Trojan.Kryptik.JUE

Trojan.Kryptik.JUE — это опасный троян, поражающий компьютеры под управлением Windows. Классифицированный как высокоопасный, этот вредоносный код предназначен для незаметного проникновения в систему, маскировки под легитимную программу и выполнения ряда вредоносных действий без ведома пользователя. Его название связано с более широким семейством троянов Kryptik, известных использованием методов обфускации и маскировки для избежания обнаружения.

Что делает Trojan.Kryptik.JUE

После активации в системе троян Trojan.Kryptik.JUE работает незаметно в фоновом режиме, выполняя вредоносные операции. Анализ этой угрозы показывает, что это 64-битный исполняемый файл Windows, который маскируется под легитимное приложение, в данном случае представляясь инструментом для просмотра документов, с поддельным названием компании и описанием продукта, призванным создать впечатление надежности. Несмотря на эту маскировку, файл содержит цепочку цифровых подписей, которой операционная система не доверяет, что является тревожным сигналом, отличающим его от подлинного программного обеспечения.

В поведенческом плане троянская программа использует низкоуровневые системные вызовы для манипулирования памятью, отображения и отмены отображения участков кода, а также прямого взаимодействия с файлами — методы, часто ассоциируемые с внедрением процессов, и пытается работать скрытно внутри доверенных процессов. Было замечено, что она использует функции для проверки наличия отладчика, что говорит о попытке избежать анализа со стороны специалистов по безопасности. Она также способна открывать сетевые соединения, то есть взаимодействовать с удаленным сервером, потенциально для получения дальнейших инструкций или утечки данных. Кроме того, активность выполнения команд, связанных с запросами сетевых сессий, указывает на то, что троянская программа может пытаться собирать информацию о системе и любых подключенных сетевых ресурсах. Как и другие троянские программы этой категории, Kryptik.JUE может предоставлять злоумышленникам удаленный контроль над зараженной машиной, удалять или изменять файлы и устанавливать дополнительное вредоносное ПО.

Как это обычно попадает на компьютеры

Троян Trojan.Kryptik.JUE обычно распространяется обманным путем, используя методы, характерные для этой категории угроз. Часто он распространяется в составе программного обеспечения, загружаемого с ненадежных или скомпрометированных веб-сайтов, или в виде вложения в электронную почту, замаскированного под безобидный файл, такой как исполняемый файл, изображение или видеофайл. В некоторых случаях он может использовать незащищенные системные уязвимости для установки без каких-либо прямых действий со стороны пользователя. Поскольку файл может быть замаскирован под правдоподобное имя и информацию об издателе, пользователи могут быть обмануты и запустить его вручную, полагая, что это безобидная программа для просмотра документов или подобная утилита.

Риски для пользователя

Наличие этого трояна представляет серьезную опасность. Он может предоставить злоумышленникам широкий контроль над зараженным компьютером, позволяя им красть личную или финансовую информацию, отслеживать активность и устанавливать дополнительное вредоносное программное обеспечение. Его способность запрашивать информацию о сетевых сессиях предполагает, что он также может пытаться распространять или собирать разведывательную информацию в локальной сети, что особенно тревожно в коммерческих или общих компьютерных средах.

Признаки инфекции

Поскольку подобные трояны созданы для скрытой работы, видимые признаки могут быть незначительными. Пользователям следует обращать внимание на неожиданное замедление работы, незнакомые процессы, работающие в фоновом режиме, необычную сетевую активность, отключение программного обеспечения безопасности, а также неожиданные всплывающие окна и ошибки. Неожиданные сбои программ или появление новых файлов без объяснения причин также могут указывать на взлом.

Как обеспечить свою безопасность

Чтобы снизить риск заражения, избегайте загрузки программного обеспечения с неофициальных или подозрительных веб-сайтов и никогда не открывайте вложения в электронных письмах от неизвестных или непроверенных отправителей. Поддерживайте операционную систему и все установленные приложения в актуальном состоянии, чтобы устранить известные уязвимости безопасности. Регулярно создавайте резервные копии важных файлов, будьте осторожны с нежелательными ссылками и загрузками и используйте надежное, актуальное программное обеспечение для обнаружения и удаления угроз, таких как Trojan.Kryptik.JUE, прежде чем они смогут причинить вред.

Аналитический отчет

Главная Информация

Фамилия:	Trojan.Kryptik.JUE
Статус подписи:	Root Not Trusted

Известные образцы

i

Известные образцы

В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.

