Trojan.Lethic.WE
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Beliebtheitsrang: | 20,149 |
| Bedrohungsstufe: | 80 % (Hoch) |
| Infizierte Computer: | 2 |
| Zum ersten Mal gesehen: | July 29, 2026 |
| Zuletzt gesehen: | October 2, 2026 |
| Betroffene Betriebssysteme: | Windows |
Trojan.Lethic.WE ist ein Windows-basierter Trojaner, der aktiv im Umlauf ist. Die ersten Nachweise stammen aus Mitte 2026, und auch in den folgenden Monaten wurden weiterhin Aktivitäten gemeldet. Dieser Trojaner, der als Bedrohung mit hohem Risiko (8 von 10 Punkten) eingestuft wird, ist darauf ausgelegt, unbemerkt und ohne sichtbaren Installationsprozess in einen Computer einzudringen und anschließend im Hintergrund schädliche Aktionen auszuführen, ohne dass der Benutzer etwas davon bemerkt.
Inhaltsverzeichnis
Was Trojan.Lethic.WE tut
Wie andere Trojaner ist Trojan.Lethic.WE darauf ausgelegt, sich unbemerkt im Windows-Betriebssystem einzunisten und sich so eine starke Position zu sichern, die es ihm ermöglicht, die Kontrolle über den infizierten Rechner zu übernehmen. Sobald Trojaner dieser Art aktiv sind, versuchen sie typischerweise, wichtige Systemfunktionen zu steuern. Dadurch kann die Schadsoftware Dateien löschen oder verändern, System- und Sicherheitseinstellungen manipulieren, die Aktivitäten des Benutzers überwachen und sensible Informationen wie gespeicherte Passwörter oder persönliche Daten auslesen. Da Trojan.Lethic.WE im Verborgenen agiert, kann es über längere Zeiträume unbemerkt Systemressourcen und Netzwerkverbindungen nutzen, ohne dass der Benutzer dies bemerkt. Gleichzeitig kann es die Installation weiterer schädlicher Komponenten ermöglichen.
Wie es üblicherweise auf Computer gelangt
Trojaner dieser Familie verbreiten sich, wie die gesamte Kategorie, am häufigsten über irreführende E-Mail-Anhänge. Diese Anhänge sind oft als harmlose Dateien wie Dokumente, Bilder oder Videoclips getarnt, enthalten aber tatsächlich ausführbare Programme mit Schadcode. Häufig missbrauchte Dateitypen sind .exe, .pif, .avi und sogar .jpg-Dateien, die so manipuliert wurden, dass sie Code ausführen. Nutzer werden typischerweise durch Social-Engineering-Taktiken dazu verleitet, diese Anhänge zu öffnen, beispielsweise durch E-Mails, die scheinbar von vertrauenswürdigen Kontakten stammen, gefälschte Rechnungen, Versandbenachrichtigungen oder andere dringend klingende Nachrichten. Auch das Herunterladen von Software aus unseriösen Quellen oder das Anklicken von betrügerischen Links kann ein System dieser Art von Infektion aussetzen.
Risiken für den Nutzer
Eine Infektion mit Trojan.Lethic.WE birgt erhebliche Risiken. Da Trojaner dieser Art typischerweise umfassende Kontrolle über das infizierte System erlangen, besteht die Gefahr des Datendiebstahls, einschließlich Anmeldedaten, Bankinformationen und anderer persönlicher Daten. Die Schadsoftware kann zudem die Systemleistung beeinträchtigen, das Betriebssystem destabilisieren oder durch das Herunterladen weiterer Schadsoftware zusätzliche Infektionen ermöglichen. In vielen Fällen kann der infizierte Computer ohne Zustimmung des Besitzers im Rahmen einer größeren, kriminellen Operation missbraucht werden, wodurch sowohl persönliche Daten als auch das gesamte Netzwerk gefährdet werden.
Anzeichen einer Infektion
Da Trojaner so konzipiert sind, dass sie unbemerkt agieren, sind erkennbare Symptome nicht immer garantiert. Typische Warnzeichen können jedoch unerwartete Verlangsamungen, unbekannte, im Hintergrund laufende Prozesse, ungewöhnliche Netzwerkaktivitäten, Änderungen an System- oder Browsereinstellungen ohne eigenes Zutun sowie das Auftreten unbekannter Dateien oder Programme sein. Häufige Abstürze oder ungewöhnliche Pop-ups können ebenfalls auf ein kompromittiertes System hindeuten.
