威胁数据库 特洛伊木马 Trojan.MSIL.Krypt.MBCK

Trojan.MSIL.Krypt.MBCK

通过CagedTech在 特洛伊木马
发布时间：
最后更新：
翻译为：

威胁评分卡

人气排名： 17,561
威胁级别： 80 % (高的)
受感染的计算机： 173
初见： January 19, 2022
最后一次露面： September 26, 2026
受影响的操作系统： Windows

Trojan.MSIL.Krypt.MBCK是一种针对 Windows 计算机的木马程序。顾名思义，它使用 Microsoft .NET 框架 (MSIL) 编写，并依赖加密技术来隐藏其真实代码，使其无法被安全扫描程序检测到。该威胁最早于 2022 年 1 月被发现，并在近期的检测中持续出现在系统中，表明它仍然活跃，并且仍在网络上传播。与大多数木马程序一样，它不会主动通知用户。它会在后台静默安装，通常伪装成无害的程序，然后在受害者不知情或未经同意的情况下执行恶意指令。

Trojan.MSIL.Krypt.MBCK 的作用

一旦在系统中激活，此类木马通常会建立立足点，并赋予攻击者对受感染机器不同程度的控制权。由于“Krypt”指的是一种混淆或打包技术，而非单一的固定有效载荷，因此不同感染的具体行为可能有所不同。然而，此类木马通常会进行以下活动：

  • 在受感染的计算机上下载并安装其他恶意软件
  • 收集敏感信息，包括已保存的密码、浏览历史记录或系统详情
  • 修改系统或安全设置以避免被检测和移除
  • 允许远程攻击者向受感染设备发出命令或监控其活动。
  • 创建可用于长期访问系统的后门

由于这是一个高危威胁，用户应认真对待任何此类检测结果，并假定设备上的敏感数据可能已泄露。

它通常如何传播

这类木马程序通常不会自行传播，而是通过诱骗用户安装来达到目的。常见的感染方式包括伪装成发票、文档或其他合法文件的恶意电子邮件附件，以及捆绑盗版软件、破解程序或密钥生成器的下载。虚假软件更新、欺骗性广告以及被入侵或不可信的下载网站也可能被用来将这类木马程序传播到受害者的计算机上。

用户面临的风险

该木马家族的活跃感染可能导致严重后果，包括个人或财务信息被盗、账户被未经授权访问、安装其他恶意软件（例如勒索软件或间谍软件），以及完全丧失对计算机的控制权。鉴于其危险等级，用户不应低估此威胁若不加以解决可能造成的潜在损害。

感染迹象

由于木马程序旨在隐蔽运行，因此可能很少出现明显的症状。用户应注意以下警告信号：系统运行速度异常变慢、后台运行着陌生的进程、程序或文件无故出现、网络活动异常、安全设置或浏览器设置被用户擅自更改，以及已安装的安全软件发出警报。

保持防护

为降低感染风险，用户应避免打开来自未知或意外发件人的电子邮件附件或链接，不要从非官方或盗版来源下载软件，保持操作系统和已安装程序更新，并使用信誉良好的安全软件扫描下载文件后再打开。定期备份重要文件也有助于最大限度地减少感染造成的损失。如果检测到 Trojan.MSIL.Krypt.MBCK 或类似威胁，应立即扫描并清理受影响的设备，以防止进一步的损害。

分析报告

一般信息

姓： Trojan.MSIL.Krypt.MBCK
签名状态： No Signature

已知样本

MD5: 0dc7e16116415723445623c564bc21ff
SHA1: 4f471f4a8ae1d61fe6485de2e320cee10c67425a
SHA256: 95A19D8C9D57A8B5853A9622F552DABF8DC76995DCD2EBF8AB57A580ACAA5493
文件大小: 67.07 KB,67072字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have security information
  • File is .NET application
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE 版本信息

姓名 价值
Assembly Version 1.0.0.0
File Description WindowsFormsApp17
File Version 1.0.0.0
Internal Name WindowsFormsApp17.exe
Legal Copyright Copyright © 2025
Original Filename WindowsFormsApp17.exe
Product Name WindowsFormsApp17
Product Version 1.0.0.0

文件特征

  • .NET
  • x86

区块信息

总区块数： 382
潜在恶意块： 27
白名单区块： 339
未知区块： 16

可视化地图

0 ? 0 ? 0 0 0 0 0 0 0 x x 0 0 0 0 ? x ? 0 0 x x x 0 0 0 0 0 ? 0 0 x ? 0 0 0 0 0 0 0 0 0 0 0 x ? 0 ? 0 x 0 x 0 0 0 0 0 0 0 x x 0 0 0 0 x x ? ? 0 0 x 0 0 0 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x ? 0 0 0 ? x 0 0 x ? x x x 0 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 x ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreatePrivateNamespace
显示更多
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtEnumerateKey
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSemaphore
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDefaultLocale
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryFullAttributesFile
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationJobObject
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseSemaphore
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtUnmapViewOfSectionEx
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWaitLowEventPair
  • ntdll.dll!NtWorkerFactoryWorkerReady
  • ntdll.dll!NtWriteFile
  • UNKNOWN
User Data Access
  • GetComputerNameEx
  • GetUserDefaultLocaleName
  • GetUserObjectInformation
Anti Debug
  • IsDebuggerPresent