Trojan.Expiro.I

Trojan.Expiro.I est un cheval de Troie Windows présentant un niveau de dangerosité de 8 sur 10. Il est présent depuis plusieurs années : la première détection remonte au 8 octobre 2021 et la plus récente au 13 novembre 2026. Plus de 400 000 détections y sont répertoriées, ce qui indique qu’il ne s’agit pas d’une menace rare ou éphémère.

Que fait Trojan.Expiro.I ?

Expiro.I s'installe furtivement et s'exécute ensuite discrètement en arrière-plan, si bien qu'un utilisateur peut ne rien remarquer d'inhabituel. Une fois installé sur un système, il peut donner aux attaquants un contrôle total sur l'ordinateur. Il peut également supprimer des fichiers à leur insu et installer d'autres logiciels malveillants. Les chevaux de Troie de ce type collectent généralement des informations sur l'ordinateur infecté, mais le flux de données ne fournit pas une liste exhaustive ; il convient donc de considérer ce comportement comme typique plutôt que comme un détail avéré.

Le fichier analysé est un exécutable Windows natif 32 bits doté d'une interface graphique (GUI). Il ne s'agit pas d'un programme .NET et il n'est pas compressé. Le fichier importe également une vérification de débogage ( IsDebuggerPresent ), une technique souvent utilisée par les logiciels malveillants pour compliquer l'analyse.

Les informations de version du fichier le présentent comme le composant « Rapport de problèmes Windows » de Microsoft, et ses chaînes de signatures mentionnent Microsoft. Cependant, le statut de la signature est indiqué comme « Auto-signée » . Un nom, une description ou une mention de copyright ressemblant à un composant Windows ne prouve en rien l'authenticité d'un fichier. Les logiciels malveillants imitent souvent l'apparence des fichiers système de confiance pour éviter d'éveiller les soupçons.

Comment cela se retrouve généralement sur les ordinateurs

D'après ce flux, Expiro.I arrive le plus souvent par :

• Exploiter les vulnérabilités et les failles de sécurité du système.
• Téléchargements de logiciels depuis des sites web malveillants.
• Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.

Les fichiers avec des extensions de type média sont un leurre courant. Un fichier qui semble être une image ou une vidéo mais qui se comporte comme un programme doit susciter la méfiance.

Risques pour l’utilisateur

• Perte de contrôle : un attaquant disposant d'un accès complet peut faire presque tout ce que l'utilisateur connecté peut faire.
• Perte de données : des fichiers peuvent être supprimés sans avertissement.
• Autres infections : le cheval de Troie peut télécharger et installer d'autres logiciels malveillants.
• Risques liés à la confidentialité et aux comptes : comme c’est souvent le cas avec les chevaux de Troie, les données personnelles et les mots de passe présents sur la machine peuvent être exposés.

Signes d’infection

Comme la menace est conçue pour rester cachée, les symptômes visibles peuvent être peu nombreux. Ces signes avant-coureurs sont typiques des infections par cheval de Troie et ne sont pas spécifiquement confirmés pour Expiro.I :

• Un processus système qui apparaît à un emplacement inattendu ou qui se comporte de manière étrange, en particulier un processus qui prétend être un composant Windows.
• Ralentissements inexpliqués, plantages ou utilisation élevée des ressources.
• Des fichiers manquants ou des programmes que vous n'avez pas installés.
• Activité réseau inattendue ou paramètres de sécurité qui changent d'eux-mêmes.

Comment rester protégé

1. Maintenez Windows et vos logiciels à jour afin de corriger les vulnérabilités connues.
2. Soyez prudent avec les pièces jointes aux courriels provenant d'expéditeurs inconnus, en particulier les fichiers .exe ou .pif, ou toute « image » ou « vidéo » qui demande à être exécutée.
3. Téléchargez les logiciels uniquement à partir de sources officielles et évitez les sites web inconnus.

Si vous soupçonnez une infection, déconnectez l'ordinateur d'Internet, effectuez une analyse complète avec un logiciel anti-malware à jour et modifiez vos mots de passe importants depuis un appareil sain. Si le système présente toujours des anomalies, envisagez de faire appel à un professionnel ou de réinstaller Windows.

Bulletin d'analyse

Informations générales

Nom de famille :	Trojan.Expiro.I
Statut de la signature :	Self Signed

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: c7191ac917ba703648750fc98c749c99 SHA1: 2a0fb4af8e099d342250d3fbd49134d9b3a9d4d2 SHA256: 4772FFAFCBB7B4EB5830AC608D029722104DF8851C0CCDEF58042835BEBA9326 Taille du fichier: 506.22 KB 506216 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icônes de fichiers

i

Icônes de fichiers

Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.

Informations sur la version de Windows PE

i

Informations sur la version de Windows PE

Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.

Nom	Évaluer
Company Name	Microsoft Corporation
File Description	Windows Problem Reporting
File Version	10.0.19041.7811 (WinBuild.160101.0800)
Internal Name	WerFault
Legal Copyright	© Microsoft Corporation. All rights reserved.
Original Filename	WerFault.exe
Product Name	Microsoft® Windows® Operating System
Product Version	10.0.19041.7811

Signatures numériques

i

Signatures numériques

Cette section répertorie les signatures numériques associées aux échantillons de cette famille. Lors de l'analyse et de la vérification des signatures numériques, il est essentiel de s'assurer que l'autorité racine de la signature est une entité reconnue et digne de confiance, et que le statut de la signature est valide. Les logiciels malveillants sont souvent signés avec des signatures numériques « auto-signées » non fiables (facilement créables par un auteur de logiciel malveillant sans vérification). Ils peuvent également être signés par des signatures légitimes dont le statut est invalide, ou par des signatures provenant d'autorités racines douteuses, avec des noms de « signataire » falsifiés ou trompeurs.

Signataire	Racine	Statut
Microsoft Windows	Microsoft Windows Production PCA 2026 RSA2048-SHA256	Self Signed
Microsoft Windows	Windows Production PCA 2023	Self Signed

Caractéristiques du fichier

• HighEntropy
• ntdll
• x86

Informations sur le bloc

i

Informations sur le bloc

Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.

Nombre total de blocs :	1,090
Blocages potentiellement malveillants :	1
Blocs autorisés :	572
Blocs inconnus :	517

Carte visuelle

0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
Anti Debug	IsDebuggerPresent