Trojan.MSIL.Krypt.EEFG
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 威胁级别： | 80 % (高的) |
| 初见： | October 23, 2026 |
| 最后一次露面： | November 11, 2026 |
| 受影响的操作系统： | Windows |
Trojan.MSIL.Krypt.EEFG 是一款 Windows 木马，危险等级为 8（满分 10 分）。与其他木马类似，它伪装成无害程序，或在用户不知情的情况下潜入，然后在后台执行恶意操作。其名称中的“MSIL”部分表明该程序基于 .NET 平台构建。它与另一个木马 MSIL.Krypt.GERE 有关联。我们的数据显示，该木马最早出现于 2026 年 10 月 23 日，最近一次出现于 2026 年 11 月 11 日，目前已记录到 5 次检测。
目录
威胁会造成什么影响？
根据描述，MSIL.Krypt.EEFG 会悄无声息地安装自身，并在后台静默运行，执行恶意操作。安装后，攻击者可能获得对受感染系统的完全控制权。它还可能秘密删除文件，描述中列出了其他有害操作。
分析的文件是一个 32 位 .NET GUI 可执行文件。它未加压缩，没有数字签名，且熵值很高。它还使用了通常与反调试相关的 Windows 函数，例如IsDebuggerPresent和NtQuerySystemInformation 。恶意软件通常使用此类检查来检测分析环境并躲避研究人员。它还会调用读取用户相关信息（例如默认区域设置）的函数。
该文件的版本信息显示其为“皇家铸币厂”（Royal Mint），出自“Officina Regalis”，版本号为1.0.0.0。这类信息很容易被篡改，因此无法判断文件是否合法。恶意软件通常会使用看似普通的名称和描述来逃避检测。
在行为分析中，共检查了190个区块。其中，6个被标记为潜在恶意区块，134个被列入白名单，50个未知。
它通常是如何进入电脑的
数据显示，这种木马程序最常见的传播方式如下：
- 利用系统漏洞和安全缺陷。
- 从恶意网站下载软件。
- 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。
使用双关语或伪装扩展名的文件，例如伪装成图片或视频的程序，是诱骗人们打开文件的常见伎俩。
用户面临的风险
危险等级为 8，因此必须认真对待此次警报。根据描述，主要风险包括：
- 攻击者远程控制您的计算机。
- 秘密删除文件。
- 其他不必要的活动在后台悄悄运行。
此类木马程序通常还会植入其他恶意软件或收集个人数据。这在同类程序中很常见，虽然尚未证实此样本也存在这种情况，但这足以说明任何感染都可能构成隐私和账户安全问题。
感染迹象
该木马程序设计为静默运行，因此可能不会出现任何明显的症状。此类威胁的典型警告信号包括：
- 出现意外的运行速度下降、崩溃或资源占用过高的情况。
- 文件无故丢失或更改。
- 您未安装的陌生程序或进程。
- 网络活动或设置出现异常，自行发生变化。
- 您的安全软件报告检测到此名称的异常。
因为这些症状也可能是由其他原因引起的，所以进行全面扫描是最可靠的检查方法。
如何保护自己
- 保持 Windows 和所有已安装程序更新，以修复已知漏洞。
- 请仅从官方、可信的来源下载软件，避免访问不熟悉的网站。
- 不要打开来自未知发件人的附件，尤其是可执行文件或文件类型与描述不符的文件。请在 Windows 系统中启用显示完整文件扩展名。
- 对于未签名且您未预期运行的程序，请务必谨慎。
- 使用信誉良好、版本最新的安全工具，并定期进行全面扫描。
- 将重要文件备份到单独的驱动器或服务上，该驱动器或服务不应始终保持连接。
如果您怀疑电脑感染了病毒，请断开电脑与互联网的连接，运行完整的系统扫描，并清除所有检测到的病毒。然后，在干净的设备上更改您的重要密码。如果电脑仍然运行异常，请考虑寻求专业帮助。
分析报告
一般信息
| 姓： | Trojan.MSIL.Krypt.EEFG |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
ff8f929487b17cdd601abc654d5b9761
SHA1:
afaf66ede550e9b176dd3a82bab7602cb2c52c6c
SHA256:
698C73A3A1E09C027B51407F93662FFE6DB4EC5B4F977153E4CD2CCC6FBEB139
文件大小:
974.34 KB,974336字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件图标
文件图标
本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。
Windows PE 版本信息
Windows PE 版本信息
本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。| 姓名 | 价值 |
|---|---|
| Assembly Version | 1.0.0.0 |
| Company Name | Officina Regalis |
| File Description | Royal Mint |
| File Version | 1.0.0.0 |
| Internal Name | Lxdy.exe |
| Legal Copyright | Copyright 2026 |
| Original Filename | Lxdy.exe |
| Product Name | Royal Mint |
| Product Version | 1.0.0.0 |
文件特征
- .NET
- HighEntropy
- x86
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 190 |
|---|---|
| 潜在恶意块： | 6 |
| 白名单区块： | 134 |
| 未知区块： | 50 |
可视化地图
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- MSIL.Krypt.GERE
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| User Data Access |
|
| Anti Debug |
|