Vad är en Trojan Horse Crypt?
En Trojan horse crypt (eller krypterad Trojan) är skadlig kod inpackad i kryptering eller obfuskering inuti en tycktes legitim fil. Som i den grekiska myten luras användare att "öppna portarna" genom att köra vad som verkar vara en ofarlig dokument, installationsfil eller mediafil.
Hur angreppskedjan fungerar
- Vapenmontering: Angripare bäddar in skadlig last (RAT, keylogger, ransomware, stjälare) i en benign bärarfils (PDF, .docx, .exe, .apk).
- Kryptering: Lasten krypteras med en anpassad eller kommersiell crypter (t.ex. .NET Reactor, VMProtect, anpassade XOR/AES-rutiner) för att undvika signaturbaserad AV-detektion.
- Leverans: Fishing-e-post (faktura, CV, fraktavisering), skadliga annonser, komprometterade programnedladdningar, falska uppdateringar.
- Social engineering: Brådska, auktoritetsimpersonifiering, nyfikenhet eller rädsla får användare att kringgå varningar och köra.
- Körning & dekryptering: Vid körning dekrypterar stubben lasten i minnet (ofta med process hollowing, reflektorisk DLL-injektion, eller direkta syscalls) och kör den — med minimala diskartefakter.
- Persistence: Schemalagda uppgifter, Run-nycklar, WMI-händelseprenumerationer, DLL side-loading, eller kärndrivrutiner säkerställer överlevnad över omstarter.
Vanliga skadliga aktiviteter efter körning
- Inloggningsuppgiftsinsamling (webbläsarlösenord, Wi-Fi-nycklar, krypto-plånböcker)
- Tangentbordsloggning & skärminspelning
- Fjärrskrivbordsåtkomst (RAT)
- Laterala rörelser via SMB, RDP, Pass-the-Hash
- Ransomware-distribution eller dataexfiltrering
- Kryptovalutagruvdrift (CPU/GPU mining)
Detektions- och förebyggande strategier
| Lager | Kontroller |
|---|
| Användare | Säkerhetsmedvetenhetsträning; verifiera avsändare via separat kanal; aktivera inte makron/innehåll utan IT-godkännande |
| E-post | DMARC/DKIM/SPF; bilagasandboxning; länkomsättning; blockera högriskändelser (.exe, .scr, .js, .vbs) |
| Endpoint | Next-gen AV/EDR med beteende-AI, minnesskanning, AMSI-integration; applikationskontroll (AppLocker/WDAC) |
| Nätverk | DNS-filtrering; TLS-inspektion; zero-trust-segmentering; utgående övervakning för C2-beaconing |
| System | Patcha OS/appar snabbt; inaktivera PowerShell v2, WScript, SMBv1; tillämpa minsta behörighet |
Nyckelbudskap: Inget enskilt verktyg stoppar alla krypterade Trojaner. Defense-in-depth — kombination av användaruppmarksamhet, tekniska kontroller och snabb detektering/svar — är avgörande.
