Trojan.Lotok.V

Trojan.Lotok.V是一款基于 Windows 系统的木马程序，被列为高度危险，威胁等级为 8 分（满分 10 分）。与此类威胁中的大多数一样，它旨在悄无声息地入侵计算机，逃避检测，并在用户不知情或未经同意的情况下在后台执行恶意指令。Lotok.V 于 2025 年 12 月中旬首次被发现，并持续被检测到至 2026 年 10 月，因此它仍然是一个活跃的威胁，Windows 用户应认真对待。

Trojan.Lotok.V 的作用

一旦在系统中激活，Lotok.V 就会在后台静默运行，执行一系列有害功能。它通常伪装成合法的自解压安装程序包，从而混入正常的软件安装活动中，避免引起怀疑。在这种伪装之下，该木马程序可以将隐藏组件提取到临时文件夹中，并在用户不知情的情况下启动其他可执行文件。

技术分析表明，该木马利用了与进程操控和规避相关的技术，例如取消内存映射和读取进程内存，这些技术通常用于向其他正在运行的进程注入代码或隐藏其真实活动，使其无法被安全工具检测到。它还会检查是否存在调试器，这是恶意软件用来检测分析环境并逃避检测的常用策略。此外，它还会收集基本的系统和用户信息，例如计算机名称和用户名，这些信息可用于识别受感染的计算机或定制进一步的攻击。

Lotok.V一旦完全安装，攻击者便可对受感染的系统拥有高度的控制权。这包括秘密删除文件、安装其他恶意软件、窃取密码和其他敏感数据，以及执行远程攻击者指示的其他恶意操作。

它通常是如何进入电脑的

Trojan.Lotok.V 通常通过利用系统漏洞和安全缺陷进行传播，例如通过被入侵或恶意网站下载，或通过来自不可信来源的电子邮件附件传播。这些附件可能伪装成各种文件类型，包括 .exe、.pif、.avi 甚至 .jpg 文件，诱骗用户打开。由于该木马可以伪装成合法的安装程序，用户可能在不知情的情况下运行它，误以为自己正在安装一个无害或有用的程序。

用户面临的风险

系统中存在 Lotok.V 会带来严重风险。攻击者可能远程控制受感染的计算机，从而导致数据窃取、经济损失、身份盗窃以及其他恶意软件感染。该木马程序能够删除文件并安装其他恶意软件，这还会导致系统不稳定、数据丢失，以及设备受损，若不进行专业清理，则难以完全恢复。

感染迹象

此类感染通常难以察觉，因为恶意软件旨在隐蔽运行。但是，用户可能会注意到系统文件夹中出现异常的临时文件、意外的进程自行启动、系统运行速度变慢、出现不明程序或文件，或者安全软件被禁用或出现故障。

如何做好防护

为降低感染风险，用户应避免从不受信任或非官方网站下载软件，对未经请求的电子邮件附件保持警惕（无论其文件扩展名如何），并保持操作系统和所有已安装软件的更新，以修复已知的安全漏洞。运行信誉良好且最新的安全软件并定期进行系统扫描，有助于在 Lotok.V 等威胁造成严重损害之前将其检测并清除。定期备份重要文件也是预防此类木马造成数据丢失的明智之举。

分析报告

一般信息

姓：	Trojan.Lotok.V
签名状态：	No Signature

已知样本

i

已知样本

本节列出了其他据信与该家族有关的文件样本。

MD5: 852f249c7e06ec8d8ef23ec284fbd184 SHA1: 4f0a6a002965dc1fb6c928bf024c0b5ed3c546f4 SHA256: 98099691E2B6B30273B7ADA851BD6225F07E6E2360D08CE31ADEF835D4AD7741 文件大小: 4.46 MB,4457918字节

Windows 可移植可执行文件属性

i

Windows 可移植可执行文件属性

本节列出了在恶意软件家族样本中发现的文件属性。这些属性提取自文件的 Windows PE（可移植可执行文件）规范和各种系统标志。可移植可执行文件属性使恶意软件研究人员能够深入了解文件的功能、可执行文件的详细信息、平台和运行时环境。

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

显示更多

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

i

文件图标

本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。

Windows PE 版本信息

i

Windows PE 版本信息

本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。

姓名	价值
Company Name	Igor Pavlov
File Description	7z Setup SFX
File Version	4.65
Internal Name	7zS.sfx
Legal Copyright	Copyright (c) 1999-2009 Igor Pavlov
Original Filename	7zS.sfx.exe
Product Name	7-Zip
Product Version	4.65

文件特征

• big overlay
• Gentee
• HighEntropy
• Installer Manifest
• Installer Version
• x86

文件已修改

i

文件已修改

本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。

文件	属性
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp	Synchronize,Write Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\bios.rom	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\bios.rom	Synchronize,Write Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\ec.rom	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\ec.rom	Synchronize,Write Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\setup.exe	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\setup.exe	Synchronize,Write Attributes
c:\users\user\appdata\local\temp\genteeea.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\genteeea\guig.dll	Generic Read,Write Data,Write Attributes,Write extended,Append data

显示更多

c:\users\user\appdata\local\temp\genteeea\setup_temp.gea	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\genteert.dll	Generic Read,Write Data,Write Attributes,Write extended,Append data

注册表修改

i

注册表修改

本节列出了此系列样本创建、修改和/或删除的注册表项和值。Windows 注册表活动可以提供关于恶意软件功能的宝贵信息。此外，恶意软件通常会创建注册表值，以便在初始感染系统后自动启动并无限期地持续存在。

键::值	数据	API名称
HKCU\software\microsoft\ctf\msutb::left	ঔ	RegNtPreCreateKey
HKCU\software\microsoft\ctf\msutb::top		RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n / �v�ZT�����Bx#�� %� (�(X�1`1�1HO@V�H[uH�pN$ _�za$ b"hk`k�ql(�{b��P���! �/��Hu��� ����3 ���������X�����.�m�Ù��gi �V����$ �8წ���l�A �~� �=�SB1_B��T�Vw�`�V �R	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n 0 �v�ZT�����Bx#�� %� (�(X�1`1�1HO@V�H[uH�pN$ _�za$ b"he�vk`k�ql(�{b��P���! �/��Hu��� ����3 ���������X�����.�m�Ù��gi �V����$ �8წ���l�A �~� �=�SB1_B��T�Vw�`�	RegNtPreCreateKey

Windows API 使用情况

i

Windows API 使用情况

本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。

类别	API
Anti Debug	IsDebuggerPresent
User Data Access	GetComputerName GetUserName GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess

Shell命令执行

i

Shell命令执行

本节列出了此系列样本运行的 Windows Shell 命令。恶意软件经常利用 Windows Shell 命令进行恶意活动，例如提升安全权限、下载和启动其他恶意软件、利用漏洞、收集和窃取数据以及隐藏恶意活动。

.\setup.exe