威胁数据库 特洛伊木马 Trojan.MSIL.Krypt.TDW

Trojan.MSIL.Krypt.TDW

通过CagedTech在 特洛伊木马
发布时间：
最后更新：

威胁评分卡

人气排名： 25,519
威胁级别： 80 % (高的)
初见： August 8, 2026
最后一次露面： August 27, 2026
受影响的操作系统： Windows

Trojan.MSIL.Krypt.TDW 是一款针对 Windows 计算机的木马程序。其危险等级为 8 分（满分 10 分），属于高风险级别。名称中的“MSIL”表明该程序基于 .NET 平台构建。该木马程序最早于 2026 年 8 月 8 日被发现，最近一次检测是在 2026 年 8 月 27 日。目前该木马程序仅记录到一次检测结果，因此尚无关于其传播范围的数据。

威胁会造成什么影响？

与其他木马程序一样，它被设计成在后台静默运行，并在用户不知情的情况下执行恶意操作。据消息人士透露，它可能使攻击者完全控制受感染的系统，并可能秘密删除文件，以及执行其他有害功能。

分析的样品显示出以下几个技术特征：

  • 这是一个 32 位 .NET GUI 可执行文件，未打包且没有数字签名。
  • 它的版本信息使用了内部原始名称“Aventa2xUninstaller.exe”，这使其看起来像是一个卸载程序。木马程序经常使用这种看似无害的名称，但该信息源并未说明该名称是故意伪装的。
  • 它使用反调试检查（IsDebuggerPresent），这通常是为了增加分析难度。
  • 它调用了与进程操作相关的函数，包括 NtUnmapViewOfSection 和 ReadProcessMemory。这种组合通常与篡改其他进程有关，但信息流并未证实它在此处具体执行了什么操作。
  • 它使用 Windows 加密函数 (BCryptOpenAlgorithmProvider) 并创建一个新进程。在分析过程中，它启动了一个 .NET Framework 错误报告组件 (dw20.exe)。
  • 它修改了用户配置文件中的 Windows 注册表事务文件、Amcache 文件和一个命名管道。

在观察到的 208 个活动块中，8 个被标记为潜在的恶意活动，90 个被列入白名单，110 个未知。

它通常是如何进入电脑的

消息称，这种木马程序会悄无声息地安装自身。常见的安装途径有：

  • 利用系统漏洞和安全缺陷。
  • 从恶意网站下载软件。
  • 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。

伪装成图片或视频的文件是一种常见的骗局，因为用户往往会在不怀疑的情况下打开它们。

用户面临的风险

  • 远程攻击者可能完全控制计算机。
  • 文件可能在您不知情的情况下被删除。
  • 可能还会安装其他恶意软件。这是木马的典型特征，尽管信息摘要在列出所有功能之前就被截断了。
  • 计算机上的个人数据和账户可能会被泄露。这是具有远程控制功能的木马程序的典型风险，而非此样本的特有行为。

感染迹象

这种木马程序旨在隐藏自身，因此可能不会出现明显的症状。此类威胁的典型警告信号包括：

  • 由于不熟悉的流程，导致意外的速度下降或资源消耗过高。
  • 文件无故丢失或更改。
  • 无故出现的未知程序或错误报告窗口。
  • 安全工具会提醒您检测名称为 Trojan.MSIL.Krypt.TDW 的木马。
  • 一个文件名像卸载程序的文件，但你从未下载或运行过。

如何保护自己

  • 不要打开来自未知发件人的附件，尤其是 .exe 或 .pif 文件以及行为异常的媒体文件。
  • 请仅从官方、可信来源下载软件，避免使用破解版或非官方安装程序。
  • 保持 Windows 和所有应用程序更新至最新版本，以修复木马程序利用的漏洞。
  • 使用信誉良好、功能最新的安全解决方案，并具备实时保护功能，定期进行全面扫描。
  • 将重要文件备份到与计算机没有永久连接的设备或服务上。

    • 如果您怀疑电脑感染了病毒，请断开电脑与互联网的连接，运行全面扫描，并清除所有检测到的恶意软件。之后，请在干净的设备上更改您的重要密码，因为具有远程访问权限的木马程序可能已经泄露了您的密码。

    分析报告

    一般信息

    姓： Trojan.MSIL.Krypt.TDW
    签名状态： No Signature

    已知样本

    MD5: 404f46839df957a1ea63b5d9ed0117c0
    SHA1: 305135a9d1716386415a1b3571f76b2089fb81cf
    SHA256: 9D5B1BAACF327FA304C696E80F2FB04C33DD96E484DFDC729C4B387ACBD86354
    文件大小: 466.43 KB,466432字节

    Windows 可移植可执行文件属性

    • File doesn't have "Rich" header
    • File doesn't have debug information
    • File doesn't have exports table
    • File doesn't have security information
    • File is .NET application
    • File is 32-bit executable
    • File is either console or GUI application
    • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
    • File is not packed
    • IMAGE_FILE_DLL is not set inside PE header (Executable)
    Show 1 more
    • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

    文件图标

    Windows PE 版本信息

    姓名 价值
    Assembly Version 1.0.3541.16625
    File Version 1.0.3541.16625
    Internal Name Aventa2xUninstaller.exe
    Original Filename Aventa2xUninstaller.exe
    Product Version 1.0.3541.16625

    文件特征

    • .NET
    • HighEntropy
    • Installer Version
    • x86

    区块信息

    总区块数： 208
    潜在恶意块： 8
    白名单区块： 90
    未知区块： 110

    可视化地图

    0 - 可能的保险箱
    ? - 未知区块
    x - 潜在恶意拦截

    文件已修改

    文件 属性
    \device\namedpipe\gmdasllogger Generic Write,Read Attributes
    c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
    c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
    c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
    c:\windows\appcompat\programs\amcache.hve Read Data,Read Control,Write Data
    c:\windows\appcompat\programs\amcache.hve Write Attributes

