Trojan.MSIL.Krypt.HUB

Trojan.MSIL.Krypt.HUB ist ein Erkennungsname, der ein als Trojaner klassifiziertes Schadprogramm identifiziert. Der Name deutet darauf hin, dass die Bedrohung mit dem .NET-Framework (MSIL, Microsoft Intermediate Language) entwickelt wurde und mit „Krypt“ in Verbindung steht. „Krypt“ bezieht sich typischerweise auf die Verwendung von Code-Verschleierung oder Packtechniken, die den wahren Zweck der Malware vor Sicherheitssoftware und Forschern verbergen sollen. Über diese Klassifizierungsinformationen hinaus sind keine spezifischen technischen Details zu dieser speziellen Bedrohung verfügbar. Die unten beschriebenen Verhaltensweisen spiegeln daher das typische Verhalten von Trojanern dieser Kategorie wider und sollten nicht als bestätigtes, detailliertes Profil dieser konkreten Datei verstanden werden.

Was diese Bedrohung typischerweise bewirkt

Trojaner wie Trojan.MSIL.Krypt.HUB sind in der Regel so konzipiert, dass sie unbemerkt im Hintergrund laufen, ohne dass der Benutzer davon Kenntnis hat oder zustimmt. Da die Namenskonvention „Krypt“ üblicherweise auf verschleierten oder verschlüsselten Code hinweist, ist diese Art von Bedrohung oft speziell darauf ausgelegt, möglichst lange der Erkennung durch Sicherheitstools zu entgehen. Typischerweise werden Trojaner dieser Kategorie verwendet, um zusätzliche Schadsoftware herunterzuladen und zu installieren, Tastatureingaben zu protokollieren, gespeicherte Passwörter oder Finanzinformationen zu stehlen, Angreifern aus der Ferne Zugriff auf den infizierten Rechner zu ermöglichen oder als Verbreitungsmechanismus für andere Schadsoftware wie Ransomware oder Spyware zu dienen. Die genaue Nutzlast kann selbst innerhalb derselben Erkennungsfamilie von Infektion zu Infektion stark variieren, da Cyberkriminelle solche Bedrohungen häufig aktualisieren und für andere Zwecke einsetzen.

Wie es üblicherweise auf Computer gelangt

Trojaner dieser Art verbreiten sich typischerweise über gängige Infektionsmethoden, anstatt sich selbstständig zu replizieren. Dazu gehören in der Regel schädliche E-Mail-Anhänge oder Links, die als Rechnungen, Versandbenachrichtigungen oder offizielle Dokumente getarnt sind; gebündelte Downloads aus inoffiziellen oder raubkopierten Softwarequellen; gefälschte Software-Updates oder Cracks; schädliche Werbung; und kompromittierte Websites, die Benutzer zum Herunterladen infizierter Dateien verleiten. Da die Schadsoftware verschleiert ist, kann sie auch in scheinbar harmlosen Dateien versteckt oder als legitime Anwendung getarnt sein, um die Wahrscheinlichkeit zu erhöhen, dass ein Benutzer sie öffnet.

Risiken für den Nutzer

Wenn ein Trojaner wie dieser auf einem System aktiv ist, kann er den Benutzer einer Reihe von Risiken aussetzen. Dazu gehören typischerweise der Diebstahl persönlicher, finanzieller oder Anmeldeinformationen, unbefugter Fernzugriff auf den Computer, die Installation weiterer Schadsoftware, eine verminderte Systemleistung sowie potenzieller Verlust von Privatsphäre und Daten. Da die Bedrohung so konzipiert ist, dass sie unentdeckt bleibt, kann sich der Schaden über einen längeren Zeitraum anhäufen, bevor er bemerkt wird.