MD5: eb4425af985de82f82a01e4ecddef6fa ША1: 3b54abfbc168d51402b38125303efecdc138cfc3 SHA256: FED29E36A91E006AA72ACD7FC52FFE19ED1DC66D9DB84919EA2AB8E94B0071BE Размер файла: 2.05 MB, 2048552 байт

Атрибуты исполняемого файла Windows Portable

i

Атрибуты исполняемого файла Windows Portable

В этом разделе перечислены атрибуты файлов, обнаруженные в образцах семейства. Эти атрибуты извлекаются из спецификации исполняемых файлов Windows PE (Portable Executable) и различных системных флагов. Атрибуты исполняемых файлов позволяют исследователям вредоносного ПО получить представление о функциональности файла, деталях исполняемого файла, платформе и среде выполнения.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Значки файлов

i

Значки файлов

В этом разделе отображаются значки, найденные в образцах вредоносных программ. Вредоносные программы часто копируют значки, обычно ассоциируемые с легитимным программным обеспечением, чтобы ввести пользователей в заблуждение и заставить их поверить в безопасность вредоносной программы.

Информация о версии Windows PE

i

Информация о версии Windows PE

В этом разделе отображаются значения и атрибуты, установленные в структуре данных информации о версии файла Windows для образцов этого семейства. Чтобы ввести пользователей в заблуждение, злоумышленники часто добавляют поддельную информацию о версии, имитирующую легитимное программное обеспечение.

имя	Ценность
Company Name	Adobe Inc.
File Description	Instruction Document Viewer
File Version	2.1.0.4
Legal Copyright	Copyright © 2025 Adobe Inc.
Original Filename	Instruction.exe
Product Name	Instruction Viewer
Product Version	2.1.0.4

Цифровые подписи

i

Цифровые подписи

В этом разделе перечислены цифровые подписи, прикрепленные к образцам из этого семейства. При анализе и проверке цифровых подписей важно убедиться, что корневой орган, ответственный за подпись, является известным и заслуживающим доверия субъектом, а также что статус подписи является действительным. Вредоносное ПО часто подписывается ненадежными «самоподписанными» цифровыми подписями (которые могут быть легко созданы автором вредоносного ПО без проверки). Вредоносное ПО также может быть подписано легитимными подписями, имеющими недействительный статус, а также подписями от сомнительных корневых органов с поддельными или вводящими в заблуждение именами «подписывающих лиц».

Подписавший	Корень	Статус
Flagship Promotion s. r. o.	SSL.com EV Root Certification Authority RSA R2	Root Not Trusted

Характеристики файла

• ntdll
• x64

Информация о блоке

i

Информация о блоке

В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.

Всего блоков:	5,445
Потенциально вредоносные блоки:	132
Блоки, внесенные в белый список:	5,131
Неизвестные блоки:	182

Визуальная карта

... Данные усечены

0 - Вероятный безопасный блок
? - Неизвестный блок
x - Потенциально вредоносная блокировка

Изменения в реестре

i

Изменения в реестре

В этом разделе перечислены ключи и значения реестра, которые были созданы, изменены и/или удалены образцами из этого семейства. Активность реестра Windows может дать ценную информацию о функциональности вредоносных программ. Кроме того, вредоносные программы часто создают значения реестра, чтобы автоматически запускаться и неограниченно существовать после того, как первоначальное заражение скомпрометировало систему.

Ключ::Значение	Данные	Название API
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe	G٪C;� 	RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe	㶔ᆭ㭃ǝ	RegNtPreCreateKey

Использование API Windows

i

Использование API Windows

В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.

Категория	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAddAtomEx ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcAcceptConnectPort ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcCreatePort ntdll.dll!NtAlpcOpenSenderProcess ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl Show 80 more ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateFile ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFindAtom ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenMutant ntdll.dll!NtOpenProcess ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRemoveIoCompletionEx ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetIoCompletion ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTerminateProcess ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForMultipleObjects ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	IsDebuggerPresent
User Data Access	GetUserObjectInformation
Process Terminate	TerminateProcess
Cert Store Read	CertOpenStore
Network Winsock2	WSASocket WSAStartup
Network Winsock	bind closesocket connect freeaddrinfo getaddrinfo

Выполнение команд оболочки

i

Выполнение команд оболочки

В этом разделе перечислены команды оболочки Windows, которые выполняются образцами этого семейства. Команды оболочки Windows часто используются вредоносным ПО в злонамеренных целях и могут применяться для повышения привилегий безопасности, загрузки и запуска другого вредоносного ПО, использования уязвимостей, сбора и кражи данных, а также сокрытия вредоносной активности.

C:\WINDOWS\system32\cmd.exe "cmd" /C net session

C:\WINDOWS\system32\net.exe net session