Trojan.MSIL.Krypt.TDW

Trojan.MSIL.Krypt.TDW ist ein Trojaner, der Windows-Computer angreift. Er wird hinsichtlich seiner Gefährlichkeit mit 8 von 10 Punkten eingestuft und zählt damit zu den gefährlichen Bedrohungen. Der Namensbestandteil „MSIL“ deutet auf ein Programm hin, das auf der .NET-Plattform basiert. Die erste Erkennung erfolgte am 8. August 2026, die letzte am 27. August 2026. Bisher wurde nur eine Erkennung registriert, daher liegen nur wenige Daten zur Verbreitung des Trojaners vor.

Was die Bedrohung bewirkt

Wie andere Trojaner ist er so konzipiert, dass er unbemerkt im Hintergrund läuft und schädliche Aktionen ausführt, ohne dass der Benutzer es bemerkt. Laut dem Bericht kann er Angreifern die vollständige Kontrolle über ein infiziertes System verschaffen und unter anderem heimlich Dateien löschen.

Die analysierte Probe weist mehrere technische Merkmale auf:

• Es handelt sich um eine 32-Bit .NET GUI-Anwendung, die nicht gepackt ist und keine digitale Signatur trägt.
• Die Versionsinformationen verwenden den internen und ursprünglichen Namen „Aventa2xUninstaller.exe“, wodurch die Datei wie ein Deinstallationsprogramm aussieht. Trojaner verwenden oft harmlos wirkende Namen wie diesen, aber der Feed gibt nicht an, dass der Name absichtlich getarnt ist.
• Es verwendet eine Anti-Debugging-Prüfung (IsDebuggerPresent), die typischerweise dazu dient, die Analyse zu erschweren.
• Es ruft Funktionen zur Prozessmanipulation auf, darunter NtUnmapViewOfSection und ReadProcessMemory. Diese Kombination wird häufig mit Manipulationen an anderen Prozessen in Verbindung gebracht, obwohl der Feed nicht bestätigt, was hier genau geschehen ist.
• Es nutzt eine Windows-Kryptografiefunktion (BCryptOpenAlgorithmProvider) und erstellt einen neuen Prozess. Während der Analyse wurde eine .NET Framework-Fehlerberichtskomponente (dw20.exe) gestartet.
• Es griff auf Windows-Registry-Transaktionsdateien im Benutzerprofil, die Amcache-Datei und eine Named Pipe zu.

Von 208 beobachteten Aktivitätsblöcken wurden 8 als potenziell schädlich gekennzeichnet, 90 wurden auf die Whitelist gesetzt und 110 waren unbekannt.

Wie es üblicherweise auf Computer gelangt

Laut dem Feed installiert sich dieser Trojaner unbemerkt. Die üblichen Installationswege sind:

• Ausnutzen von Systemschwachstellen und Sicherheitslücken.
• Software-Downloads von schädlichen Webseiten.
• E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel .exe-, .pif-, .avi- und sogar .jpg-Dateien.

Dateien, die als Bilder oder Videos getarnt sind, sind ein typischer Trick, da Benutzer sie oft arglos öffnen.

Risiken für den Nutzer

• Fernangreifer können die vollständige Kontrolle über den Computer erlangen.
• Dateien können ohne Ihr Wissen gelöscht werden.
• Es kann weitere Schadsoftware installiert werden. Dies ist typisch für Trojaner, obwohl der Feed-Auszug vor der Auflistung aller Funktionen abbricht.
• Persönliche Daten und Konten auf dem Rechner könnten offengelegt werden. Dies ist ein typisches Risiko von Trojanern mit Fernsteuerungsfunktionen und kein bestätigtes Verhalten dieses Exemplars.

Anzeichen einer Infektion

Dieser Trojaner ist so konzipiert, dass er unentdeckt bleibt, daher treten möglicherweise keine offensichtlichen Symptome auf. Typische Warnzeichen für diese Art von Bedrohung sind:

• Unerwartete Verlangsamungen oder hoher Ressourcenverbrauch durch unbekannte Prozesse.
• Dateien, die ohne Erklärung verschwinden oder sich verändern.
• Unbekannte Programme oder Fehlermeldungen, die ohne ersichtlichen Grund erscheinen.
• Ein Sicherheitstool, das Sie auf den Erkennungsnamen Trojan.MSIL.Krypt.TDW aufmerksam macht.
• Eine Datei mit einem Namen, der an ein Deinstallationsprogramm erinnert, das Sie nie absichtlich heruntergeladen oder ausgeführt haben.