Wie Sie sich schützen können
Um das Infektionsrisiko zu minimieren, sollten Nutzer keine E-Mail-Anhänge von unbekannten oder nicht verifizierten Absendern öffnen, insbesondere keine ausführbaren Dateien, die als Mediendateien oder Dokumente getarnt sind. Ein stets aktuelles Betriebssystem und alle installierten Programme helfen, Sicherheitslücken zu schließen, die Schadsoftware ausnutzen kann. Das Herunterladen von Programmen ausschließlich aus offiziellen und vertrauenswürdigen Quellen, regelmäßige Datensicherungen und die Verwendung zuverlässiger, aktueller Sicherheitssoftware sind ebenfalls dringend empfohlene Maßnahmen zum Schutz vor Trojanern wie Trojan.Lethic.WE.
Analysebericht
Allgemeine Information
| Nachname: | Trojan.Lethic.WE |
|---|---|
| Signaturstatus: | No Signature |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
18c81aea32131786311055317934749d
SHA1:
bce6175c62585218780dd62234e14c6ab9a5b48d
SHA256:
804945B4E99D725D8EFE4154684F2484C825ACC8F92234A38213DDE229E37CA9
Dateigröße:
94.60 KB, 94601 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
- File is either console or GUI application
- File is Native application (NOT .NET application)
- File is not packed
Mehr anzeigen
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Dateisymbole
Dateisymbole
Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.
Windows PE Versionsinformationen
Windows PE Versionsinformationen
Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.| Name | Wert |
|---|---|
| Company Name | Zona Soluzioni Srls |
| File Description | VPN Connector |
| File Version | 1.0.0.0 |
| Legal Copyright | Zona Soluzioni Srls |
| Product Name | VPN Connector |
| Product Version | 1.0.0.0 |
Dateieigenschaften
- x86
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 198 |
|---|---|
| Potenziell schädliche Blöcke: | 5 |
| Zugelassene Blocker: | 193 |
| Unbekannte Blöcke: | 0 |
Visuelle Karte
? – Unbekannter Block
x – Potenziell schädliche Sperre
Geänderte Dateien
Geänderte Dateien
Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.| Datei | Attribute |
|---|---|
| \device\namedpipe | Generic Read,Write Attributes |
| \device\namedpipe | Generic Write,Read Attributes |
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134345672799862024.4712.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_bzlwlhaf.nyb.psm1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_dtwifrxc.z3o.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is64.bat | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is64.fil | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is64.txt | Generic Write,Read Attributes |
Mehr anzeigen
| c:\users\user\appdata\local\temp\xtmp | Write Attributes |
| c:\users\user\appdata\local\temp\xtmp\tmp80475.bat | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\xtmp\tmp80475.exe | Generic Write,Read Attributes |
Änderungen der Registrierung
Änderungen der Registrierung
Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.| Schlüssel::Wert | Daten | API-Name |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | ௵砣䪭ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | 硍䪭ǝ | RegNtPreCreateKey |
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Syscall Use |
Mehr anzeigen
12 weitere Artikel werden oben nicht angezeigt. |
| User Data Access |
|
| Encryption Used |
|
| Other Suspicious |
|
| Anti Debug |
|
Shell-Befehlsausführung
Shell-Befehlsausführung
Dieser Abschnitt listet die Windows-Shell-Befehle auf, die von den in dieser Familie enthaltenen Malware-Beispielen ausgeführt werden. Windows-Shell-Befehle werden häufig von Malware für schädliche Zwecke missbraucht und können verwendet werden, um Sicherheitsberechtigungen zu erweitern, andere Malware herunterzuladen und auszuführen, Sicherheitslücken auszunutzen, Daten zu sammeln und zu exfiltrieren sowie schädliche Aktivitäten zu verschleiern.
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c mode con:cols=0065 lines=0040
|
C:\WINDOWS\system32\mode.com mode con:cols=0065 lines=0040
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c title VPN Professionisti e Consulenti
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if not exist "C:\Users\Tivpkbkg\AppData\Local\Temp\afolder" mkdir "C:\Users\Tivpkbkg\AppData\Local\Temp\afolder"
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if not exist "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp" mkdir "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp"
|
Mehr anzeigen
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c attrib +h C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp
|
C:\WINDOWS\system32\attrib.exe attrib +h C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c echo:0>C:\Users\Tivpkbkg\AppData\Local\Temp\is64.txt
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c C:\Users\Tivpkbkg\AppData\Local\Temp\is64.bat
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if exist "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat" del "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat"
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c if exist "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.exe" del "C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.exe"
|
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c C:\WINDOWS\Sysnative\cmd.exe /C C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat "c:\users\user\downloads\bce6175c62585218780dd62234e14c6ab9a5b48d_0000094601"
|
C:\WINDOWS\Sysnative\cmd.exe C:\WINDOWS\Sysnative\cmd.exe /C C:\Users\Tivpkbkg\AppData\Local\Temp\xtmp\tmp80475.bat "c:\users\user\downloads\bce6175c62585218780dd62234e14c6ab9a5b48d_0000094601"
|
C:\WINDOWS\system32\mode.com Mode 65,40
|
C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell Invoke-RestMethod api.ipify.org
|
