Trojan.Kryptik.Gen.EKL

Trojan.Kryptik.Gen.EKL é um cavalo de Troia de alto risco que tem como alvo computadores Windows. Classificado como perigoso, com uma gravidade de 8 em 10, essa ameaça foi projetada para se infiltrar silenciosamente nos sistemas, executar ações maliciosas em segundo plano e, potencialmente, dar aos invasores o controle sobre a máquina infectada. Por pertencer à ampla e prolífica família de cavalos de Troia Kryptik, o Trojan.Kryptik.Gen.EKL compartilha muitas características com detecções relacionadas, como Trojan.Kryptik.Gen.FQK e Trojan.Kryptik.Gen.FZB, que também utilizam táticas semelhantes de furtividade e evasão.

O que faz o Trojan.Kryptik.Gen.EKL

Uma vez ativo em um sistema, o Trojan.Kryptik.Gen.EKL é executado silenciosamente em segundo plano, sem qualquer interface visível, dificultando que um usuário comum perceba qualquer anormalidade. Ele é desenvolvido como um aplicativo nativo de 32 bits para Windows e apresenta sinais de alta entropia, uma característica frequentemente associada a códigos maliciosos ofuscados ou criptografados, projetados para resistir à análise e detecção. A amostra observada também possuía uma assinatura digital que não correspondia ao seu hash de arquivo, o que significa que tentava parecer legitimamente assinada, enquanto na verdade falhava na verificação — um truque comum usado por autores de malware para conferir falsa credibilidade aos seus arquivos.

Em termos comportamentais, observou-se que este Trojan utiliza técnicas associadas à manipulação e evasão de processos, incluindo métodos que podem ser usados para corromper ou adulterar processos legítimos na memória. Também foi observado que ele acessa informações de objetos do usuário, o que pode ser um passo em direção à vigilância ou ao reconhecimento adicional do sistema. Durante a infecção, ele cria e modifica arquivos de cache e metadados em pastas ocultas do sistema, que podem ser usados para armazenar componentes baixados, dados de configuração ou informações roubadas antes de transmiti-los para outros locais.

Como geralmente chega aos computadores

Assim como a maioria das ameaças da família Kryptik, o Trojan.Kryptik.Gen.EKL geralmente se espalha por meios enganosos, em vez de explorar uma vulnerabilidade específica. As vias de infecção comuns incluem softwares baixados de sites não confiáveis ou comprometidos, instaladores agrupados e anexos de e-mail disfarçados de arquivos inofensivos — incluindo executáveis, arquivos de mídia ou imagens que, na verdade, ocultam código malicioso. Em muitos casos, ele também pode chegar por meio da exploração de vulnerabilidades de sistema não corrigidas, permitindo sua instalação sem o conhecimento ou consentimento do usuário.

Riscos para o usuário

As consequências de uma infecção pelo Trojan.Kryptik.Gen.EKL podem ser graves. Uma vez estabelecido, esse tipo de Trojan pode dar aos atacantes remotos controle significativo sobre a máquina infectada, permitindo-lhes potencialmente roubar dados confidenciais, instalar malware adicional, monitorar a atividade do usuário ou usar o sistema como plataforma para ataques subsequentes. Suas técnicas de evasão dificultam a detecção e remoção por ferramentas de segurança e usuários, aumentando o risco de comprometimento prolongado e não detectado.

Sinais de infecção

Como esses Trojans são projetados para operar de forma oculta, as infecções costumam ser difíceis de detectar. Os usuários devem ficar atentos a lentidão inexplicável do sistema, atividades de rede incomuns, arquivos desconhecidos aparecendo em pastas do sistema, travamentos inesperados ou softwares de segurança relatando detecções suspeitas. A presença de arquivos de cache ou metadados desconhecidos em diretórios de dados ocultos de aplicativos, como observado nesta ameaça, também pode ser um sinal de alerta.

Como se manter protegido

Para reduzir o risco de infecção, evite baixar softwares de sites não oficiais ou suspeitos e nunca abra anexos de e-mails de remetentes desconhecidos ou não confiáveis. Mantenha o sistema operacional Windows e todos os softwares instalados totalmente atualizados para corrigir as falhas de segurança que os Trojans costumam explorar. Executar softwares de segurança confiáveis e atualizados, além de realizar verificações regulares do sistema, pode ajudar a detectar e remover ameaças como o Trojan.Kryptik.Gen.EKL antes que causem danos permanentes. Manter backups regulares de dados importantes também ajuda a limitar o impacto de uma infecção bem-sucedida.

