Trojan.MSIL.Krypt.TDW
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Classement de popularité : | 25,519 |
| Niveau de menace: | 80 % (Haute) |
| Vu la première fois: | August 8, 2026 |
| Vu pour la dernière fois : | August 27, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.MSIL.Krypt.TDW est un cheval de Troie ciblant les ordinateurs Windows. Son niveau de dangerosité est évalué à 8 sur 10, ce qui le classe dans la catégorie à haut risque. « MSIL » dans son nom indique qu'il s'agit d'un programme développé sur la plateforme .NET. Il a été détecté pour la première fois le 8 août 2026 et plus récemment le 27 août 2026. Le flux de données ne recense qu'une seule détection à ce jour ; on dispose donc de peu d'informations sur son ampleur de propagation.
Table des matières
Que fait la menace ?
Comme d'autres chevaux de Troie, il est conçu pour fonctionner discrètement en arrière-plan et mener des actions malveillantes à l'insu de l'utilisateur. D'après les informations disponibles, il peut donner aux attaquants un contrôle total sur un système infecté et supprimer des fichiers à leur insu, entre autres fonctions nuisibles.
L'échantillon analysé présente plusieurs caractéristiques techniques :
- Il s'agit d'un exécutable GUI .NET 32 bits non compressé et sans signature numérique.
- Ses informations de version utilisent le nom interne et d'origine « Aventa2xUninstaller.exe », ce qui le fait passer pour un utilitaire de désinstallation. Les chevaux de Troie utilisent souvent des noms d'apparence inoffensive comme celui-ci, mais le flux RSS ne précise pas qu'il s'agit d'un déguisement délibéré.
- Il utilise une vérification anti-débogage (IsDebuggerPresent), qui est généralement utilisée pour rendre l'analyse plus difficile.
- Elle appelle des fonctions liées à la manipulation de processus, notamment NtUnmapViewOfSection et ReadProcessMemory. Cette combinaison est généralement associée à la manipulation d'autres processus, bien que le flux RSS ne confirme pas ce qui s'est passé dans ce cas précis.
- Il utilise une fonction de cryptographie Windows (BCryptOpenAlgorithmProvider) et crée un nouveau processus. Lors de l'analyse, il a lancé un composant de rapport d'erreurs du framework .NET (dw20.exe).
- Il a affecté les fichiers de transactions du registre Windows dans le profil utilisateur, le fichier Amcache et un canal nommé.
Sur 208 blocs d'activité observés, 8 ont été signalés comme potentiellement malveillants, 90 ont été autorisés et 110 étaient inconnus.
Comment cela se retrouve généralement sur les ordinateurs
Le flux indique que ce cheval de Troie s'installe furtivement. Les méthodes habituelles sont :
- Exploiter les vulnérabilités et les failles de sécurité du système.
- Téléchargements de logiciels depuis des sites web malveillants.
- Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.
Les fichiers se faisant passer pour des images ou des vidéos sont une ruse classique, car les utilisateurs ont tendance à les ouvrir sans se méfier.
Risques pour l’utilisateur
- Des attaquants distants peuvent prendre le contrôle total de l'ordinateur.
- Des fichiers peuvent être supprimés à votre insu.
- D'autres logiciels malveillants peuvent être installés. C'est typique des chevaux de Troie, bien que l'extrait du flux soit tronqué avant d'afficher toutes les fonctions.
- Les données personnelles et les comptes présents sur la machine pourraient être compromis. Il s'agit d'un risque typique des chevaux de Troie dotés de capacités de contrôle à distance, et non d'un comportement avéré de cet échantillon.
Signes d’infection
Ce cheval de Troie est conçu pour rester invisible, il est donc possible qu'il ne présente aucun symptôme évident. Les signes avant-coureurs typiques de ce type de menace sont les suivants :
- Ralentissements inattendus ou utilisation élevée des ressources dus à des processus inhabituels.
- Des fichiers qui disparaissent ou changent sans explication.
- Programmes inconnus ou fenêtres de rapport d'erreurs qui apparaissent sans raison apparente.
- Un outil de sécurité vous alerte de la détection du nom Trojan.MSIL.Krypt.TDW.
- Un fichier dont le nom ressemble à celui d'un programme de désinstallation que vous n'avez jamais téléchargé ni exécuté volontairement.
Comment rester protégé
Si vous soupçonnez une infection, déconnectez l'ordinateur d'Internet, effectuez une analyse complète et supprimez tout élément détecté. Ensuite, modifiez vos mots de passe importants depuis un appareil sain, car un cheval de Troie ayant un accès à distance a pu les compromettre.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.MSIL.Krypt.TDW |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
404f46839df957a1ea63b5d9ed0117c0
SHA1:
305135a9d1716386415a1b3571f76b2089fb81cf
SHA256:
9D5B1BAACF327FA304C696E80F2FB04C33DD96E484DFDC729C4B387ACBD86354
Taille du fichier:
466.43 KB 466432 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icônes de fichiers
Icônes de fichiers
Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.
Informations sur la version de Windows PE
Informations sur la version de Windows PE
Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.| Nom | Évaluer |
|---|---|
| Assembly Version | 1.0.3541.16625 |
| File Version | 1.0.3541.16625 |
| Internal Name | Aventa2xUninstaller.exe |
| Original Filename | Aventa2xUninstaller.exe |
| Product Version | 1.0.3541.16625 |
Caractéristiques du fichier
- .NET
- HighEntropy
- Installer Version
- x86
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 208 |
|---|---|
| Blocages potentiellement malveillants : | 8 |
| Blocs autorisés : | 90 |
| Blocs inconnus : | 110 |
Carte visuelle
? - Bloc inconnu
x - Blocage potentiellement malveillant
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| \device\namedpipe\gmdasllogger | Generic Write,Read Attributes |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\windows\appcompat\programs\amcache.hve | Read Data,Read Control,Write Data |
| c:\windows\appcompat\programs\amcache.hve | Write Attributes |
Modifications du registre
Modifications du registre
Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.| Clé::Valeur | Données | Nom de l'API |
|---|---|---|
| HKLM\system\software\microsoft\tip\aggregateresults::data | ⳛ˼耀塉 » ⳛ˼耀塉 隞̃́耀꧌ ڌ Թ | RegNtPreCreateKey |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Syscall Use |
Show 78 more
|
| User Data Access |
|
| Anti Debug |
|
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Encryption Used |
|
Exécution de commandes Shell
Exécution de commandes Shell
Cette section répertorie les commandes de l'interpréteur de commandes Windows exécutées par les échantillons de cette famille. Ces commandes sont fréquemment utilisées par les logiciels malveillants à des fins malveillantes et peuvent servir à élever les privilèges d'administrateur, télécharger et exécuter d'autres logiciels malveillants, exploiter des vulnérabilités, collecter et exfiltrer des données, et dissimuler des activités malveillantes.
C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 836
|