Trojan.Expiro.I
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Beliebtheitsrang: | 278 |
| Bedrohungsstufe: | 80 % (Hoch) |
| Infizierte Computer: | 400,030 |
| Zum ersten Mal gesehen: | October 8, 2021 |
| Zuletzt gesehen: | November 13, 2026 |
| Betroffene Betriebssysteme: | Windows |
Trojan.Expiro.I ist ein Windows-Trojaner mit einer Gefährlichkeitsbewertung von 8 von 10. Er ist seit mehreren Jahren bekannt: Die erste Erkennung erfolgte am 8. Oktober 2021, die letzte am 13. November 2026. Laut dem Feed gibt es über 400.000 Meldungen, es handelt sich also nicht um eine seltene oder kurzlebige Bedrohung.
Inhaltsverzeichnis
Was Trojan.Expiro.I tut
Expiro.I installiert sich unbemerkt und läuft anschließend unauffällig im Hintergrund, sodass der Benutzer möglicherweise nichts Ungewöhnliches bemerkt. Sobald es sich auf einem System befindet, kann es Angreifern die vollständige Kontrolle über den Computer ermöglichen. Es kann außerdem heimlich Dateien löschen und zusätzliche Schadsoftware installieren. Trojaner dieser Art sammeln typischerweise auch Informationen vom infizierten PC, die im Feed-Text angezeigte Liste ist jedoch nicht vollständig. Betrachten Sie dies daher eher als typisches Verhalten denn als bestätigte Information.
Die analysierte Datei ist eine native 32-Bit-Windows-Anwendung mit grafischer Benutzeroberfläche (GUI). Es handelt sich nicht um ein .NET-Programm und sie ist nicht gepackt. Die Datei enthält außerdem eine Debugger-Prüfung ( IsDebuggerPresent ), eine Technik, die Malware häufig einsetzt, um die Analyse zu erschweren.
Die Versionsinformationen der Datei weisen sie als Microsoft-Komponente „Windows-Problemberichterstattung“ aus, und ihre Signaturketten erwähnen Microsoft. Der Signaturstatus wird jedoch als selbstsigniert gemeldet. Ein Name, eine Beschreibung oder ein Copyright-Vermerk, der einer Windows-Komponente ähnelt, beweist nicht die Echtheit einer Datei. Schadsoftware kopiert häufig das Aussehen vertrauenswürdiger Systemdateien, um keinen Verdacht zu erregen.
Wie es üblicherweise auf Computer gelangt
Dem Feed zufolge trifft Expiro.I am häufigsten über folgende Wege ein:
- Ausnutzen von Systemschwachstellen und Sicherheitslücken.
- Software-Downloads von schädlichen Webseiten.
- E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel .exe-, .pif-, .avi- und sogar .jpg-Dateien.
Dateien mit Mediendateiendungen sind eine gängige Tarnung. Eine Datei, die wie ein Bild oder Video aussieht, sich aber wie ein Programm verhält, sollte verdächtigt werden.
Risiken für den Nutzer
- Kontrollverlust: Ein Angreifer mit vollem Zugriff kann fast alles tun, was der angemeldete Benutzer tun kann.
- Datenverlust: Dateien können ohne Vorwarnung gelöscht werden.
- Weitere Infektionen: Der Trojaner kann weitere Schadsoftware herunterladen und installieren.
- Datenschutz- und Kontorisiko: Wie bei Trojanern üblich, können persönliche Daten und Passwörter auf dem Rechner offengelegt werden.
Anzeichen einer Infektion
Da die Bedrohung so konzipiert ist, dass sie verborgen bleibt, können die sichtbaren Symptome spärlich sein. Diese Warnzeichen sind typisch für Trojanerinfektionen und wurden nicht spezifisch für Expiro.I bestätigt.
- Ein Systemprozess, der an einem unerwarteten Ort auftaucht oder sich ungewöhnlich verhält, insbesondere ein Prozess, der vorgibt, eine Windows-Komponente zu sein.
- Unerklärliche Verlangsamungen, Abstürze oder hoher Ressourcenverbrauch.
- Fehlende Dateien oder Programme, die Sie nicht installiert haben.
- Unerwartete Netzwerkaktivitäten oder Sicherheitseinstellungen, die sich von selbst ändern.
Wie man sich schützt
- Halten Sie Windows und Ihre Software auf dem neuesten Stand , damit bekannte Sicherheitslücken geschlossen werden.
- Seien Sie vorsichtig mit E-Mail-Anhängen von unbekannten Absendern, insbesondere mit .exe- oder .pif-Dateien oder mit „Bildern“ oder „Videos“, die zum Ausführen aufgefordert werden.
- Laden Sie Software nur von offiziellen Quellen herunter und meiden Sie unbekannte Websites.
Bei Verdacht auf eine Infektion trennen Sie den Computer vom Internet, führen Sie einen vollständigen Scan mit einem aktuellen Antivirenprogramm durch und ändern Sie wichtige Passwörter von einem sauberen Gerät aus. Sollte das System danach weiterhin ungewöhnlich reagieren, ziehen Sie professionelle Hilfe oder eine Neuinstallation von Windows in Betracht.
Analysebericht
Allgemeine Information
| Nachname: | Trojan.Expiro.I |
|---|---|
| Signaturstatus: | Self Signed |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
c7191ac917ba703648750fc98c749c99
SHA1:
2a0fb4af8e099d342250d3fbd49134d9b3a9d4d2
SHA256:
4772FFAFCBB7B4EB5830AC608D029722104DF8851C0CCDEF58042835BEBA9326
Dateigröße:
506.22 KB, 506216 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have exports table
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Dateisymbole
Dateisymbole
Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.
Windows PE Versionsinformationen
Windows PE Versionsinformationen
Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.| Name | Wert |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | Windows Problem Reporting |
| File Version | 10.0.19041.7811 (WinBuild.160101.0800) |
| Internal Name | WerFault |
| Legal Copyright | © Microsoft Corporation. All rights reserved. |
| Original Filename | WerFault.exe |
| Product Name | Microsoft® Windows® Operating System |
| Product Version | 10.0.19041.7811 |
Digitale Signaturen
Digitale Signaturen
Dieser Abschnitt listet digitale Signaturen auf, die den Samples dieser Familie zugeordnet sind. Bei der Analyse und Überprüfung digitaler Signaturen ist es wichtig sicherzustellen, dass die ausstellende Zertifizierungsstelle eine bekannte und vertrauenswürdige Instanz ist und der Status der Signatur gültig ist. Malware wird häufig mit nicht vertrauenswürdigen, selbstsignierten digitalen Signaturen signiert (die von Malware-Autoren ohne Überprüfung leicht erstellt werden können). Malware kann auch mit legitimen Signaturen signiert sein, die jedoch ungültig sind, sowie mit Signaturen fragwürdiger Zertifizierungsstellen, die gefälschte oder irreführende Namen als „Signierer“ verwenden.| Unterzeichner | Wurzel | Status |
|---|---|---|
| Microsoft Windows | Microsoft Windows Production PCA 2026 RSA2048-SHA256 | Self Signed |
| Microsoft Windows | Windows Production PCA 2023 | Self Signed |
Dateieigenschaften
- HighEntropy
- ntdll
- x86
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 1,090 |
|---|---|
| Potenziell schädliche Blöcke: | 1 |
| Zugelassene Blocker: | 572 |
| Unbekannte Blöcke: | 517 |
Visuelle Karte
? – Unbekannter Block
x – Potenziell schädliche Sperre
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| Anti Debug |
|