Trojan Horse Crypt: Hvordan malware gemmer sig i legitime filer & hvordan du holder dig sikker

Hvad er en Trojan Horse Crypt?

En Trojan horse crypt (eller krypteret Trojan) er malware indpakket i kryptering eller obfuskation inde i en tilsyneladende legitim fil. Som i den græske myte, lurer den brugere til at "åbne portene" ved at eksekvere, hvad der ser ud som en harmløs dokument, installer eller mediefil.

Hvordan angrebs-kæden virker

1. Våbenfabrikation: Angribere indlejrer skadelig payload (RAT, keylogger, ransomware, stealer) i en bænign bærer-fil (PDF, .docx, .exe, .apk).
2. Kryptering: Payloaden krypteres med en brugerdefineret eller kommerciel crypter (fx .NET Reactor, VMProtect, brugerdefineret XOR/AES-rutiner) for at undgå signatur-baseret AV-detektion.
3. Levering: Phishing-e-mails (faktura, CV, leveringsmeddelelse), skadelige annoncer, kompromitterede software-downloads, falske opdateringer.
4. Social engineering: Urgens, autoritets-impersonation, nysgerrighed eller frygt får brugeren til at ignorere advarsler og eksekvere.
5. Eksekvering & dekryptering: Ved kørsel dekrypterer stubben payloaden i hukommelse (ofte ved hjælp af process-hollowing, reflektiv DLL-injektion eller direkte syscalls) og eksekverer den — med minimale disk-artefakter.
6. Persistens: Planlagte opgaver, Run-nøgler, WMI-event-abonnementer, DLL-side-loading eller kernel-drivere sikrer overlevelse på tværs af genstarter.

Almindelige skadelige aktiviteter efter eksekvering

• Credential harvesting (browser-adgangskoder, Wi-Fi-nøgler, krypto-pung)
• Tastatur-logging & skærmbillede-optagelse
• Fjernskrivebords-adgang (RAT)
• Lateral bevægelse via SMB, RDP, Pass-the-Hash
• Ransomware-udrulning eller data-eksfiltration
• Kryptojacking (CPU/GPU-mining)

Detektions- & forebyggelsesstrategier

Lag	Kontroller
Bruger	Sikkerhedsbevidsthedstræning; verificer afsender via separat kanal; aktiver ikke makroer/indhold uden IT-godkendelse
E-mail	DMARC/DKIM/SPF; vedhæftet sandboxing; link-omskrivning; bloker høj-risiko-udvidelser (.exe, .scr, .js, .vbs)
Endpoint	Next-gen AV/EDR med behavioral AI, hukommelses-scanning, AMSI-integration; applikationskontrol (AppLocker/WDAC)
Netværk	DNS-filtrering; TLS-inspektion; zero-trust segmentering; udgående overvågning for C2-beaconing
System	Patch OS/apps hurtigt; deaktiver PowerShell v2, WScript, SMBv1; pålæg mindste privileger

Nøgle-budskab: Intet enkelt værktøj stopper alle krypterede Trojans. Defense-in-depth — kombination af bruger-opmærksomhed, tekniske kontroller og hurtig detektion/response — er essentielt.