Troyano.Penguish.KB

Trojan.Penguish.KB es un troyano para Windows con un nivel de peligrosidad de 8 sobre 10. Al igual que otros troyanos, simula ser inofensivo o útil mientras realiza su verdadero trabajo silenciosamente en segundo plano. Se detectó por primera vez el 15 de marzo de 2025 y, más recientemente, el 4 de noviembre de 2026, por lo que aún permanece activo.

Lo que hace la amenaza

Según la información disponible, Penguish.KB se instala sigilosamente y se ejecuta en segundo plano, realizando funciones maliciosas. Puede otorgar a los atacantes control total sobre un sistema infectado. La descripción también indica que puede eliminar archivos de forma encubierta. Los troyanos de este tipo suelen descargar malware adicional, pero el texto de la información se interrumpe en ese punto, por lo que debe considerarse un comportamiento típico y no una capacidad confirmada.

Una muestra analizada contenía información de versión que parecía corresponder a una utilidad de control de teclado y joystick llamada JoyToKey. Los atacantes suelen disfrazar el malware como programas legítimos o incluirlo junto con ellos para parecer confiables. El archivo no especifica cómo se creó, por lo que no está clara su relación exacta con el programa original. La misma muestra presentaba las siguientes características:

• Se trata de un ejecutable con interfaz gráfica de usuario (GUI) de Windows de 32 bits que no está comprimido.
• No tiene firma digital.
• Utiliza funciones de Windows relacionadas con los ganchos y el estado del teclado (SetWindowsHookEx y GetKeyState). Las herramientas legítimas de reasignación de entrada también las utilizan, pero son típicas de los programas que monitorizan las pulsaciones de teclas.
• Modificó un archivo de registro en una carpeta llamada JoyToKey, ubicada dentro de la carpeta Documentos del usuario.

Dado que estos comportamientos se superponen con los del software normal, ninguno de ellos por sí solo demuestra que un archivo sea malicioso. La falta de una firma y la discrepancia entre un nombre que parece confiable y una detección marcada son motivos para tener precaución.

Cómo suele llegar a los ordenadores

El feed enumera estas rutas de distribución:

• Explotar las vulnerabilidades del sistema y las fallas de seguridad.
• Descargas de software desde sitios web maliciosos.
• Archivos adjuntos de correo electrónico procedentes de fuentes no fiables, normalmente con extensiones .exe, .pif, .avi o incluso .jpg.

Dado que esta muestra imita un programa de utilidad, descargar herramientas de sitios no oficiales, réplicas o copias modificadas o localizadas representa un riesgo plausible. Este es un patrón típico de los troyanos, más que un hecho confirmado en este caso en particular.

Riesgos para el usuario

• Control remoto de su ordenador por parte de un atacante.
• Pérdida o eliminación de archivos.
• Instalación de programas adicionales no deseados o maliciosos, lo cual es típico de los troyanos.
• Posible exposición de datos tecleados, como contraseñas, si se abusa de las funciones del teclado. Esta posibilidad se basa en las funciones que utiliza la muestra, no en lo que confirma el feed.

Signos de infección

El feed no enumera síntomas visibles, y el troyano está diseñado para ejecutarse silenciosamente. En general, preste atención a lo siguiente:

• Un programa que descargaste se comporta de forma extraña o crea archivos inesperados.
• Ralentizaciones o actividad en segundo plano inexplicables.
• Archivos que desaparecen sin explicación.
• Programas desconocidos que aparecen por sí solos.
• Cuentas que muestran inicios de sesión o cambios que usted no realizó.

Dado que la infección puede ser asintomática, un sistema que parezca limpio no la descarta.

Cómo mantenerse protegido

• Mantén Windows y todo el software instalado actualizados, ya que las vulnerabilidades son un punto de entrada principal.

Si cree haber ejecutado algún archivo relacionado con esta detección, desconéctese de internet, analice el equipo y elimine cualquier archivo marcado como sospechoso. A continuación, cambie sus contraseñas desde un dispositivo limpio y revise sus cuentas importantes en busca de actividad sospechosa.

Reporte de análisis

Información general

Apellido:	Trojan.Penguish.KB
Estado de la firma:	No Signature

Muestras conocidas

i

Muestras conocidas

Esta sección enumera otras muestras de archivos que se cree que están asociadas con esta familia.

MD5: 2984ad93d4c813379fa25fa2bc4e97dd SHA1: 693c69f04e82bfa53ab323c06d7ec06ddf753c37 SHA256: 67CA30B9C3A42CE4A71CAEACE25F52BA349FA0FE32D8AEFC1D9F59F59C258888 Tamaño del archivo: 4.95 MB, 4946288 bytes

Atributos de ejecutables portátiles de Windows

i

Atributos de ejecutables portátiles de Windows

Esta sección enumera los atributos de archivo encontrados en muestras de la misma familia. Estos atributos se extraen de la especificación Windows PE (Portable Executable) de los archivos y de diversas marcas del sistema. Los atributos Portable Executable brindan a los investigadores de malware información sobre la funcionalidad del archivo, los detalles del ejecutable, la plataforma y el entorno de ejecución.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Iconos de archivo

i

Iconos de archivo

Esta sección muestra los recursos de iconos encontrados en muestras de la misma familia. El malware suele replicar iconos comúnmente asociados con software legítimo para engañar a los usuarios y hacerles creer que el malware es seguro.