Relatório de análise

Informação geral

Nome de família:	Trojan.Kryptik.Gen.EKL
Status da assinatura:	Hash Mismatch

Amostras conhecidas

i

Amostras conhecidas

Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.

MD5: 6ee24211c870cfa69b6f3308459668df SHA1: 78f05bd41f29448afecd416bd6545371282f3c39 SHA256: 63BA3A7317F12EFB1090152C900234CBE86477B81CEEFAC2987055D289D8FE1D Tamanho do Arquivo: 657.68 KB.657680 bytes

Atributos do executável portátil do Windows

i

Atributos do executável portátil do Windows

Esta seção lista os atributos de arquivo encontrados nas amostras da família. Esses atributos são extraídos da especificação Windows PE (Portable Executable) dos arquivos e de vários sinalizadores do sistema. Os atributos do Portable Executable fornecem aos pesquisadores de malware informações sobre a funcionalidade de um arquivo, detalhes do executável, plataforma e ambiente de execução.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Ícones de arquivo

i

Ícones de arquivo

Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.

Informações sobre a versão do Windows PE

i

Informações sobre a versão do Windows PE

Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.

Nome	Valor
File Version	1.0.0.0
Product Version	1.0.0.0

Assinaturas digitais

i

Assinaturas digitais

Esta seção lista as assinaturas digitais anexadas às amostras desta família. Ao analisar e verificar assinaturas digitais, é importante confirmar se a autoridade raiz da assinatura é uma entidade conhecida e confiável e se o status da assinatura é válido. Malwares frequentemente são assinados com assinaturas digitais "autoassinadas" não confiáveis (que podem ser facilmente criadas por um autor de malware sem qualquer verificação). Malwares também podem ser assinados por assinaturas legítimas com status inválido e por assinaturas de autoridades raiz questionáveis com nomes de "assinante" falsos ou enganosos.

Signatário	Raiz	Status
QIHU 360 SOFTWARE CO. LIMITED	Symantec Class 3 SHA256 Code Signing CA	Hash Mismatch
QIHU 360 SOFTWARE CO. LIMITED	VeriSign Class 3 Code Signing 2010 CA	Hash Mismatch

Características do arquivo

• HighEntropy
• x86

Informações do bloco

i

Informações do bloco

Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.

Total de blocos:	1,996
Blocos potencialmente maliciosos:	2
Blocos permitidos:	1,994
Blocos desconhecidos:	0

Mapa visual

0 - Bloco Provavelmente Seguro
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso

Famílias semelhantes

i

Famílias semelhantes

Esta seção lista outras famílias que compartilham semelhanças com esta família, com base na análise da EnigmaSoft. Muitas famílias de malware são criadas a partir dos mesmos kits de ferramentas e utilizam as mesmas técnicas de compactação e criptografia, mas ampliam sua funcionalidade de forma exclusiva. Famílias semelhantes também podem compartilhar código-fonte, atributos, ícones, subcomponentes, assinaturas digitais comprometidas e/ou inválidas e características de rede. Os pesquisadores exploram essas semelhanças para triar amostras de arquivos de forma rápida e eficaz e aprimorar as regras de detecção de malware.

• Banload.XT
• Kryptik.BDEA
• Trojan.Krypt.Gen.RNS
• Trojan.Kryptik.Gen.EKL
• Trojan.Kryptik.Gen.FQK

Show 1 more

• Trojan.Kryptik.Gen.FZB

Arquivos modificados

i

Arquivos modificados

Esta seção lista os arquivos que foram criados, modificados, movidos e/ou excluídos por amostras desta família. A atividade do sistema de arquivos pode fornecer informações valiosas sobre como o malware funciona no sistema operacional.

Arquivo	Atributos
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data

Modificações no Registro

i

Modificações no Registro

Esta seção lista as chaves e os valores do registro que foram criados, modificados e/ou excluídos por amostras desta família. A atividade do Registro do Windows pode fornecer informações valiosas sobre a funcionalidade do malware. Além disso, o malware frequentemente cria valores no registro para permitir que ele inicie automaticamente e persista indefinidamente após uma infecção inicial comprometer o sistema.

Chave::Valor	Dados	Nome da API
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey

Utilização da API do Windows

i

Utilização da API do Windows

Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.

Categoria	API
User Data Access	GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection