Trojan.Kryptik.Gen.EKL

Trojan.Kryptik.Gen.EKL est un cheval de Troie à haut risque ciblant les ordinateurs Windows. Classé comme dangereux avec un niveau de gravité de 8 sur 10, ce logiciel malveillant est conçu pour s'infiltrer discrètement dans les systèmes, exécuter des actions malveillantes en arrière-plan et potentiellement donner aux attaquants le contrôle d'une machine infectée. Appartenant à la vaste et prolifique famille de chevaux de Troie Kryptik, Trojan.Kryptik.Gen.EKL partage de nombreuses caractéristiques avec des logiciels malveillants apparentés tels que Trojan.Kryptik.Gen.FQK et Trojan.Kryptik.Gen.FZB, qui utilisent tous des techniques de furtivité et d'évasion similaires.

Que fait Trojan.Kryptik.Gen.EKL ?

Une fois actif sur un système, Trojan.Kryptik.Gen.EKL s'exécute silencieusement en arrière-plan, sans interface visible, ce qui rend difficile pour un utilisateur lambda de détecter quoi que ce soit d'inhabituel. Conçu comme une application Windows 32 bits native, il présente des signes d'entropie élevée, une caractéristique souvent associée aux codes malveillants obscurcis ou chiffrés, destinés à résister à l'analyse et à la détection. L'échantillon observé possédait également une signature numérique ne correspondant pas à son hachage, ce qui signifie qu'il tentait de se faire passer pour légitime alors qu'en réalité, la vérification échouait – une technique courante utilisée par les auteurs de logiciels malveillants pour donner une fausse crédibilité à leurs fichiers.

Ce cheval de Troie utilise des techniques de manipulation et d'évasion de processus, notamment des méthodes permettant de vider ou de falsifier des processus légitimes en mémoire. Il accède également aux informations des objets utilisateur, ce qui peut constituer une étape vers la surveillance ou la reconnaissance du système. Lors de l'infection, il crée et modifie des fichiers de cache et de métadonnées dans des dossiers système cachés, qu'il peut utiliser pour stocker des composants téléchargés, des données de configuration ou des informations volées avant de les transmettre ailleurs.

Comment cela se retrouve généralement sur les ordinateurs

Comme la plupart des menaces de la famille Kryptik, Trojan.Kryptik.Gen.EKL se propage généralement par des moyens trompeurs plutôt qu'en exploitant une vulnérabilité spécifique. Les vecteurs d'infection courants incluent les logiciels téléchargés depuis des sites web non fiables ou compromis, les installateurs groupés et les pièces jointes d'e-mails déguisées en fichiers inoffensifs (exécutables, fichiers multimédias ou images) qui dissimulent en réalité un code malveillant. Dans de nombreux cas, il peut également s'introduire par l'exploitation de failles de sécurité système non corrigées, lui permettant de s'installer à l'insu de l'utilisateur.

Risques pour l’utilisateur

Les conséquences d'une infection par le cheval de Troie Kryptik Gen.EKL peuvent être graves. Une fois installé, ce type de cheval de Troie confère aux attaquants distants un contrôle important sur la machine infectée, leur permettant potentiellement de voler des données sensibles, d'installer d'autres logiciels malveillants, de surveiller l'activité des utilisateurs ou d'utiliser le système comme plateforme de lancement pour d'autres attaques. Ses techniques d'évasion rendent sa détection et son élimination plus difficiles, tant pour les outils de sécurité que pour les utilisateurs, augmentant ainsi le risque d'une compromission prolongée et non détectée.

Signes d’infection

Les chevaux de Troie de ce type étant conçus pour agir furtivement, les infections sont souvent difficiles à détecter. Les utilisateurs doivent être attentifs aux ralentissements système inexpliqués, à une activité réseau inhabituelle, à l'apparition de fichiers inconnus dans les dossiers système, à des plantages inattendus ou à des alertes suspectes signalées par leur logiciel de sécurité. La présence de fichiers cache ou de métadonnées inconnus dans des répertoires de données d'application cachés, comme c'est le cas avec cette menace, peut également constituer un signe d'alerte.

Comment rester protégé

Pour réduire le risque d'infection, évitez de télécharger des logiciels depuis des sites web non officiels ou suspects et n'ouvrez jamais les pièces jointes provenant d'expéditeurs inconnus ou non fiables. Maintenez votre système d'exploitation Windows et tous vos logiciels installés à jour afin de corriger les failles de sécurité souvent exploitées par les chevaux de Troie. L'utilisation d'un logiciel de sécurité fiable et à jour, ainsi que la réalisation d'analyses système régulières, permettent de détecter et de supprimer les menaces telles que Trojan.Kryptik.Gen.EKL avant qu'elles ne causent des dommages irréversibles. La sauvegarde régulière de vos données importantes contribue également à limiter l'impact d'une infection réussie.

Bulletin d'analyse

Informations générales

Nom de famille :	Trojan.Kryptik.Gen.EKL
Statut de la signature :	Hash Mismatch

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: 6ee24211c870cfa69b6f3308459668df SHA1: 78f05bd41f29448afecd416bd6545371282f3c39 SHA256: 63BA3A7317F12EFB1090152C900234CBE86477B81CEEFAC2987055D289D8FE1D Taille du fichier: 657.68 KB 657680 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icônes de fichiers

i

Icônes de fichiers

Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.

Informations sur la version de Windows PE

i

Informations sur la version de Windows PE

Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.

Nom	Évaluer
File Version	1.0.0.0
Product Version	1.0.0.0

Signatures numériques

i

Signatures numériques

Cette section répertorie les signatures numériques associées aux échantillons de cette famille. Lors de l'analyse et de la vérification des signatures numériques, il est essentiel de s'assurer que l'autorité racine de la signature est une entité reconnue et digne de confiance, et que le statut de la signature est valide. Les logiciels malveillants sont souvent signés avec des signatures numériques « auto-signées » non fiables (facilement créables par un auteur de logiciel malveillant sans vérification). Ils peuvent également être signés par des signatures légitimes dont le statut est invalide, ou par des signatures provenant d'autorités racines douteuses, avec des noms de « signataire » falsifiés ou trompeurs.

Signataire	Racine	Statut
QIHU 360 SOFTWARE CO. LIMITED	Symantec Class 3 SHA256 Code Signing CA	Hash Mismatch
QIHU 360 SOFTWARE CO. LIMITED	VeriSign Class 3 Code Signing 2010 CA	Hash Mismatch

Caractéristiques du fichier

• HighEntropy
• x86

Informations sur le bloc

i

Informations sur le bloc

Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.

Nombre total de blocs :	1,996
Blocages potentiellement malveillants :	2
Blocs autorisés :	1,994
Blocs inconnus :	0

Carte visuelle

0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Familles similaires

i

Familles similaires

Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.

• Banload.XT
• Kryptik.BDEA
• Trojan.Krypt.Gen.RNS
• Trojan.Kryptik.Gen.EKL
• Trojan.Kryptik.Gen.FQK

Show 1 more

• Trojan.Kryptik.Gen.FZB

Fichiers modifiés

i

Fichiers modifiés

Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.

Déposer	Attributs
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data

Modifications du registre

i

Modifications du registre

Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.

Clé::Valeur	Données	Nom de l'API
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
User Data Access	GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection