Trojan.Kryptik.Gen.EKL

Trojan.Kryptik.Gen.EKL ist ein hochriskantes Trojanerpferd, das Windows-Computer angreift. Mit einer Gefährdungsstufe von 8 von 10 eingestuft, ist diese Bedrohung darauf ausgelegt, unbemerkt in Systeme einzudringen, im Hintergrund schädliche Aktionen auszuführen und Angreifern potenziell die Kontrolle über einen infizierten Rechner zu verschaffen. Da Trojan.Kryptik.Gen.EKL zur weitverbreiteten Kryptik-Trojanerfamilie gehört, weist er viele Gemeinsamkeiten mit verwandten Trojanern wie Trojan.Kryptik.Gen.FQK und Trojan.Kryptik.Gen.FZB auf, die alle auf ähnliche Tarn- und Ausweichtaktiken setzen.

Was Trojan.Kryptik.Gen.EKL tut

Sobald Trojan.Kryptik.Gen.EKL auf einem System aktiv ist, läuft er unbemerkt im Hintergrund ohne sichtbare Benutzeroberfläche, sodass es für den durchschnittlichen Benutzer schwierig ist, etwas Ungewöhnliches zu bemerken. Er ist als native 32-Bit-Windows-Anwendung entwickelt und weist Anzeichen hoher Entropie auf – ein Merkmal, das häufig mit verschleiertem oder verschlüsseltem Schadcode einhergeht, der darauf ausgelegt ist, Analyse und Erkennung zu widerstehen. Die gefundene Probe besaß zudem eine digitale Signatur, die nicht mit ihrem Dateihash übereinstimmte. Dies bedeutet, dass sie versuchte, als legitim signiert zu erscheinen, obwohl sie die Überprüfung tatsächlich nicht bestand – ein gängiger Trick von Malware-Autoren, um ihren Dateien falsche Glaubwürdigkeit zu verleihen.

Verhaltenstechnisch wurde beobachtet, dass dieser Trojaner Techniken zur Prozessmanipulation und -umgehung einsetzt, darunter Methoden, mit denen legitime Prozesse im Speicher manipuliert oder außer Kraft gesetzt werden können. Er greift außerdem auf Benutzerobjektinformationen zu, was ein Schritt zur Überwachung oder weiteren Systemaufklärung sein kann. Während der Infektion erstellt und modifiziert er Cache- und Metadatendateien in versteckten Systemordnern, die er möglicherweise nutzt, um heruntergeladene Komponenten, Konfigurationsdaten oder gestohlene Informationen zu speichern, bevor er sie weiterleitet.

Wie es üblicherweise auf Computer gelangt

Wie die meisten Bedrohungen der Kryptik-Familie verbreitet sich Trojan.Kryptik.Gen.EKL typischerweise durch Täuschung, anstatt eine einzelne spezifische Sicherheitslücke auszunutzen. Häufige Infektionswege sind Software-Downloads von unseriösen oder kompromittierten Websites, gebündelte Installationsprogramme und E-Mail-Anhänge, die als harmlose Dateien getarnt sind – darunter ausführbare Dateien, Mediendateien oder Bilddateien, die in Wirklichkeit Schadcode enthalten. In vielen Fällen gelangt der Trojaner auch durch die Ausnutzung ungepatchter Systemlücken auf den Computer und installiert sich so ohne Wissen oder Zustimmung des Nutzers.

Risiken für den Nutzer

Die Folgen einer Infektion mit Trojan.Kryptik.Gen.EKL können gravierend sein. Einmal etabliert, ermöglicht dieser Trojaner Angreifern weitreichende Kontrolle über den infizierten Rechner. Dadurch können sie sensible Daten stehlen, weitere Schadsoftware installieren, Benutzeraktivitäten überwachen oder das System als Ausgangspunkt für weitere Angriffe nutzen. Seine Verschleierungstechniken erschweren es Sicherheitstools und Benutzern gleichermaßen, ihn zu erkennen und zu entfernen, wodurch das Risiko einer längerfristigen, unbemerkten Kompromittierung steigt.

Anzeichen einer Infektion

Da Trojaner wie dieser so konzipiert sind, dass sie unbemerkt agieren, sind Infektionen oft schwer zu erkennen. Nutzer sollten auf unerklärliche Systemverlangsamungen, ungewöhnliche Netzwerkaktivitäten, unbekannte Dateien in Systemordnern, unerwartete Abstürze oder verdächtige Meldungen von Sicherheitssoftware achten. Auch das Vorhandensein unbekannter Cache- oder Metadatendateien in versteckten Anwendungsverzeichnissen, wie es bei dieser Bedrohung vorkommt, kann ein Warnsignal sein.

