威胁数据库 特洛伊木马 Trojan.Lethic.WE

Trojan.Lethic.WE

通过CagedTech在 特洛伊木马
发布时间：
最后更新：
翻译为：

威胁评分卡

人气排名： 20,149
威胁级别： 80 % (高的)
受感染的计算机： 2
初见： July 29, 2026
最后一次露面： October 2, 2026
受影响的操作系统： Windows

Trojan.Lethic.WE是一款基于 Windows 系统的木马程序，目前仍在活跃传播。最早的检测记录可追溯到 2026 年年中，此后数月仍有活动报告。该木马程序被评为高风险威胁，危险等级为 8（满分 10 分）。它旨在悄无声息地入侵计算机，无需任何可见的安装过程，然后在后台执行恶意操作，用户对此毫不知情。

Trojan.Lethic.WE 的作用

与其他木马类威胁一样，Trojan.Lethic.WE 旨在秘密嵌入 Windows 操作系统，并建立强大的控制权，从而对受感染的计算机进行高级控制。一旦激活，此类木马通常会尝试控制关键系统功能，从而删除或修改文件、更改系统和安全设置、监视用户活动，并窃取敏感信息，例如存储的密码或个人数据。由于其隐蔽运行，Trojan.Lethic.WE 可以长时间静默运行，在用户不知情的情况下占用系统资源和网络连接，并可能为后续安装其他恶意组件打开方便之门。

它通常是如何进入电脑的

与同类恶意软件一样，这类木马程序最常见的传播方式是通过欺骗性的电子邮件附件。这些附件通常伪装成无害的文件，例如文档、图像或视频片段，但实际上是携带恶意代码的可执行程序。常见的被滥用的文件类型包括 .exe、.pif、.avi，甚至 .jpg 文件，这些文件都经过篡改以执行代码。用户通常会被社交工程手段诱骗打开这些附件，例如看似来自可信联系人的电子邮件、虚假发票、发货通知或其他听起来紧急的消息。从不可信的来源下载软件或点击欺骗性链接也会使系统面临此类感染的风险。

用户面临的风险

感染 Trojan.Lethic.WE 会带来严重风险。由于此类木马通常会获得对受感染系统的广泛控制权，受害者可能面临数据被盗的风险，包括登录凭证、银行信息或其他个人信息。该恶意软件还可能降低系统性能、破坏操作系统稳定性，或通过下载其他恶意软件来促进进一步感染。在许多情况下，受感染的计算机可能在未经所有者同意的情况下被用于更大规模的恶意活动，从而危及个人数据和整个网络的安全。

感染迹象

由于木马程序旨在隐蔽运行，因此并非总能发现明显的症状。然而，典型的警告信号可能包括：系统运行速度异常变慢、后台运行着陌生的进程、网络活动异常、系统或浏览器设置被用户擅自更改，以及出现未知文件或程序。频繁崩溃或异常弹出窗口也可能表明系统已被入侵。

如何做好防护

为降低感染风险，用户应避免打开来自未知或未经核实发件人的电子邮件附件，尤其是伪装成媒体或文档的可执行文件。保持操作系统和所有已安装软件的更新有助于堵住恶意软件可能利用的安全漏洞。此外，强烈建议仅从官方和信誉良好的来源下载程序、定期备份重要数据以及使用可靠且最新的安全软件，以抵御 Trojan.Lethic.WE 等木马程序。

分析报告

一般信息

姓： Trojan.Lethic.WE
签名状态： No Signature

已知样本

MD5: 18c81aea32131786311055317934749d
SHA1: bce6175c62585218780dd62234e14c6ab9a5b48d
SHA256: 804945B4E99D725D8EFE4154684F2484C825ACC8F92234A38213DDE229E37CA9
文件大小: 94.60 KB,94601字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have relocations information
  • File doesn't have security information
  • File is 32-bit executable
  • File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
  • File is either console or GUI application
  • File is Native application (NOT .NET application)
  • File is not packed
显示更多
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

Windows PE 版本信息

姓名 价值
Company Name Zona Soluzioni Srls
File Description VPN Connector
File Version 1.0.0.0
Legal Copyright Zona Soluzioni Srls
Product Name VPN Connector
Product Version 1.0.0.0

文件特征

  • x86

区块信息

总区块数： 198
潜在恶意块： 5
白名单区块： 193
未知区块： 0

可视化地图

x x x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

文件已修改

文件 属性
\device\namedpipe Generic Read,Write Attributes
\device\namedpipe Generic Write,Read Attributes
\device\namedpipe\dav rpc service Generic Read,Write Data,Write Attributes,Write extended,Append data
\device\namedpipe\pshost.134345672799862024.4712.defaultappdomain.powershell Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288
\device\namedpipe\wkssvc Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\__psscriptpolicytest_bzlwlhaf.nyb.psm1 Generic Write,Read Attributes
c:\users\user\appdata\local\temp\__psscriptpolicytest_dtwifrxc.z3o.ps1 Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is64.bat Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is64.fil Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is64.txt Generic Write,Read Attributes
显示更多
c:\users\user\appdata\local\temp\xtmp Write Attributes
c:\users\user\appdata\local\temp\xtmp\tmp80475.bat Generic Write,Read Attributes
c:\users\user\appdata\local\temp\xtmp\tmp80475.exe Generic Write,Read Attributes

注册表修改

键::值 数据 API名称
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe ௵砣䪭ǝ RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe 硍䪭ǝ RegNtPreCreateKey

Windows API 使用情况

类别 API
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAllocateLocallyUniqueId
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcConnectPortEx
  • ntdll.dll!NtAlpcQueryInformation
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtCancelTimer2
显示更多
  • ntdll.dll!NtCancelWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtCompareSigningLevels
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateIoCompletion
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreateNamedPipeFile
  • ntdll.dll!NtCreatePrivateNamespace
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtCreateTimer
  • ntdll.dll!NtCreateTimer2
  • ntdll.dll!NtCreateUserProcess
  • ntdll.dll!NtCreateWaitCompletionPacket
  • ntdll.dll!NtCreateWorkerFactory
  • ntdll.dll!NtDelayExecution
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtDuplicateToken
  • ntdll.dll!NtEnumerateKey
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFlushProcessWriteBuffers
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtFsControlFile
  • ntdll.dll!NtGetCachedSigningLevel
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSymbolicLinkObject
  • ntdll.dll!NtOpenThread
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDefaultLocale
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryFullAttributesFile
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationJobObject
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryObject
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySymbolicLinkObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtQueueApcThreadEx2
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseSemaphore
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationFile
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationObject
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtSetTimerEx
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtTraceEvent

以上未显示另外 12 件商品。

User Data Access
  • GetUserDefaultLocaleName
  • GetUserName
  • GetUserNameEx
  • GetUserObjectInformation
Encryption Used
  • BCryptOpenAlgorithmProvider
Other Suspicious
  • AdjustTokenPrivileges
Anti Debug
  • IsDebuggerPresent
  • NtQuerySystemInformation

Shell命令执行

C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c mode con:cols=0065 lines=0040
C:\WINDOWS\system32\mode.com mode con:cols=0065 lines=0040
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c title VPN Professionisti e Consulenti
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if not exist "C:\Users\Tivpkbkg\AppData\Local\Temp\afolder" mkdir "C:\Users\Tivpkbkg\AppData\Local\Temp\afolder"
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if not exist "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp" mkdir "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp"
显示更多
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c attrib +h C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp
C:\WINDOWS\system32\attrib.exe attrib +h C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c echo:0>C:\Users\Tivpkbkg\AppData\Local\Temp\is64.txt
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c C:\Users\Tivpkbkg\AppData\Local\Temp\is64.bat
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if exist "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat" del "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat"
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if exist "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.exe" del "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.exe"
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c C:\WINDOWS\Sysnative\cmd.exe /C C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat "c:\users\user\downloads\bce6175c62585218780dd62234e14c6ab9a5b48d_0000094601"
C:\WINDOWS\Sysnative\cmd.exe C:\WINDOWS\Sysnative\cmd.exe /C C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat "c:\users\user\downloads\bce6175c62585218780dd62234e14c6ab9a5b48d_0000094601"
C:\WINDOWS\system32\mode.com Mode 65,40
C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell Invoke-RestMethod api.ipify.org