威胁数据库 特洛伊木马 Trojan.Upatre.LB

Trojan.Upatre.LB

通过CagedTech在 特洛伊木马
发布时间：
翻译为：

威胁评分卡

威胁级别： 80 % (高的)
受感染的计算机： 15
初见： September 6, 2024
最后一次露面： October 17, 2026
受影响的操作系统： Windows

Trojan.Upatre.LB是一款危险的 Windows 木马程序，旨在悄无声息地入侵计算机，并为进一步的恶意活动打开方便之门。该威胁被评为高危级别，能够赋予攻击者对受感染系统的强大控制权，因此对家庭用户和企业用户都构成严重威胁。

Trojan.Upartre.LB 的作用

一旦进入系统，Trojan.Upatre.LB 就会悄无声息地安装自身并在后台静默运行，通常不会发出任何明显的警告信号。它是一个 32 位 Windows 可执行文件，通常缺少数字签名、版本信息以及其他正常软件所具备的合法标记——这是旨在逃避检测和分析的威胁的常见特征。

该木马程序会利用可疑的系统功能，例如劫持 Windows 进程，从而监控系统活动、拦截数据或操纵受感染计算机上其他程序的行为。一旦成功建立控制，Trojan.Upatre.LB 便可秘密删除文件、下载并安装其他恶意软件，甚至可能将受感染系统的控制权移交给远程攻击者。

它通常是如何进入电脑的

Trojan.Upatre.LB 通常利用尚未修复的系统漏洞和安全缺陷进行传播。它也经常通过来自被入侵或不可信网站的恶意软件下载进行传播。另一种常见的传播方式是电子邮件——该木马可以伪装成带有 .exe、.pif、.avi 甚至 .jpg 等扩展名的附件，诱骗用户打开看似无害的文件。

由于这些文件通常伪装成合法或无害的文件，用户可能在不知不觉中通过打开附件或从不受信任的来源下载文件而自行执行木马程序。

用户面临的风险

Trojan.Upatre.LB 感染的后果可能十分严重。一旦激活，这种威胁可能使网络犯罪分子能够完全控制受感染的计算机。这会导致敏感信息被盗、文件遭到未经授权的访问，以及安装其他恶意软件，例如勒索软件、间谍软件或其他木马程序。用户还可能因感染而遇到系统不稳定、性能问题或文件和设置发生意外更改的情况。

感染迹象

由于 Trojan.Upartre.LB 的设计目的是隐蔽运行，因此可能不会立即出现明显的症状。但是，用户应注意以下警告信号：

  • 系统出现无法解释的运行缓慢或崩溃
  • 网络活动异常或数据使用量增加
  • 文件无故消失或被修改
  • 后台运行着未知程序或进程。
  • 安全软件意外禁用或发生故障

如何做好防护

为了降低感染 Trojan.Upatre.LB 等威胁的风险，用户应保持操作系统和所有已安装软件的更新，这有助于修复恶意软件经常利用的安全漏洞。避免从非官方或可疑网站下载软件，切勿打开来自未知或不受信任发件人的电子邮件附件，尤其是带有 .exe 或 .pif 等可执行扩展名的文件。

定期备份重要文件、使用信誉良好且最新的安全解决方案，以及在浏览互联网或处理电子邮件附件时保持谨慎，是保护您的系统免受此类及类似木马威胁的重要步骤。

分析报告

一般信息

姓： Trojan.Upatre.LB
签名状态： No Signature

已知样本

MD5: 6b51460eaa630d341a8bfb2afbc7a339
SHA1: a6c4fb81f1971cbd7afd3e0d28573902685618e5
SHA256: 2E78FF9952BB11C542946A59B2C13EA77C85336DA3C4C63E0A1AC0124917F788
文件大小: 278.53 KB,278528字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have relocations information
  • File doesn't have resources
  • File doesn't have security information
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
显示更多
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件特征

  • No Version Info
  • x86

区块信息

总区块数： 319
潜在恶意块： 105
白名单区块： 214
未知区块： 0

可视化地图

x 0 x x x x x x x x x 0 x x x 0 x x 0 x x x x x x x x x x x x x 0 x x 0 x 0 x x x x x x x x x x x x x x x x x x x x x x x x x 0 x x x x x x x x x x 0 x x x x x x x x x x x x x x x x x x x x 0 x x x x x 0 0 x x x 0 0 0 x 0 x x x x x x x x 0 0 0 0 0 0 x 0 0 x 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

  • Upatre.LB

文件已修改

文件 属性
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data

注册表修改

键::值 数据 API名称
HKLM\software\wow6432node\microsoft\directdraw\mostrecentapplication::name a6c4fb81f1971cbd7afd3e0d28573902685618e5_0000278528 RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\directdraw\mostrecentapplication::id 話㤠 RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n8��"ajg�8 �� �v ��T��������%��Bx#��$kF%�&� (�(X�(�)�`*J*9*�"-!R1`1�1HO1��5,]=�@V�A��D�G�IH[uH�pK��N$N�a$b"hc�wg�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�ny�9 RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 �n�8��"ajg�8 �� �v ��T��������%��Bx#��$kF%�&� (�(X�(�)�`*J*9*�",=�-!R1`1�1HO1��5,]=�@V�A��D�G�IH[uH�pK��N$N�a$b"hc�wg�Xh�rj�bk`k�ql(�lR p*q�Xr�BtǤvy�w�n RegNtPreCreateKey

Windows API 使用情况

类别 API
Other Suspicious
  • SetWindowsHookEx