Trojan.Penguish.KB
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Beliebtheitsrang: | 23,648 |
| Bedrohungsstufe: | 80 % (Hoch) |
| Infizierte Computer: | 11 |
| Zum ersten Mal gesehen: | March 15, 2025 |
| Zuletzt gesehen: | November 4, 2026 |
| Betroffene Betriebssysteme: | Windows |
Trojan.Penguish.KB ist ein Windows-Trojaner mit einer Gefährdungsstufe von 8 von 10. Wie andere Trojaner gibt er sich als harmlos oder nützlich aus, während er unbemerkt im Hintergrund aktiv ist. Er wurde erstmals am 15.03.2025 und zuletzt am 04.11.2026 entdeckt und ist somit weiterhin aktiv.
Inhaltsverzeichnis
Was die Bedrohung bewirkt
Den Feed-Daten zufolge installiert sich Penguish.KB unbemerkt und läuft im Hintergrund, wo es schädliche Funktionen ausführt. Angreifer können dadurch die vollständige Kontrolle über ein infiziertes System erlangen. Die Beschreibung besagt außerdem, dass es heimlich Dateien löschen kann. Trojaner dieser Art laden typischerweise auch weitere Schadsoftware herunter; der Feed-Text bricht jedoch an dieser Stelle ab. Daher sollte dies als typisches Verhalten und nicht als bestätigte Fähigkeit betrachtet werden.
Eine analysierte Probe enthielt Versionsinformationen, die auf ein Joystick-zu-Tastatur-Tool namens JoyToKey hindeuten. Angreifer tarnen Schadsoftware häufig als legitime Programme oder bündeln sie mit diesen, um vertrauenswürdig zu wirken. Der Feed gibt keine Auskunft darüber, wie diese Datei erstellt wurde, daher ist die genaue Beziehung zum Originalprogramm unklar. Dieselbe Probe wies folgende Merkmale auf:
- Es handelt sich um eine 32-Bit-Windows-GUI-Anwendung, die nicht gepackt ist.
- Es besitzt keine digitale Signatur.
- Es verwendet Windows-Funktionen im Zusammenhang mit Hooks und dem Tastaturstatus (SetWindowsHookEx und GetKeyState). Legitime Tools zur Eingabeumbelegung nutzen diese ebenfalls, sie sind aber auch typisch für Programme, die Tastatureingaben überwachen.
- Es hat eine Protokolldatei im Ordner „JoyToKey“ innerhalb des Dokumentenordners des Benutzers verändert.
Da diese Verhaltensweisen auch bei normaler Software auftreten, beweist keines davon allein, dass eine Datei schädlich ist. Das Fehlen einer Signatur und die Diskrepanz zwischen einem vertrauenswürdig wirkenden Namen und einer Warnmeldung sind Gründe zur Vorsicht.
Wie es üblicherweise auf Computer gelangt
Der Feed listet folgende Vertriebswege auf:
- Ausnutzen von Systemschwachstellen und Sicherheitslücken.
- Software-Downloads von schädlichen Webseiten.
- E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel mit den Dateiendungen .exe, .pif, .avi oder sogar .jpg.
Da diese Schadsoftware ein Hilfsprogramm imitiert, stellt das Herunterladen von Tools von inoffiziellen Websites, Spiegelservern oder neu verpackten bzw. lokalisierten Kopien ein reales Risiko dar. Dies ist ein typisches Muster für Trojaner, aber keine bestätigte Tatsache für diesen speziellen Trojaner.
Risiken für den Nutzer
- Fernsteuerung Ihres Computers durch einen Angreifer.
- Verlust oder Löschung von Dateien.
- Installation zusätzlicher unerwünschter oder schädlicher Programme, was typisch für Trojaner ist.
- Bei missbräuchlicher Verwendung der Tastaturfunktionen besteht die Möglichkeit, dass eingegebene Daten wie Passwörter offengelegt werden. Diese Möglichkeit ergibt sich aus den im Beispiel verwendeten Funktionen, wird aber durch den Datenfeed nicht bestätigt.
Anzeichen einer Infektion
Der Feed listet keine sichtbaren Symptome auf, und der Trojaner ist so konzipiert, dass er unbemerkt läuft. Achten Sie im Allgemeinen auf Folgendes:
- Ein heruntergeladenes Programm verhält sich merkwürdig oder erstellt unerwartete Dateien.
- Unerklärliche Verlangsamungen oder Hintergrundaktivitäten.
- Dateien, die ohne Erklärung verschwinden.
- Unbekannte Programme, die von selbst erscheinen.
- Konten, die Anmeldungen oder Änderungen anzeigen, die Sie nicht vorgenommen haben.
Da die Infektion auch symptomlos verlaufen kann, schließt ein äußerlich sauberes System sie nicht aus.
Wie man sich schützt
- Halten Sie Windows und alle installierten Softwareprogramme auf dem neuesten Stand, da Sicherheitslücken ein Hauptangriffspunkt darstellen.
Falls Sie vermuten, eine mit dieser Erkennung in Verbindung stehende Datei ausgeführt zu haben, trennen Sie die Internetverbindung, scannen Sie den Computer und entfernen Sie alle markierten Dateien. Ändern Sie anschließend Ihre Passwörter auf einem sauberen Gerät und überprüfen Sie Ihre wichtigen Konten auf verdächtige Aktivitäten.
Analysebericht
Allgemeine Information
| Nachname: | Trojan.Penguish.KB |
|---|---|
| Signaturstatus: | No Signature |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
2984ad93d4c813379fa25fa2bc4e97dd
SHA1:
693c69f04e82bfa53ab323c06d7ec06ddf753c37
SHA256:
67CA30B9C3A42CE4A71CAEACE25F52BA349FA0FE32D8AEFC1D9F59F59C258888
Dateigröße:
4.95 MB, 4946288 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Show 2 more
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Dateisymbole
Dateisymbole
Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.
Windows PE Versionsinformationen
Windows PE Versionsinformationen
Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.| Name | Wert |
|---|---|
| Comments | https://joytokey.net/ |
| Company Name | JTK software |
| File Description | JoyToKey - Convert Joystick to Keyboard/Mouse Input |
| File Version | 7.0.0.565 |
| Internal Name | JoyToKey |
| Legal Copyright | Copyright(C) JTK, 1999-2024 |
| Original Filename | JoyToKey |
| Product Name | 一羞汉化 |
| Product Version | 7.0 |
| Program I D | 一羞汉化 |
Dateieigenschaften
- HighEntropy
- VirtualQueryEx
- x86
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 11,644 |
|---|---|
| Potenziell schädliche Blöcke: | 450 |
| Zugelassene Blocker: | 11,194 |
| Unbekannte Blöcke: | 0 |
Visuelle Karte
... Daten gekürzt? – Unbekannter Block
x – Potenziell schädliche Sperre
Ähnliche Familien
Ähnliche Familien
Dieser Abschnitt listet weitere Malware-Familien auf, die basierend auf der Analyse von EnigmaSoft Ähnlichkeiten mit dieser Familie aufweisen. Viele Malware-Familien werden aus denselben Malware-Toolkits erstellt und verwenden dieselben Pack- und Verschlüsselungstechniken, erweitern ihre Funktionalität jedoch auf einzigartige Weise. Ähnliche Familien können auch Quellcode, Attribute, Symbole, Unterkomponenten, kompromittierte und/oder ungültige digitale Signaturen sowie Netzwerkmerkmale gemeinsam haben. Forscher nutzen diese Ähnlichkeiten, um Dateiproben schnell und effektiv zu priorisieren und Regeln zur Malware-Erkennung zu erweitern.- Ousaban.C
- Penguish.KB
- Se7enkills.A
Geänderte Dateien
Geänderte Dateien
Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.| Datei | Attribute |
|---|---|
| c:\users\user\documents\joytokey\joytokey.log | Generic Write,Read Attributes |
Änderungen der Registrierung
Änderungen der Registrierung
Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.| Schlüssel::Wert | Daten | API-Name |
|---|---|---|
| HKCU\system\currentcontrolset\control\mediaproperties\privateproperties\directinput\vid_0627&pid_0001\calibration\0::guid | P.�F����DEST | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::usesmapper | RegNtPreCreateKey | |
| HKCU\software\microsoft\directinput\mostrecentapplication::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::id | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_00049462886634D1DC004B7970 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::version | ࠀ | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::mostrecentstart | 릙ᜐ泣ǝ | RegNtPreCreateKey |
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Keyboard Access |
|