Trojan.Kryptik.Gen.EKL

Trojan.Kryptik.Gen.EKL是一款针对 Windows 计算机的高风险木马程序。该威胁被评为危险级别，严重程度为 8 分（满分 10 分）。它旨在悄无声息地渗透系统，在后台执行恶意操作，并有可能使攻击者控制受感染的计算机。由于 Trojan.Kryptik.Gen.EKL 属于广泛传播的 Kryptik 木马家族，因此它与 Trojan.Kryptik.Gen.FQK 和 Trojan.Kryptik.Gen.FZB 等相关木马程序有很多共同特征，这些木马程序都依赖于类似的隐蔽和规避策略。

Trojan.Kryptik.Gen.EKL 的作用

Trojan.Kryptik.Gen.EKL 一旦在系统中激活，便会在后台静默运行，没有任何可见界面，因此普通用户很难察觉任何异常。它被构建为一个原生 32 位 Windows 应用程序，并表现出高熵的特征，这种特征通常与混淆或加密的恶意代码相关，旨在逃避分析和检测。此外，检测到的样本还具有与其文件哈希值不匹配的数字签名，这意味着它试图伪装成合法签名，但实际上并未通过验证——这是恶意软件作者常用的伎俩，旨在为其文件赋予虚假的可信度。

从行为上看，该木马已被观察到使用与进程操控和规避相关的技术，包括可用于掏空或篡改内存中合法进程的方法。它还会访问用户对象信息，这可能是进行监视或进一步系统侦察的手段。在感染过程中，它会在隐藏的系统文件夹中创建和修改缓存和元数据文件，并可能利用这些文件存储下载的组件、配置数据或窃取的信息，然后再将其传输到其他地方。

它通常是如何进入电脑的

与 Kryptik 家族的大多数威胁一样，Trojan.Kryptik.Gen.EKL 通常通过欺骗手段传播，而不是利用单一的特定漏洞。常见的感染途径包括从不可信或已被入侵的网站下载的软件、捆绑安装程序以及伪装成无害文件的电子邮件附件——这些附件可能包含可执行文件、媒体文件或图像文件，但实际上却隐藏着恶意代码。在许多情况下，它也可能通过利用未修补的系统漏洞传播，从而在用户不知情或未经同意的情况下完成安装。

用户面临的风险

Trojan.Kryptik.Gen.EKL 感染的后果可能十分严重。一旦成功感染，这类木马就能赋予远程攻击者对受感染计算机的强大控制权，使其能够窃取敏感数据、安装其他恶意软件、监控用户活动，甚至利用该系统发起进一步攻击。其规避技术使得安全工具和用户都难以检测和清除，从而增加了长期遭受攻击而不被发现的风险。

感染迹象

由于此类木马程序旨在隐蔽运行，因此感染往往难以察觉。用户应注意系统无故变慢、异常网络活动、系统文件夹中出现陌生文件、意外崩溃或安全软件报告可疑情况。如本例所示，隐藏的应用程序数据目录中存在未知缓存或元数据文件也可能是一个警告信号。

如何做好防护

为降低感染风险，请避免从非官方或可疑网站下载软件，切勿打开来自未知或不受信任发件人的电子邮件附件。保持 Windows 操作系统和所有已安装软件的最新版本，以修复木马程序经常利用的安全漏洞。运行信誉良好且最新的安全软件并定期进行系统扫描，有助于在 Trojan.Kryptik.Gen.EKL 等威胁造成永久性损害之前将其检测并清除。定期备份重要数据也有助于最大限度地减少感染成功的影响。

分析报告

一般信息

姓：	Trojan.Kryptik.Gen.EKL
签名状态：	Hash Mismatch

已知样本

i

已知样本

本节列出了其他据信与该家族有关的文件样本。

MD5: 6ee24211c870cfa69b6f3308459668df SHA1: 78f05bd41f29448afecd416bd6545371282f3c39 SHA256: 63BA3A7317F12EFB1090152C900234CBE86477B81CEEFAC2987055D289D8FE1D 文件大小: 657.68 KB,657680字节

Windows 可移植可执行文件属性

i

Windows 可移植可执行文件属性

本节列出了在恶意软件家族样本中发现的文件属性。这些属性提取自文件的 Windows PE（可移植可执行文件）规范和各种系统标志。可移植可执行文件属性使恶意软件研究人员能够深入了解文件的功能、可执行文件的详细信息、平台和运行时环境。

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

i

文件图标

本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。

Windows PE 版本信息

i

Windows PE 版本信息

本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。

姓名	价值
File Version	1.0.0.0
Product Version	1.0.0.0

数字签名

i

数字签名

本节列出了该系列样本所附带的数字签名。在分析和验证数字签名时，务必确认签名的根授权机构是知名且可信的实体，并且签名状态良好。恶意软件通常使用不可信的“自签名”数字签名（恶意软件作者可以轻松创建此类签名，无需任何验证）。恶意软件也可能使用状态无效的合法签名，或者使用来自可疑根授权机构且签名者名称虚假或具有误导性的签名。

签名者	根	地位
QIHU 360 SOFTWARE CO. LIMITED	Symantec Class 3 SHA256 Code Signing CA	Hash Mismatch
QIHU 360 SOFTWARE CO. LIMITED	VeriSign Class 3 Code Signing 2010 CA	Hash Mismatch

文件特征

• HighEntropy
• x86

区块信息

i

区块信息

在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。

总区块数：	1,996
潜在恶意块：	2
白名单区块：	1,994
未知区块：	0

可视化地图

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

相似家庭

i

相似家庭

本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。

• Banload.XT
• Kryptik.BDEA
• Trojan.Krypt.Gen.RNS
• Trojan.Kryptik.Gen.EKL
• Trojan.Kryptik.Gen.FQK

Show 1 more

• Trojan.Kryptik.Gen.FZB

文件已修改

i

文件已修改

本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。

文件	属性
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data

注册表修改

i

注册表修改

本节列出了此系列样本创建、修改和/或删除的注册表项和值。Windows 注册表活动可以提供关于恶意软件功能的宝贵信息。此外，恶意软件通常会创建注册表值，以便在初始感染系统后自动启动并无限期地持续存在。

键::值	数据	API名称
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey

Windows API 使用情况

i

Windows API 使用情况

本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。

类别	API
User Data Access	GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection