威胁数据库 特洛伊木马 Trojan.Kryptik.Gen.ESE

Trojan.Kryptik.Gen.ESE

通过CagedTech在 特洛伊木马
发布时间：
翻译为：

Trojan.Kryptik.Gen.ESE是一个通用检测名称，用于标记那些具有通常与木马恶意软件相关的特征的文件。“Kryptik”标签通常用于那些经过打包、混淆或加密处理的威胁，这些处理方式使其真实代码和用途对安全扫描程序隐藏起来。由于这是一个通用或启发式检测，因此它可以代表一系列具有类似打包技术或可疑行为的恶意程序，而不是指具有单一固定功能的单个特定恶意软件。

这种威胁会造成什么影响？

与大多数木马程序一样，被检测为 Trojan.Kryptik.Gen.ESE 的威胁旨在伪装成无害甚至有用的形式，同时在受感染的设备上秘密执行未经授权的操作。根据隐藏在混淆层背后的具体有效载荷，此类检测可能与以下行为相关：下载并安装其他恶意文件、窃取个人或系统信息、允许远程攻击者访问或控制计算机、修改系统设置或禁用安全工具。此类木马程序通常会在后台静默运行，避免明显的活动迹象，从而尽可能长时间地维持感染。

它通常是如何进入电脑的

像这样以通用名称标记的木马程序通常通过木马程序常见的传播方式进行传播。这些方式包括恶意电子邮件附件、钓鱼邮件中的链接、来自不可信网站的捆绑下载、破解或盗版软件、虚假软件更新以及受感染的移动存储介质。由于检测是基于打包和混淆模式，而非单一的传播方式，因此用户应假定任何一种常见的感染途径都可能导致木马程序传播，而不应仅仅依赖于某一种特定的传播方式。

用户面临的风险

由于底层有效载荷可能各不相同，因此与此类检测相关的风险也可能差异很大。此类木马的典型危险包括：敏感数据（例如登录凭证或财务信息）被盗、未经授权的远程访问系统、安装其他恶意软件、系统性能下降，以及受感染的设备可能被恶意利用，成为更大规模恶意行动的一部分。用户应认真对待任何此类木马的检测结果，因为文件的混淆特性使得在不进行深入分析的情况下难以了解其全部功能。

感染迹象

受此类木马感染的系统通常会表现出恶意软件感染的典型症状。这些症状包括：系统运行速度异常减慢、网络活动异常、任务管理器中出现陌生进程、浏览器或系统设置未经用户操作而被更改、安全软件被禁用或阻止，以及出现未知文件或程序。在某些情况下，可能没有任何明显的症状，而这正是通用检测木马尤其危险的原因之一。

如何做好防护

为了降低遭遇此类威胁的风险，用户应保持操作系统和已安装应用程序的更新，避免打开来自未知或意外来源的附件或链接，仅从官方或信誉良好的网站下载软件，并对盗版或破解程序保持警惕。定期备份重要数据、使用强密码和唯一密码，以及定期进行系统全面扫描，也有助于在 Trojan.Kryptik.Gen.ESE 等威胁造成重大损害之前将其检测并清除。如果系统检测到此类威胁，应立即进行调查并清除，因为通用木马检测可能表明存在更严重的隐藏恶意软件。

分析报告

一般信息

姓： Trojan.Kryptik.Gen.ESE
签名状态： No Signature

已知样本

MD5: 04973116e9d0ca49b4af6c5236ea945a
SHA1: ff27bcf75aeb29d50421912ed4f6a6eb7e40a691
SHA256: F95B362D09C1FEC3128EF066606ADC5165762FE3C6F2D63C1A08D13312B29437
文件大小: 2.53 MB,2532352字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have resources
  • File doesn't have security information
  • File has TLS information
  • File is 64-bit executable
  • File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
  • File is either console or GUI application
  • File is Native application (NOT .NET application)
  • File is not packed
显示更多
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件特征

  • HighEntropy
  • No Version Info
  • ntdll
  • x64

区块信息

总区块数： 1,972
潜在恶意块： 13
白名单区块： 1,897
未知区块： 62

可视化地图

0 0 0 0 0 ? 0 x 0 0 0 0 0 0 0 0 0 0 ? ? ? ? ? ? ? ? ? ? 0 0 0 ? 0 0 ? 0 0 0 0 ? 0 ? ? ? ? 0 0 0 0 x ? 0 0 ? ? 0 0 0 0 ? 0 ? ? ? 0 0 ? ? ? 0 0 0 ? ? ? 0 ? 0 0 ? 0 ? ? 0 ? 0 0 0 0 0 0 0 0 0 0 0 x 0 0 ? 0 ? 0 0 ? 0 0 0 0 0 0 x 0 0 0 0 ? 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 ? 0 x 0 0 0 0 0 0 ? 0 0 ? ? ? 0 ? 0 0 ? ? 0 0 0 ? 0 0 ? 0 0 ? 0 ? 0 0 ? x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 0 0 0 0 0 0 0 0 1 0 1 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtWriteFile
  • UNKNOWN