Trojan.Penguish.KB
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Classement de popularité : | 23,648 |
| Niveau de menace: | 80 % (Haute) |
| Ordinateurs infectés : | 11 |
| Vu la première fois: | March 15, 2025 |
| Vu pour la dernière fois : | November 4, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.Penguish.KB est un cheval de Troie Windows présentant un niveau de dangerosité de 8 sur 10. Comme d'autres chevaux de Troie, il se fait passer pour un programme inoffensif ou utile tout en menant ses véritables actions discrètement en arrière-plan. Il a été détecté pour la première fois le 15 mars 2025 et plus récemment le 4 novembre 2026 ; il est donc toujours actif.
Table des matières
Que fait la menace ?
D'après les données du flux RSS, Penguish.KB s'installe furtivement et s'exécute silencieusement en arrière-plan, menant des actions malveillantes. Il peut donner aux attaquants un contrôle total sur un système infecté. La description indique également qu'il peut supprimer des fichiers discrètement. Les chevaux de Troie de ce type téléchargent généralement d'autres logiciels malveillants, mais le texte du flux RSS est tronqué à ce stade ; il s'agit donc d'un comportement typique plutôt que d'une capacité confirmée.
Un échantillon analysé contenait des informations de version ressemblant à celles d'un utilitaire de conversion joystick-clavier nommé JoyToKey. Les attaquants dissimulent fréquemment des logiciels malveillants sous forme de programmes légitimes, ou les intègrent à ces derniers, afin de paraître dignes de confiance. Le flux ne précise pas comment ce fichier a été construit ; son lien exact avec le programme authentique reste donc flou. Ce même échantillon présentait les caractéristiques suivantes :
- Il s'agit d'un exécutable GUI Windows 32 bits non compressé.
- Il ne comporte pas de signature numérique.
- Il utilise des fonctions Windows liées aux hooks et à l'état du clavier (SetWindowsHookEx et GetKeyState). Les outils légitimes de remappage des entrées les utilisent également, mais elles sont aussi typiques des programmes qui surveillent les frappes au clavier.
- Il a modifié un fichier journal dans un dossier JoyToKey situé dans le dossier Documents de l'utilisateur.
Ces comportements étant similaires à ceux des logiciels classiques, aucun ne prouve à lui seul qu'un fichier est malveillant. L'absence de signature et la discordance entre un nom d'apparence fiable et une détection signalée sont des motifs de prudence.
Comment cela se retrouve généralement sur les ordinateurs
Le flux répertorie les voies de distribution suivantes :
- Exploiter les vulnérabilités et les failles de sécurité du système.
- Téléchargements de logiciels depuis des sites web malveillants.
- Pièces jointes aux courriels provenant de sources non fiables, généralement avec les extensions .exe, .pif, .avi ou même .jpg.
Puisque cet échantillon imite un utilitaire, le téléchargement d'outils depuis des sites non officiels, des miroirs ou des copies reconditionnées ou localisées représente un risque plausible. Il s'agit d'un comportement typique des chevaux de Troie, et non d'une caractéristique propre à celui-ci.
Risques pour l’utilisateur
- Prise de contrôle à distance de votre ordinateur par un pirate informatique.
- Perte ou suppression de fichiers.
- Installation de programmes supplémentaires indésirables ou malveillants, ce qui est typique des chevaux de Troie.
- Une utilisation abusive des fonctions du clavier pourrait exposer des données saisies, comme des mots de passe. Cette possibilité repose sur les fonctions utilisées dans l'échantillon, et non sur une information confirmée par le flux de données.
Signes d’infection
Le flux RSS ne mentionne aucun symptôme visible et le cheval de Troie est conçu pour fonctionner discrètement. En général, soyez attentif aux signes suivants :
- Un programme que vous avez téléchargé se comporte étrangement ou crée des fichiers inattendus.
- Ralentissements inexpliqués ou activité en arrière-plan.
- Des fichiers qui disparaissent sans explication.
- Des programmes inconnus qui apparaissent seuls.
- Comptes affichant des connexions ou des modifications que vous n'avez pas effectuées.
Comme l'infection peut être silencieuse, un système d'apparence propre ne permet pas de l'exclure.
Comment rester protégé
- Maintenez Windows et tous les logiciels installés à jour, car les vulnérabilités constituent un point d'entrée majeur.
Si vous pensez avoir exécuté un fichier lié à cette détection, déconnectez-vous d'Internet, analysez votre ordinateur et supprimez tout élément signalé. Ensuite, changez vos mots de passe depuis un appareil non infecté et vérifiez vos comptes importants afin de détecter toute activité suspecte.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.Penguish.KB |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
2984ad93d4c813379fa25fa2bc4e97dd
SHA1:
693c69f04e82bfa53ab323c06d7ec06ddf753c37
SHA256:
67CA30B9C3A42CE4A71CAEACE25F52BA349FA0FE32D8AEFC1D9F59F59C258888
Taille du fichier:
4.95 MB 4946288 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Show 2 more
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icônes de fichiers
Icônes de fichiers
Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.
Informations sur la version de Windows PE
Informations sur la version de Windows PE
Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.| Nom | Évaluer |
|---|---|
| Comments | https://joytokey.net/ |
| Company Name | JTK software |
| File Description | JoyToKey - Convert Joystick to Keyboard/Mouse Input |
| File Version | 7.0.0.565 |
| Internal Name | JoyToKey |
| Legal Copyright | Copyright(C) JTK, 1999-2024 |
| Original Filename | JoyToKey |
| Product Name | 一羞汉化 |
| Product Version | 7.0 |
| Program I D | 一羞汉化 |
Caractéristiques du fichier
- HighEntropy
- VirtualQueryEx
- x86
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 11,644 |
|---|---|
| Blocages potentiellement malveillants : | 450 |
| Blocs autorisés : | 11,194 |
| Blocs inconnus : | 0 |
Carte visuelle
... Données tronquées? - Bloc inconnu
x - Blocage potentiellement malveillant
Familles similaires
Familles similaires
Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.- Ousaban.C
- Penguish.KB
- Se7enkills.A
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| c:\users\user\documents\joytokey\joytokey.log | Generic Write,Read Attributes |
Modifications du registre
Modifications du registre
Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.| Clé::Valeur | Données | Nom de l'API |
|---|---|---|
| HKCU\system\currentcontrolset\control\mediaproperties\privateproperties\directinput\vid_0627&pid_0001\calibration\0::guid | P.�F����DEST | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::usesmapper | RegNtPreCreateKey | |
| HKCU\software\microsoft\directinput\mostrecentapplication::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::id | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_00049462886634D1DC004B7970 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::version | ࠀ | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::mostrecentstart | 릙ᜐ泣ǝ | RegNtPreCreateKey |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Keyboard Access |
|