트로이.크립틱.BJB

Kryptik.BJB는 Windows 컴퓨터를 대상으로 하는 트로이 목마입니다. 위험도는 10점 만점에 8점으로 평가됩니다. 트로이 목마는 무해하거나 유용한 파일로 위장한 채 백그라운드에서 악성 작업을 수행합니다. 피드 데이터에 따르면 9건이 탐지되었으며, 첫 번째 탐지는 2025년 5월 15일, 마지막 탐지는 2026년 11월 3일입니다.

위협이 하는 일

설명에 따르면 Kryptik.BJB는 은밀하게 설치되어 백그라운드에서 조용히 실행됩니다. 설치 후 공격자에게 시스템에 대한 완전한 제어권을 부여할 수 있습니다. 또한 파일을 몰래 삭제하거나 추가적인 악성 프로그램을 설치할 수도 있습니다. 설명이 일부만 나와 있어 전체 작업 목록은 알 수 없습니다. 이러한 유형의 트로이 목마는 일반적으로 다른 악성 프로그램의 침투 경로 또는 원격 접근 수단으로 사용됩니다.

분석 대상 샘플은 압축되지 않은 32비트 Windows DLL입니다. 해당 DLL의 동작에는 주목할 만한 몇 가지 사항이 포함되어 있습니다.

• rundll32를 통한 실행: 이 샘플은 사용자의 다운로드 폴더에 있는 Windows rundll32 유틸리티를 통해 실행되었으며, 내보낸 함수 중 하나를 호출했습니다. 악성 DLL은 자체적으로 실행될 수 없기 때문에 이러한 방식을 흔히 사용합니다.
• 프로세스 조작: 이 코드는 프로세스 조작 및 회피 항목에 나열된 NtUnmapViewOfSection 함수를 사용합니다. 이 함수 호출은 일반적으로 다른 프로그램의 메모리를 변조하는 데 사용됩니다.
• 안티 디버깅: 이 프로그램은 안티 디버깅 기법으로 분류되는 NtQuerySystemInformation 함수를 사용합니다. 악성 프로그램은 일반적으로 이러한 함수 호출을 통해 분석 환경을 탐지합니다.
• 직접 시스템 호출: 파일 쓰기 및 메모리 처리를 위해 ntdll.dll을 통해 여러 하위 수준 호출을 수행하며, 새 프로세스를 시작할 수도 있습니다.

알아두면 좋을 변장술

해당 샘플에는 이미지 편집 프로그램의 핵심 구성 요소임을 설명하는 버전 정보와 개발자 이름, 저작권 표시가 포함되어 있습니다. 또한 "해시 불일치" 상태의 디지털 서명도 있습니다. 이는 파일 내용이 서명이 생성된 목적과 일치하지 않음을 의미합니다. 해당 피드에는 불일치 이유가 명시되어 있지 않습니다. 일반적으로 이러한 불일치는 서명 후 파일이 변경되었거나 서명 정보가 다른 파일로 복사되었음을 의미합니다. 어떤 경우든, 익숙해 보이는 이름과 설명만으로는 파일이 안전하다고 단정할 수 없습니다. 이 데이터는 정품 소프트웨어 자체가 악성 소프트웨어임을 시사하지는 않습니다.

샘플 분석 결과 코드 블록은 여러 그룹으로 분류되었습니다. 1,828개 중 904개가 잠재적으로 악성 코드로 분류되었고, 922개는 화이트리스트에 등록되었으며, 2개는 알 수 없는 코드였습니다. 이는 의심스러운 코드의 비율이 상당히 높다는 것을 의미합니다.

일반적으로 컴퓨터에 침투하는 경로

설명에는 세 가지 주요 경로가 명시되어 있습니다.

• 시스템 취약점과 보안 결함을 악용하는 행위.
• 악성 웹사이트에서 소프트웨어를 다운로드하는 행위.
• 출처가 불분명한 이메일 첨부 파일은 일반적으로 .exe, .pif, .avi, 심지어 .jpg 파일입니다.

해당 샘플은 다운로드 폴더에서 실행되었으며, 이는 다운로드 시나리오와 일치합니다. "사진"이나 "비디오"처럼 이중적인 의미를 가진 파일들이 실제로는 프로그램인 경우와 같은 전형적인 속임수입니다.

사용자에게 미치는 위험

• 원격 공격자에게 컴퓨터 제어권을 빼앗겼습니다.
• 사용자 모르게 파일이 삭제되고 있습니다.
• 기존 감염 위에 추가 악성코드가 설치되고 있습니다.
• 개인 데이터 노출. 이는 시스템이 원격 제어될 때 발생하는 일반적인 위험이지만, 해당 피드에는 구체적인 데이터 유출 사례는 나와 있지 않습니다.

감염 징후

Kryptik.BJB는 조용히 실행되도록 설계되었기 때문에 뚜렷한 증상이 나타나지 않을 수 있습니다. 이러한 트로이 목마의 일반적인 경고 신호는 다음과 같습니다.

• 예기치 않은 rundll32 프로세스 또는 알 수 없는 프로그램이 백그라운드에서 실행 중입니다.
• 파일이 설명 없이 사라지거나 변경됩니다.
• 성능 저하 또는 설명할 수 없는 네트워크 활동.
• 설치하거나 변경하지 않은 새로운 소프트웨어 또는 설정입니다.
• 보안 도구가 비활성화되었거나 실행되지 않는 경우.

증상이 나타나지 않을 수도 있기 때문에 영상 검사가 가장 확실한 진단 방법입니다.

자신을 보호하는 방법

• 이 트로이 목마가 악용할 수 있는 취약점을 해결하려면 Windows 및 소프트웨어 업데이트를 즉시 설치하십시오.
• 프로그램은 개발사의 공식 웹사이트에서만 다운로드하십시오.
• 알 수 없는 발신자가 보낸 첨부 파일, 특히 .exe 또는 .pif 파일이나 이상한 동작을 보이는 "이미지" 및 "동영상" 파일은 열지 마십시오.
• 다운로드 폴더를 정기적으로 확인하고 알 수 없는 파일은 삭제하세요.
• 신뢰할 수 있고 최신 버전의 악성코드 방지 도구를 활성화 상태로 유지하고, 감염이 의심될 경우 전체 시스템 검사를 실행하십시오.
• 중요 파일은 연결이 끊긴 드라이브나 별도의 저장 장치에 백업해 두십시오.

악성 프로그램이 감지되면 컴퓨터의 인터넷 연결을 끊고 전체 검사를 실행한 후, 검사에서 악성 프로그램으로 표시된 모든 항목을 제거하십시오. 그런 다음 깨끗한 컴퓨터에서 중요한 암호를 변경하십시오. 시스템이 원격 제어를 받았을 가능성이 있는 경우, Windows를 완전히 재설치하는 것을 고려하십시오.