Wie Sie sich schützen können

Um das Infektionsrisiko zu minimieren, laden Sie keine Software von inoffiziellen oder verdächtigen Websites herunter und öffnen Sie niemals E-Mail-Anhänge von unbekannten oder nicht vertrauenswürdigen Absendern. Halten Sie Ihr Windows-Betriebssystem und alle installierten Programme stets auf dem neuesten Stand, um Sicherheitslücken zu schließen, die Trojaner häufig ausnutzen. Der Einsatz seriöser, aktueller Sicherheitssoftware und regelmäßige Systemscans helfen, Bedrohungen wie Trojan.Kryptik.Gen.EKL zu erkennen und zu entfernen, bevor sie dauerhaften Schaden anrichten können. Regelmäßige Datensicherungen tragen ebenfalls dazu bei, die Auswirkungen einer erfolgreichen Infektion zu begrenzen.

Analysebericht

Allgemeine Information

Nachname:	Trojan.Kryptik.Gen.EKL
Signaturstatus:	Hash Mismatch

Bekannte Proben

i

Bekannte Proben

Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.

MD5: 6ee24211c870cfa69b6f3308459668df SHA1: 78f05bd41f29448afecd416bd6545371282f3c39 SHA256: 63BA3A7317F12EFB1090152C900234CBE86477B81CEEFAC2987055D289D8FE1D Dateigröße: 657.68 KB, 657680 Bytes

Attribute der portablen Windows-Ausführungsdatei

i

Attribute der portablen Windows-Ausführungsdatei

Dieser Abschnitt listet die in den Familienbeispielen gefundenen Dateiattribute auf. Diese Attribute werden aus der Windows PE-Spezifikation (Portable Executable) der Dateien und verschiedenen Systemflags extrahiert. Die Attribute portabler ausführbarer Dateien geben Malware-Forschern Einblick in die Funktionalität einer Datei, Details zur Ausführung, Plattform und Laufzeitumgebung.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dateisymbole

i

Dateisymbole

Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.

Windows PE Versionsinformationen

i

Windows PE Versionsinformationen

Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.

Name	Wert
File Version	1.0.0.0
Product Version	1.0.0.0

Digitale Signaturen

i

Digitale Signaturen

Dieser Abschnitt listet digitale Signaturen auf, die den Samples dieser Familie zugeordnet sind. Bei der Analyse und Überprüfung digitaler Signaturen ist es wichtig sicherzustellen, dass die ausstellende Zertifizierungsstelle eine bekannte und vertrauenswürdige Instanz ist und der Status der Signatur gültig ist. Malware wird häufig mit nicht vertrauenswürdigen, selbstsignierten digitalen Signaturen signiert (die von Malware-Autoren ohne Überprüfung leicht erstellt werden können). Malware kann auch mit legitimen Signaturen signiert sein, die jedoch ungültig sind, sowie mit Signaturen fragwürdiger Zertifizierungsstellen, die gefälschte oder irreführende Namen als „Signierer“ verwenden.

Unterzeichner	Wurzel	Status
QIHU 360 SOFTWARE CO. LIMITED	Symantec Class 3 SHA256 Code Signing CA	Hash Mismatch
QIHU 360 SOFTWARE CO. LIMITED	VeriSign Class 3 Code Signing 2010 CA	Hash Mismatch

Dateieigenschaften

• HighEntropy
• x86

Blockinformationen

i

Blockinformationen

Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.

Gesamtanzahl der Blöcke:	1,996
Potenziell schädliche Blöcke:	2
Zugelassene Blocker:	1,994
Unbekannte Blöcke:	0

Visuelle Karte

0 – Wahrscheinlich sichere Blockierung
? – Unbekannter Block
x – Potenziell schädliche Sperre

Ähnliche Familien

i

Ähnliche Familien

Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.

• Banload.XT
• Kryptik.BDEA
• Trojan.Krypt.Gen.RNS
• Trojan.Kryptik.Gen.EKL
• Trojan.Kryptik.Gen.FQK

Show 1 more

• Trojan.Kryptik.Gen.FZB

Geänderte Dateien

i

Geänderte Dateien

Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.

Datei	Attribute
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data

Änderungen der Registrierung

i

Änderungen der Registrierung

Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.

Schlüssel::Wert	Daten	API-Name
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey

Windows-API-Nutzung

i

Windows-API-Nutzung

Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.

Kategorie	API
User Data Access	GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection