Trojan.Kryptik.BJB

Kryptik.BJB è un Trojan che prende di mira i computer Windows. Il suo livello di pericolosità è valutato 8 su 10. I Trojan si fingono file innocui o utili mentre svolgono attività dannose in background. I dati del feed mostrano 9 rilevamenti, il primo il 15/05/2025 e l'ultimo il 03/11/2026.

Cosa fa la minaccia

Secondo la descrizione, Kryptik.BJB si installa furtivamente e viene eseguito silenziosamente in background. Dopo l'installazione, può fornire agli aggressori il controllo completo del sistema. Può anche eliminare file di nascosto e installare ulteriori minacce. La descrizione è incompleta, quindi l'elenco completo delle sue azioni non è noto. I trojan di questo tipo in genere fungono da porta d'accesso per altri malware o per l'accesso remoto.

Il campione analizzato è una DLL di Windows a 32 bit non compressa. Il suo comportamento ha incluso diversi aspetti degni di nota:

• Avvio tramite rundll32: il campione è stato eseguito tramite l'utilità rundll32 di Windows dalla cartella Download dell'utente, richiamando una delle sue funzioni esportate. Le DLL dannose utilizzano comunemente questo stratagemma perché non possono essere eseguite autonomamente.
• Manipolazione dei processi: utilizza NtUnmapViewOfSection, che rientra nella categoria di manipolazione ed elusione dei processi. Questa chiamata è tipicamente associata alla manomissione della memoria di altri programmi.
• Anti-debugging: utilizza NtQuerySystemInformation, che è classificato come una tecnica anti-debugging. I malware in genere utilizzano tali chiamate per rilevare ambienti di analisi.
• Chiamate di sistema dirette: effettua diverse chiamate di basso livello tramite ntdll.dll per la scrittura di file e la gestione della memoria, e può avviare nuovi processi.

Un travestimento che vale la pena conoscere

Il campione contiene informazioni sulla versione che lo descrivono come un componente fondamentale di un programma di fotoritocco, insieme al nome dello sviluppatore e all'avviso di copyright. Presenta inoltre una firma digitale il cui stato è "Hash Mismatch". Ciò significa che il contenuto del file non corrisponde a quanto previsto dalla firma. Il feed non ne spiega il motivo. In genere, una discrepanza di questo tipo indica che il file è stato modificato dopo la firma o che i dettagli della firma sono stati copiati in un altro file. In entrambi i casi, un nome e una descrizione familiari non garantiscono la sicurezza del file. I dati non suggeriscono che il software originale sia di per sé dannoso.

L'analisi del campione ha inoltre suddiviso i blocchi di codice in gruppi: 904 su 1.828 sono stati segnalati come potenzialmente dannosi, 922 sono stati inseriti nella lista bianca e 2 sono risultati sconosciuti. Si tratta di una percentuale elevata di codice sospetto.

Come di solito si insinua nei computer

La descrizione indica tre percorsi principali:

• Sfruttamento delle vulnerabilità del sistema e delle falle di sicurezza.
• Download di software da siti web dannosi.
• Allegati di posta elettronica provenienti da fonti non attendibili, solitamente file .exe, .pif, .avi e persino .jpg.

Il campione è stato eseguito da una cartella Download, il che si adatta allo scenario di download. I file con doppi significati, come un'immagine o un video che in realtà è un programma, sono un classico trucco.

Rischi per l’utente

• Perdita di controllo del computer a causa di un attacco remoto.
• I file vengono eliminati a tua insaputa.
• Ulteriore malware viene installato in aggiunta all'infezione originale.
• Esposizione di dati personali. Questo è un rischio tipico quando un sistema è controllato da remoto, sebbene il feed non elenchi furti di dati specifici.

Segni di infezione

Kryptik.BJB è progettato per funzionare silenziosamente, quindi potrebbero non esserci sintomi evidenti. I tipici segnali di allarme di un Trojan di questo tipo includono:

• Processi rundll32 imprevisti o programmi sconosciuti in esecuzione in background.
• File che scompaiono o vengono modificati senza alcuna spiegazione.
• Prestazioni lente o attività di rete inspiegabili.
• Nuovi software o impostazioni che non hai installato o modificato.
• Gli strumenti di sicurezza vengono disabilitati o non si avviano.

Poiché i sintomi possono essere assenti, una TAC è il metodo di diagnosi più affidabile.

Come proteggersi

• Installa tempestivamente gli aggiornamenti di Windows e del software per chiudere le vulnerabilità che questo Trojan può sfruttare.
• Scarica i programmi esclusivamente dal sito web ufficiale dello sviluppatore.
• Non aprire allegati provenienti da mittenti sconosciuti, soprattutto file .exe o .pif, oppure "immagini" e "video" con comportamenti anomali.
• Controlla regolarmente la cartella Download ed elimina i file che non riconosci.
• Mantieni attivo un programma antimalware affidabile e aggiornato ed esegui una scansione completa del sistema se sospetti un'infezione.
• Conservate copie di backup dei file importanti su un'unità disconnessa o su un supporto di archiviazione separato.

Se viene rilevato un problema, disconnetti il computer da Internet, esegui una scansione completa e rimuovi tutto ciò che viene segnalato. Quindi, cambia le password importanti da un dispositivo pulito. Se il sistema potrebbe essere stato sotto controllo remoto, valuta la possibilità di reinstallare completamente Windows.