- No Version Info
- x64
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 123 |
|---|---|
| 潜在恶意块： | 7 |
| 白名单区块： | 116 |
| 未知区块： | 0 |
可视化地图
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- Trojan.Agent.Gen.GNU
- Trojan.Downloader.Gen.AVU
- Trojan.Krypt.Gen.ACJX
- Trojan.Kryptik.Gen.LHJ
- Trojan.Kryptik.Gen.LIF
显示更多
- Trojan.Metasploit.Gen.JE
文件已修改
文件已修改
本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。| 文件 | 属性 |
|---|---|
| \device\namedpipe\msse-3403-server | Generic Write |
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| Syscall Use |
|