Anzeichen einer Infektion

Da diese Art von Trojaner so konzipiert ist, dass er nicht entdeckt wird, sind offensichtliche Symptome nicht immer vorhanden. Zu den allgemeinen Warnzeichen, die auf eine solche Infektion hindeuten können, gehören jedoch unerwartete Verlangsamungen, ungewöhnliche Netzwerkaktivitäten, unbekannte, im Hintergrund laufende Prozesse, die unerklärliche Deaktivierung von Sicherheitssoftware, unerwartete Pop-ups oder das Auftauchen unbekannter Programme auf dem System.

Wie Sie sich schützen können

Nutzer können ihr Risiko verringern, indem sie ihr Betriebssystem und ihre Software stets aktuell halten, Downloads aus nicht vertrauenswürdigen oder illegalen Quellen vermeiden, bei E-Mail-Anhängen und Links unbekannter Absender vorsichtig sind und regelmäßig seriöse, aktuelle Sicherheitssoftware zur Systemüberwachung einsetzen. Regelmäßige Datensicherungen helfen ebenfalls, den Schaden im Falle einer Infektion zu begrenzen. Allgemeine Vorsicht im Internet ist nach wie vor einer der wirksamsten Schutz vor Trojanern wie Trojan.MSIL.Krypt.HUB.

Analysebericht

Allgemeine Information

Nachname:	Trojan.MSIL.Krypt.HUB
Signaturstatus:	No Signature

Bekannte Proben

i

Bekannte Proben

Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.

MD5: b6eb623aa6251dcf8eb5a94d82090da0 SHA1: 9a8fba28bbd715918615d1a1a99cb965ee644bb2 SHA256: 8A383730F5B24ADF5202AE789DF25F7176AF9D00A72D17BA2A0DBD682C861ECF Dateigröße: 1.70 MB, 1697280 Bytes

Attribute der portablen Windows-Ausführungsdatei

i

Attribute der portablen Windows-Ausführungsdatei

Dieser Abschnitt listet die in den Familienbeispielen gefundenen Dateiattribute auf. Diese Attribute werden aus der Windows PE-Spezifikation (Portable Executable) der Dateien und verschiedenen Systemflags extrahiert. Die Attribute portabler ausführbarer Dateien geben Malware-Forschern Einblick in die Funktionalität einer Datei, Details zur Ausführung, Plattform und Laufzeitumgebung.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
• File is either console or GUI application
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Mehr anzeigen

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dateisymbole

i

Dateisymbole

Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.

Windows PE Versionsinformationen

i

Windows PE Versionsinformationen

Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.

Name	Wert
Assembly Version	1.0.2.3
Comments	Fake Games Updater
Company Name	Fake Games
File Description	FG Updater
File Version	1.0.2.3
Internal Name	FGUpdater.exe
Legal Copyright	Copyright © Fake Games 2024
Original Filename	FGUpdater.exe
Product Name	Fake Games Updater
Product Version	1.0.2.3

Dateieigenschaften

• .NET
• HighEntropy
• RijndaelManaged
• SmartAssembly
• x86

Blockinformationen

i

Blockinformationen

Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.

Gesamtanzahl der Blöcke:	103
Potenziell schädliche Blöcke:	2
Zugelassene Blocker:	100
Unbekannte Blöcke:	1

Visuelle Karte

x 0 x ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0

0 – Wahrscheinlich sichere Blockierung
? – Unbekannter Block
x – Potenziell schädliche Sperre

Ähnliche Familien

i

Ähnliche Familien

Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.

• MSIL.Agent.UFB
• MSIL.Coinminer.AJ
• MSIL.CsgoHack.QD
• MSIL.Injector.C
• MSIL.Krypt.EAIT

Mehr anzeigen

• MSIL.Krypt.HUB

Windows-API-Nutzung

i

Windows-API-Nutzung

Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.

Kategorie	API
User Data Access	GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	NtQuerySystemInformation
Other Suspicious	AdjustTokenPrivileges
Encryption Used	BCryptOpenAlgorithmProvider CryptAcquireContext