Información de la versión de Windows PE

i

Información de la versión de Windows PE

Esta sección muestra los valores y atributos que se han configurado en la estructura de datos de información de versión de archivos de Windows para las muestras de esta familia. Para engañar a los usuarios, los ciberdelincuentes suelen añadir información de versión falsa que imita a software legítimo.

Nombre	Valor
Comments	https://joytokey.net/
Company Name	JTK software
File Description	JoyToKey - Convert Joystick to Keyboard/Mouse Input
File Version	7.0.0.565
Internal Name	JoyToKey
Legal Copyright	Copyright(C) JTK, 1999-2024
Original Filename	JoyToKey
Product Name	一羞汉化
Product Version	7.0
Program I D	一羞汉化

Características de archivo

• HighEntropy
• VirtualQueryEx
• x86

Información del bloque

i

Información del bloque

Durante el análisis, EnigmaSoft divide las muestras de archivos en bloques lógicos para su clasificación y comparación con otras muestras. Estos bloques se pueden usar para generar reglas de detección de malware y agrupar las muestras de archivos en familias según su código fuente, funcionalidad y otros atributos y características distintivas. Esta sección presenta un resumen de los datos de estos bloques, así como su clasificación por EnigmaSoft. También se muestra una representación visual de los datos de los bloques, cuando está disponible.

Bloques totales:	11,644
Bloqueos potencialmente maliciosos:	450
Bloqueos permitidos:	11,194
Bloques desconocidos:	0

Mapa visual

... Datos truncados

0 - Bloque seguro probable
? - Bloque desconocido
x - Bloqueo potencialmente malicioso

Familias similares

i

Familias similares

Esta sección enumera otras familias que comparten similitudes con esta familia, según el análisis de EnigmaSoft. Muchas familias de malware se crean a partir de los mismos kits de herramientas y utilizan las mismas técnicas de empaquetado y cifrado, pero extienden su funcionalidad de forma única. Familias similares también pueden compartir código fuente, atributos, iconos, subcomponentes, firmas digitales comprometidas o inválidas y características de red. Los investigadores aprovechan estas similitudes para clasificar rápidamente y de forma eficaz las muestras de archivos y ampliar las reglas de detección de malware.

• Ousaban.C
• Penguish.KB
• Se7enkills.A

Archivos modificados

i

Archivos modificados

Esta sección enumera los archivos que fueron creados, modificados, movidos o eliminados por muestras de esta familia. La actividad del sistema de archivos puede proporcionar información valiosa sobre cómo funciona el malware en el sistema operativo.

Archivo	Atributos
c:\users\user\documents\joytokey\joytokey.log	Generic Write,Read Attributes

Modificaciones del registro

i

Modificaciones del registro

Esta sección enumera las claves y valores del registro que fueron creados, modificados o eliminados por muestras de esta familia. La actividad del Registro de Windows puede proporcionar información valiosa sobre la funcionalidad del malware. Además, el malware suele crear valores en el registro para iniciarse automáticamente y persistir indefinidamente después de que la infección inicial haya comprometido el sistema.

Clave::Valor	Datos	Nombre de la API
HKCU\system\currentcontrolset\control\mediaproperties\privateproperties\directinput\vid_0627&pid_0001\calibration\0::guid	P.�F���� DEST	RegNtPreCreateKey
HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::name	693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288	RegNtPreCreateKey
HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::usesmapper		RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::name	693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288	RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::id	693C69F04E82BFA53AB323C06D7EC06DDF753C37_00049462886634D1DC004B7970	RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::version	ࠀ	RegNtPreCreateKey
HKCU\software\microsoft\directinput\mostrecentapplication::mostrecentstart	릙ᜐ泣ǝ	RegNtPreCreateKey

Uso de la API de Windows

i

Uso de la API de Windows

Esta sección enumera las llamadas a la API de Windows que utilizan las muestras de esta familia. El análisis del uso de la API de Windows es una herramienta valiosa que puede ayudar a identificar actividades maliciosas, como el registro de pulsaciones de teclas, la escalada de privilegios de seguridad, el cifrado de datos, la exfiltración de datos, la interferencia con el software antivirus y la manipulación de solicitudes de red.

Categoría	API
Other Suspicious	SetWindowsHookEx
User Data Access	GetUserObjectInformation
Keyboard Access	GetKeyState