Wie man sich schützt

• Öffnen Sie keine Anhänge von unbekannten Absendern, insbesondere keine .exe- oder .pif-Dateien und keine Mediendateien, die sich ungewöhnlich verhalten.
• Laden Sie Software nur von offiziellen, vertrauenswürdigen Quellen herunter und vermeiden Sie gecrackte oder inoffizielle Installationsprogramme.
• Halten Sie Windows und alle Ihre Anwendungen auf dem neuesten Stand, um die Sicherheitslücken zu schließen, die Trojaner ausnutzen.
• Verwenden Sie eine seriöse, aktuelle Sicherheitslösung mit Echtzeitschutz und führen Sie regelmäßig vollständige Scans durch.
• Sichern Sie wichtige Dateien auf einem Gerät oder Dienst, der nicht permanent mit Ihrem Computer verbunden ist.

Bei Verdacht auf eine Infektion trennen Sie den Computer vom Internet, führen Sie einen vollständigen Scan durch und entfernen Sie alle gefundenen Schadprogramme. Ändern Sie anschließend Ihre wichtigen Passwörter von einem sauberen Gerät aus, da ein Trojaner mit Fernzugriff diese möglicherweise offengelegt hat.

Analysebericht

Allgemeine Information

Nachname:	Trojan.MSIL.Krypt.TDW
Signaturstatus:	No Signature

Bekannte Proben

i

Bekannte Proben

Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.

MD5: 404f46839df957a1ea63b5d9ed0117c0 SHA1: 305135a9d1716386415a1b3571f76b2089fb81cf SHA256: 9D5B1BAACF327FA304C696E80F2FB04C33DD96E484DFDC729C4B387ACBD86354 Dateigröße: 466.43 KB, 466432 Bytes

Attribute der portablen Windows-Ausführungsdatei

i

Attribute der portablen Windows-Ausführungsdatei

Dieser Abschnitt listet die in den Familienbeispielen gefundenen Dateiattribute auf. Diese Attribute werden aus der Windows PE-Spezifikation (Portable Executable) der Dateien und verschiedenen Systemflags extrahiert. Die Attribute portabler ausführbarer Dateien geben Malware-Forschern Einblick in die Funktionalität einer Datei, Details zur Ausführung, Plattform und Laufzeitumgebung.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dateisymbole

i

Dateisymbole

Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.

























Windows PE Versionsinformationen

i

Windows PE Versionsinformationen

Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.

Name	Wert
Assembly Version	1.0.3541.16625
File Version	1.0.3541.16625
Internal Name	Aventa2xUninstaller.exe
Original Filename	Aventa2xUninstaller.exe
Product Version	1.0.3541.16625

Dateieigenschaften

• .NET
• HighEntropy
• Installer Version
• x86

Blockinformationen

i

Blockinformationen

Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.

Gesamtanzahl der Blöcke:	208
Potenziell schädliche Blöcke:	8
Zugelassene Blocker:	90
Unbekannte Blöcke:	110

Visuelle Karte

0 – Wahrscheinlich sichere Blockierung
? – Unbekannter Block
x – Potenziell schädliche Sperre

Geänderte Dateien

i

Geänderte Dateien

Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.

Datei	Attribute
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

Änderungen der Registrierung

i

Änderungen der Registrierung

Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.

Schlüssel::Wert	Daten	API-Name
HKLM\system\software\microsoft\tip\aggregateresults::data	ⳛ˼ 耀塉»ⳛ˼ 耀塉 隞̃́耀꧌ڌԹ	RegNtPreCreateKey

Windows-API-Nutzung

i

Windows-API-Nutzung

Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.

Kategorie	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAdjustPrivilegesToken ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort Show 78 more ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDelayExecution ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtFsControlFile ntdll.dll!NtLoadKeyEx ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenSymbolicLinkObject ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySymbolicLinkObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtTraceEvent ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess
Encryption Used	BCryptOpenAlgorithmProvider

Shell-Befehlsausführung

i

Shell-Befehlsausführung

Dieser Abschnitt listet die Windows-Shell-Befehle auf, die von den in dieser Familie enthaltenen Malware-Beispielen ausgeführt werden. Windows-Shell-Befehle werden häufig von Malware für schädliche Zwecke missbraucht und können verwendet werden, um Sicherheitsberechtigungen zu erweitern, andere Malware herunterzuladen und auszuführen, Sicherheitslücken auszunutzen, Daten zu sammeln und zu exfiltrieren sowie schädliche Aktivitäten zu verschleiern.

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 836