Trojan.Penguish.KB
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 人气排名： | 23,648 |
| 威胁级别： | 80 % (高的) |
| 受感染的计算机： | 11 |
| 初见： | March 15, 2025 |
| 最后一次露面： | November 4, 2026 |
| 受影响的操作系统： | Windows |
Trojan.Penguish.KB 是一款 Windows 木马，危险等级为 8（满分 10 分）。与其他木马一样，它伪装成无害或有用的程序，同时在后台悄悄地执行其真正的恶意操作。该木马最早于 2025 年 3 月 15 日被发现，最近一次发现是在 2026 年 11 月 4 日，因此目前仍然活跃。
目录
威胁会造成什么影响？
根据信息流数据，Penguish.KB 会隐蔽安装自身并在后台静默运行，执行恶意功能。它可能使攻击者完全控制受感染的系统。描述中还提到，它可能会秘密删除文件。此类木马通常还会下载其他恶意软件，但信息流文本在此处被截断，因此请将此视为典型行为，而非已确认的功能。
分析的一个样本包含的版本信息看起来像是一个名为 JoyToKey 的游戏手柄转键盘工具。攻击者通常会将恶意软件伪装成真实程序，或将其与真实程序捆绑在一起，以使其看起来可信。该信息源并未说明此文件的构建方式，因此其与真实程序的确切关系尚不清楚。同一样本还具有以下特征：
- 这是一个未打包的 32 位 Windows GUI 可执行文件。
- 它没有数字签名。
- 它使用了与钩子和键盘状态相关的 Windows 函数（SetWindowsHookEx 和 GetKeyState）。合法的输入重映射工具也会使用这些函数，但它们也是监控按键的程序的典型特征。
- 它修改了用户“文档”文件夹内 JoyToKey 文件夹中的日志文件。
由于这些行为与正常软件的行为重叠，因此单独来看，任何一种行为都不能证明文件是恶意的。缺少签名以及看似可信的名称与检测到的标记不匹配，都是需要谨慎对待的原因。
它通常是如何进入电脑的
该信息流列出了以下分发路径：
- 利用系统漏洞和安全缺陷。
- 从恶意网站下载软件。
- 来自不受信任来源的电子邮件附件，通常带有 .exe、.pif、.avi 甚至 .jpg 扩展名。
由于此样本模仿的是实用程序，因此从非官方网站、镜像站点或重新打包/本地化的副本下载工具存在一定的风险。这通常是木马程序的典型特征，而非此样本本身的特有特征。
用户面临的风险
- 攻击者远程控制您的计算机。
- 文件丢失或删除。
- 安装其他不需要的或恶意程序，这是木马的典型特征。
- 如果滥用键盘相关功能，可能会导致密码等输入数据泄露。这只是基于样本所使用的功能推测，并非来自实际案例。
感染迹象
该病毒源未列出任何可见症状，且木马程序设计为静默运行。一般来说，请注意以下几点：
- 下载的程序运行异常或创建了意外文件。
- 无法解释的运行速度减慢或后台活动。
- 无故丢失的文件。
- 自动出现的陌生节目。
- 账户显示您未进行的登录或更改。
因为感染可能悄无声息，所以系统看起来干净并不能排除感染的可能性。
如何保护自己
- 务必保持 Windows 和所有已安装软件处于最新状态，因为漏洞是主要的攻击入口点。
如果您认为自己运行过与此检测相关的文件，请断开网络连接，扫描计算机，并删除所有被标记的文件。之后，请在干净的设备上更改密码，并检查您的重要帐户是否存在可疑活动。
分析报告
一般信息
| 姓： | Trojan.Penguish.KB |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
2984ad93d4c813379fa25fa2bc4e97dd
SHA1:
693c69f04e82bfa53ab323c06d7ec06ddf753c37
SHA256:
67CA30B9C3A42CE4A71CAEACE25F52BA349FA0FE32D8AEFC1D9F59F59C258888
文件大小:
4.95 MB,4946288字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Show 2 more
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件图标
文件图标
本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。
Windows PE 版本信息
Windows PE 版本信息
本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。| 姓名 | 价值 |
|---|---|
| Comments | https://joytokey.net/ |
| Company Name | JTK software |
| File Description | JoyToKey - Convert Joystick to Keyboard/Mouse Input |
| File Version | 7.0.0.565 |
| Internal Name | JoyToKey |
| Legal Copyright | Copyright(C) JTK, 1999-2024 |
| Original Filename | JoyToKey |
| Product Name | 一羞汉化 |
| Product Version | 7.0 |
| Program I D | 一羞汉化 |
文件特征
- HighEntropy
- VirtualQueryEx
- x86
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 11,644 |
|---|---|
| 潜在恶意块： | 450 |
| 白名单区块： | 11,194 |
| 未知区块： | 0 |
可视化地图
... 数据已截断? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- Ousaban.C
- Penguish.KB
- Se7enkills.A
文件已修改
文件已修改
本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。| 文件 | 属性 |
|---|---|
| c:\users\user\documents\joytokey\joytokey.log | Generic Write,Read Attributes |
注册表修改
注册表修改
本节列出了此系列样本创建、修改和/或删除的注册表项和值。Windows 注册表活动可以提供关于恶意软件功能的宝贵信息。此外，恶意软件通常会创建注册表值，以便在初始感染系统后自动启动并无限期地持续存在。| 键::值 | 数据 | API名称 |
|---|---|---|
| HKCU\system\currentcontrolset\control\mediaproperties\privateproperties\directinput\vid_0627&pid_0001\calibration\0::guid | P.�F����DEST | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::usesmapper | RegNtPreCreateKey | |
| HKCU\software\microsoft\directinput\mostrecentapplication::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::id | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_00049462886634D1DC004B7970 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::version | ࠀ | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::mostrecentstart | 릙ᜐ泣ǝ | RegNtPreCreateKey |
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Keyboard Access |
|