Trojan.Kryptik.BJB

Kryptik.BJB é um Trojan que ataca computadores Windows. Sua periculosidade é classificada em 8 de 10. Trojans se disfarçam de arquivos inofensivos ou úteis enquanto realizam atividades maliciosas em segundo plano. Os dados do feed mostram 9 detecções, com a primeira em 15/05/2025 e a mais recente em 03/11/2026.

O que a ameaça faz

De acordo com a descrição, o Kryptik.BJB instala-se furtivamente e funciona silenciosamente em segundo plano. Após a instalação, pode conceder aos atacantes controle total sobre o sistema. Também pode excluir arquivos de forma oculta e instalar ameaças adicionais. A descrição está incompleta, portanto, a lista completa de ações não é conhecida. Trojans desse tipo geralmente funcionam como porta de entrada para outros malwares ou para acesso remoto.

A amostra analisada é uma DLL de 32 bits do Windows que não está compactada. Seu comportamento incluiu vários aspectos que merecem destaque:

• Execução via rundll32: o exemplo foi executado através do utilitário rundll32 do Windows, a partir da pasta Downloads do usuário, chamando uma de suas funções exportadas. DLLs maliciosas costumam usar esse truque porque não conseguem ser executadas sozinhas.
• Manipulação de processos: utiliza NtUnmapViewOfSection, que está listado em manipulação e evasão de processos. Essa chamada é normalmente associada à adulteração da memória de outros programas.
• Antidepuração: utiliza NtQuerySystemInformation, que é categorizada como uma técnica antidepuração. Malwares normalmente usam essas chamadas para detectar ambientes de análise.
• Chamadas de sistema diretas: realiza diversas chamadas de baixo nível através da ntdll.dll para escrita de arquivos e gerenciamento de memória, e pode iniciar novos processos.

Um disfarce que vale a pena conhecer.

A amostra contém informações de versão que a descrevem como um componente essencial de um programa de edição de imagens, juntamente com o nome do desenvolvedor e um aviso de direitos autorais. Ela também possui uma assinatura digital cujo status é "Incompatibilidade de Hash". Isso significa que o conteúdo do arquivo não corresponde ao propósito para o qual a assinatura foi criada. O feed não explica o motivo. Normalmente, uma incompatibilidade como essa significa que um arquivo foi alterado após a assinatura ou que os detalhes da assinatura foram copiados para outro arquivo. De qualquer forma, um nome e uma descrição que parecem familiares não comprovam que um arquivo seja seguro. Os dados não sugerem que o software original seja malicioso.

A análise da amostra também dividiu seus blocos de código em grupos: 904 de 1.828 foram sinalizados como potencialmente maliciosos, 922 foram incluídos na lista de permissões e 2 eram desconhecidos. Essa é uma grande parcela de código suspeito.

Geralmente é assim que chega aos computadores.

A descrição menciona três rotas principais:

• Exploração de vulnerabilidades e falhas de segurança do sistema.
• Downloads de software de sites maliciosos.
• Anexos de e-mail de fontes não confiáveis, geralmente arquivos .exe, .pif, .avi e até mesmo .jpg.

O exemplo foi executado a partir de uma pasta de Downloads, o que condiz com o cenário de download. Arquivos com duplo sentido, como uma "imagem" ou um "vídeo" que na verdade é um programa, são um truque clássico.

Riscos para o usuário

• Perda do controle do computador para um invasor remoto.
• Arquivos sendo apagados sem o seu conhecimento.
• Malware adicional sendo instalado sobre a infecção original.
• Exposição de dados pessoais. Este é um risco típico quando um sistema está sob controle remoto, embora o feed não liste roubo de dados específico.

Sinais de infecção

O Kryptik.BJB foi projetado para funcionar silenciosamente, portanto, sintomas óbvios podem estar ausentes. Sinais típicos de alerta de um Trojan como este incluem:

• Processos rundll32 inesperados ou programas desconhecidos em execução em segundo plano.
• Arquivos desaparecendo ou sendo alterados sem explicação.
• Desempenho lento ou atividade de rede inexplicável.
• Novo software ou configurações que você não instalou ou alterou.
• Ferramentas de segurança desativadas ou com falha na inicialização.

Como os sintomas podem estar ausentes, um exame de imagem é a maneira mais confiável de verificar.

Como se manter protegido

• Instale as atualizações do Windows e do software imediatamente para corrigir as vulnerabilidades que este Trojan pode explorar.
• Baixe os programas somente do site oficial do desenvolvedor.
• Não abra anexos de remetentes desconhecidos, especialmente arquivos .exe ou .pif, ou "imagens" e "vídeos" com comportamento estranho.
• Verifique sua pasta de Downloads regularmente e exclua arquivos que você não reconhece.
• Mantenha ativa uma ferramenta antimalware confiável e atualizada e execute uma verificação completa do sistema se suspeitar de uma infecção.
• Mantenha cópias de segurança de arquivos importantes em uma unidade desconectada ou em um armazenamento separado.

Se alguma detecção aparecer, desconecte o computador da internet, execute uma verificação completa e remova tudo o que for sinalizado. Em seguida, altere as senhas importantes em um dispositivo limpo. Se o sistema possivelmente estava sob controle remoto, considere reinstalar o Windows completamente.