Trojan.Expiro.I

Trojan.Expiro.I 是一款 Windows 木马，危险等级为 8 分（满分 10 分）。它已存在数年：首次检测记录于 2021 年 10 月 8 日，最近一次检测记录于 2026 年 11 月 13 日。据统计，该木马的检测记录超过 40 万条，因此它并非罕见或昙花一现的威胁。

Trojan.Expiro.I 的作用

Expiro.I 会悄无声息地安装自身，然后在后台静默运行，因此用户可能不会注意到任何异常。一旦进入系统，它就可能使攻击者完全控制计算机。它还可能秘密删除文件并安装其他恶意软件。此类木马通常还会从受感染的电脑收集信息，但信息流文本并未提供完整列表，因此请将其视为典型行为，而非已确认的细节。

被分析的文件是一个带有图形用户界面 (GUI) 子系统的 32 位 Windows 原生可执行文件。它不是 .NET 程序，也没有被打包。该文件还导入了一个调试器检查 ( IsDebuggerPresent )，恶意软件经常使用这种技术来增加分析难度。

该文件的版本信息显示其为 Microsoft“Windows 问题报告”组件，且其签名链中也提到了 Microsoft。然而，签名状态却显示为“自签名” 。文件名、描述或版权信息看起来像 Windows 组件并不能证明文件是正版。恶意软件通常会模仿可信系统文件的外观来逃避检测。

它通常是如何进入电脑的

根据信息流显示，Expiro.I 最常见的到达方式是：

• 利用系统漏洞和安全缺陷。
• 从恶意网站下载软件。
• 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。

带有媒体类扩展名的文件是一种常见的伪装手段。如果一个文件看起来像图片或视频，但行为却像程序一样，那就值得怀疑。

用户面临的风险

• 失去控制：拥有完全访问权限的攻击者几乎可以做登录用户能做的任何事。
• 数据丢失：文件可能在未发出警告的情况下被删除。
• 更多感染：该木马程序可能会下载并安装其他恶意软件。
• 隐私和账户风险：与木马程序一样，计算机上的个人数据和密码可能会泄露。

感染迹象

由于该威胁旨在隐藏自身，因此可能很少出现明显的症状。这些警告信号是木马病毒感染的典型症状，但尚未证实专门针对 Expiro.I。

• 出现在意想不到的位置或行为异常的系统进程，尤其是声称自己是 Windows 组件的进程。
• 出现无法解释的运行速度变慢、崩溃或资源占用过高的情况。
• 丢失的文件或您未安装的程序。
• 意外的网络活动或安全设置自行更改。

如何保护自己

1. 请保持Windows和软件更新，以便修复已知漏洞。
2. 要小心来自未知发件人的电子邮件附件，尤其是 .exe 或 .pif 文件，或者任何要求运行的“图片”或“视频”。
3. 请仅从官方渠道下载软件，避免从不熟悉的网站下载。

如果您怀疑电脑感染了病毒，请断开电脑与互联网的连接，使用最新的反恶意软件工具进行全面扫描，并在干净的设备上更改重要密码。如果之后系统仍然运行异常，请考虑寻求专业帮助或全新安装 Windows 系统。

分析报告

一般信息

姓：	Trojan.Expiro.I
签名状态：	Self Signed

已知样本

i

已知样本

本节列出了其他据信与该家族有关的文件样本。

MD5: c7191ac917ba703648750fc98c749c99 SHA1: 2a0fb4af8e099d342250d3fbd49134d9b3a9d4d2 SHA256: 4772FFAFCBB7B4EB5830AC608D029722104DF8851C0CCDEF58042835BEBA9326 文件大小: 506.22 KB,506216字节

Windows 可移植可执行文件属性

i

Windows 可移植可执行文件属性

本节列出了在恶意软件家族样本中发现的文件属性。这些属性提取自文件的 Windows PE（可移植可执行文件）规范和各种系统标志。可移植可执行文件属性使恶意软件研究人员能够深入了解文件的功能、可执行文件的详细信息、平台和运行时环境。

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

i

文件图标

本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。

Windows PE 版本信息

i

Windows PE 版本信息

本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。

姓名	价值
Company Name	Microsoft Corporation
File Description	Windows Problem Reporting
File Version	10.0.19041.7811 (WinBuild.160101.0800)
Internal Name	WerFault
Legal Copyright	© Microsoft Corporation. All rights reserved.
Original Filename	WerFault.exe
Product Name	Microsoft® Windows® Operating System
Product Version	10.0.19041.7811

数字签名

i

数字签名

本节列出了该系列样本所附带的数字签名。在分析和验证数字签名时，务必确认签名的根授权机构是知名且可信的实体，并且签名状态良好。恶意软件通常使用不可信的“自签名”数字签名（恶意软件作者可以轻松创建此类签名，无需任何验证）。恶意软件也可能使用状态无效的合法签名，或者使用来自可疑根授权机构且签名者名称虚假或具有误导性的签名。

签名者	根	地位
Microsoft Windows	Microsoft Windows Production PCA 2026 RSA2048-SHA256	Self Signed
Microsoft Windows	Windows Production PCA 2023	Self Signed

文件特征

• HighEntropy
• ntdll
• x86

区块信息

i

区块信息

在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。

总区块数：	1,090
潜在恶意块：	1
白名单区块：	572
未知区块：	517

可视化地图

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

Windows API 使用情况

i

Windows API 使用情况

本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。

类别	API
Anti Debug	IsDebuggerPresent