Trojan.Kryptik.BJB

Kryptik.BJB, Windows bilgisayarları hedef alan bir Truva atıdır. Tehlike derecesi 10 üzerinden 8'dir. Truva atları, arka planda zararlı işler yaparken zararsız veya yararlı dosyalar gibi görünürler. Veri akışında 9 tespit olduğu görülüyor; ilk tespit 15 Mayıs 2025'te, son tespit ise 3 Kasım 2026'da gerçekleşti.

Tehdidin yaptığı şey

Açıklamaya göre, Kryptik.BJB kendini gizlice kuruyor ve arka planda sessizce çalışıyor. Kurulumdan sonra saldırganlara sistem üzerinde tam kontrol sağlayabilir. Ayrıca dosyaları gizlice silebilir ve ek tehditler yükleyebilir. Açıklama eksik olduğu için eylemlerin tam listesi bilinmiyor. Bu tür Truva atları genellikle diğer kötü amaçlı yazılımlar veya uzaktan erişim için bir geçit görevi görür.

Analiz edilen örnek, paketlenmemiş 32 bitlik bir Windows DLL dosyasıdır. Davranışı, dikkate değer birkaç noktayı içermektedir:

• rundll32 aracılığıyla çalıştırma: Örnek, kullanıcının İndirilenler klasöründeki Windows rundll32 yardımcı programı aracılığıyla, dışa aktarılan işlevlerinden birini çağırarak çalıştırıldı. Kötü amaçlı DLL'ler genellikle bu yöntemi kullanır çünkü kendi başlarına çalışamazlar.
• Süreç manipülasyonu: Süreç manipülasyonu ve kaçınma altında listelenen NtUnmapViewOfSection işlevini kullanır. Bu çağrı genellikle diğer programların belleğine müdahale etmekle ilişkilendirilir.
• Hata ayıklamayı engelleme: NtQuerySystemInformation kullanır ve bu da hata ayıklamayı engelleme tekniği olarak sınıflandırılır. Kötü amaçlı yazılımlar genellikle analiz ortamlarını tespit etmek için bu tür çağrıları kullanır.
• Doğrudan sistem çağrıları: Dosya yazma ve bellek yönetimi için ntdll.dll aracılığıyla çeşitli düşük seviyeli çağrılar yapar ve yeni süreçler başlatabilir.

Bilinmesi gereken bir kılık değiştirme

Örnek dosya, geliştiricinin adı ve telif hakkı bildirimiyle birlikte, bir görüntü düzenleme programının temel bileşeni olduğunu belirten sürüm bilgilerini içeriyor. Ayrıca, durumu "Karma Uyumsuzluğu" olan bir dijital imzaya da sahip. Bu, dosyanın içeriğinin imzanın oluşturulma amacına uymadığı anlamına gelir. Bunun nedenini belirtmiyor. Genellikle, bu tür bir uyumsuzluk, dosyanın imzalandıktan sonra değiştirildiği veya imza ayrıntılarının farklı bir dosyaya kopyalandığı anlamına gelir. Her iki durumda da, tanıdık görünen bir ad ve açıklama, dosyanın güvenli olduğunu kanıtlamaz. Veriler, gerçek yazılımın kendisinin kötü amaçlı olduğunu göstermiyor.

Örneklem analizi ayrıca kod bloklarını gruplara ayırdı: 1.828 kod bloğundan 904'ü potansiyel olarak kötü amaçlı olarak işaretlendi, 922'si beyaz listeye alındı ve 2'si bilinmiyor. Bu, oldukça büyük bir şüpheli kod oranı anlamına geliyor.

Bilgisayarlara genellikle nasıl bulaşıyor?

Açıklamada üç ana rota belirtilmiştir:

• Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanmak.
• Zararlı web sitelerinden yazılım indirmeleri.
• Güvenilmeyen kaynaklardan gelen e-posta ekleri, genellikle .exe, .pif, .avi ve hatta .jpg dosyalarıdır.

Örnek, indirme senaryosuna uygun olarak İndirilenler klasöründen çalıştırıldı. "Resim" veya "video" gibi çift anlamlı dosyalar, aslında bir program oldukları için klasik bir hile yöntemidir.

Kullanıcı için riskler

• Bilgisayar üzerindeki kontrolün uzaktan bir saldırgana kaptırılması.
• Dosyalar bilginiz dışında siliniyor.
• Orijinal enfeksiyonun üzerine ek kötü amaçlı yazılımlar yükleniyor.
• Kişisel verilerin ifşa edilmesi. Bu, bir sistem uzaktan kontrol altındayken karşılaşılan tipik bir risktir, ancak haberde belirli veri hırsızlığı örneklerinden bahsedilmemektedir.

Enfeksiyon belirtileri

Kryptik.BJB sessiz çalışacak şekilde tasarlanmıştır, bu nedenle belirgin semptomlar görülmeyebilir. Bu tür bir Truva atının tipik uyarı işaretleri şunlardır:

• Arka planda çalışan beklenmeyen rundll32 işlemleri veya bilinmeyen programlar.
• Dosyaların açıklama yapılmadan kaybolması veya değiştirilmesi.
• Yavaş performans veya açıklanamayan ağ etkinliği.
• Yüklemediğiniz veya değiştirmediğiniz yeni yazılım veya ayarlar.
• Güvenlik araçlarının devre dışı bırakılması veya başlatılamaması.

Belirtiler olmayabileceği için, tarama en güvenilir kontrol yöntemidir.

Nasıl korunabilirsiniz?

• Bu Truva atının istismar edebileceği güvenlik açıklarını kapatmak için Windows ve yazılım güncellemelerini derhal yükleyin.
• Programları yalnızca geliştiricinin resmi web sitesinden indirin.
• Bilinmeyen göndericilerden gelen ekleri, özellikle .exe veya .pif dosyalarını veya garip davranışlar sergileyen "resim" ve "video" dosyalarını açmayın.
• İndirilenler klasörünüzü düzenli olarak kontrol edin ve tanımadığınız dosyaları silin.
• Güvenilir ve güncel bir kötü amaçlı yazılım önleme programını aktif tutun ve enfeksiyon şüphesi durumunda tam sistem taraması yapın.
• Önemli dosyalarınızın yedeklerini bağlantısı kesilmiş bir sürücüde veya ayrı bir depolama biriminde saklayın.

Bir tespit görünürse, bilgisayarı internetten ayırın, tam tarama yapın ve taramanın işaretlediği her şeyi kaldırın. Ardından önemli şifreleri temiz bir cihazdan değiştirin. Sistem uzaktan kontrol altındaysa, Windows'u tamamen yeniden yüklemeyi düşünün.