    注册表修改

    键::值 数据 API名称
    HKLM\system\software\microsoft\tip\aggregateresults::data ⳛ˼耀塉»ⳛ˼耀塉 隞̃́耀꧌ڌԹ RegNtPreCreateKey

    Windows API 使用情况

    类别 API
    Syscall Use
    • ntdll.dll!NtAccessCheck
    • ntdll.dll!NtAdjustPrivilegesToken
    • ntdll.dll!NtAlertThreadByThreadId
    • ntdll.dll!NtAlpcConnectPort
    • ntdll.dll!NtAlpcSendWaitReceivePort
    • ntdll.dll!NtApphelpCacheControl
    • ntdll.dll!NtAssociateWaitCompletionPacket
    • ntdll.dll!NtClearEvent
    • ntdll.dll!NtClose
    • ntdll.dll!NtConnectPort
    Show 78 more
    • ntdll.dll!NtCreateEvent
    • ntdll.dll!NtCreateIoCompletion
    • ntdll.dll!NtCreateKey
    • ntdll.dll!NtCreateMutant
    • ntdll.dll!NtCreateSection
    • ntdll.dll!NtCreateSemaphore
    • ntdll.dll!NtCreateTimer2
    • ntdll.dll!NtCreateWaitCompletionPacket
    • ntdll.dll!NtCreateWorkerFactory
    • ntdll.dll!NtDelayExecution
    • ntdll.dll!NtDeleteValueKey
    • ntdll.dll!NtDeviceIoControlFile
    • ntdll.dll!NtDuplicateObject
    • ntdll.dll!NtDuplicateToken
    • ntdll.dll!NtEnumerateKey
    • ntdll.dll!NtEnumerateValueKey
    • ntdll.dll!NtFreeVirtualMemory
    • ntdll.dll!NtFsControlFile
    • ntdll.dll!NtLoadKeyEx
    • ntdll.dll!NtMapViewOfSection
    • ntdll.dll!NtNotifyChangeKey
    • ntdll.dll!NtOpenDirectoryObject
    • ntdll.dll!NtOpenEvent
    • ntdll.dll!NtOpenFile
    • ntdll.dll!NtOpenKey
    • ntdll.dll!NtOpenKeyEx
    • ntdll.dll!NtOpenProcessToken
    • ntdll.dll!NtOpenProcessTokenEx
    • ntdll.dll!NtOpenSection
    • ntdll.dll!NtOpenSemaphore
    • ntdll.dll!NtOpenSymbolicLinkObject
    • ntdll.dll!NtOpenThread
    • ntdll.dll!NtOpenThreadToken
    • ntdll.dll!NtOpenThreadTokenEx
    • ntdll.dll!NtProtectVirtualMemory
    • ntdll.dll!NtQueryAttributesFile
    • ntdll.dll!NtQueryDefaultLocale
    • ntdll.dll!NtQueryDirectoryFileEx
    • ntdll.dll!NtQueryInformationFile
    • ntdll.dll!NtQueryInformationProcess
    • ntdll.dll!NtQueryInformationThread
    • ntdll.dll!NtQueryInformationToken
    • ntdll.dll!NtQueryKey
    • ntdll.dll!NtQueryLicenseValue
    • ntdll.dll!NtQueryPerformanceCounter
    • ntdll.dll!NtQuerySecurityAttributesToken
    • ntdll.dll!NtQuerySecurityObject
    • ntdll.dll!NtQuerySymbolicLinkObject
    • ntdll.dll!NtQuerySystemInformation
    • ntdll.dll!NtQuerySystemInformationEx
    • ntdll.dll!NtQueryValueKey
    • ntdll.dll!NtQueryVirtualMemory
    • ntdll.dll!NtQueryWnfStateData
    • ntdll.dll!NtReadRequestData
    • ntdll.dll!NtReadVirtualMemory
    • ntdll.dll!NtReleaseMutant
    • ntdll.dll!NtReleaseSemaphore
    • ntdll.dll!NtReleaseWorkerFactoryWorker
    • ntdll.dll!NtRequestWaitReplyPort
    • ntdll.dll!NtSetEvent
    • ntdll.dll!NtSetInformationKey
    • ntdll.dll!NtSetInformationProcess
    • ntdll.dll!NtSetInformationThread
    • ntdll.dll!NtSetInformationVirtualMemory
    • ntdll.dll!NtSetInformationWorkerFactory
    • ntdll.dll!NtSubscribeWnfStateChange
    • ntdll.dll!NtTestAlert
    • ntdll.dll!NtTraceControl
    • ntdll.dll!NtTraceEvent
    • ntdll.dll!NtUnmapViewOfSection
    • ntdll.dll!NtUnmapViewOfSectionEx
    • ntdll.dll!NtWaitForAlertByThreadId
    • ntdll.dll!NtWaitForSingleObject
    • ntdll.dll!NtWaitForWorkViaWorkerFactory
    • ntdll.dll!NtWaitLowEventPair
    • ntdll.dll!NtWorkerFactoryWorkerReady
    • ntdll.dll!NtWriteFile
    • UNKNOWN
    User Data Access
    • GetUserObjectInformation
    Anti Debug
    • IsDebuggerPresent
    Process Manipulation Evasion
    • NtUnmapViewOfSection
    • ReadProcessMemory
    Process Shell Execute
    • CreateProcess
    Encryption Used
    • BCryptOpenAlgorithmProvider

    Shell命令执行

    C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 836