Trojan.Kryptik.EDHCW

Trojan.Kryptik.EDHCW, Windows bilgisayarları hedef alan bir Truva atıdır. Tehlike seviyesi 10 üzerinden 8 olarak derecelendirilmiştir, bu nedenle ciddi bir tehdit olarak ele alınmalıdır. Verilere göre ilk olarak 18.07.2026 tarihinde, en son ise 17.09.2026 tarihinde görülmüş olup, şu ana kadar sadece 2 kez tespit edilmiştir. Kryptik grubundaki Truva atları genellikle gerçek amaçlarını gizleyip başka kötü amaçlı kodlar yüklemeleriyle bilinir, ancak bu özel örnek hakkında kamuya açık sınırlı bilgi bulunmaktadır.

Tehdidin yaptığı şey

Açıklamaya göre, Kryptik.EDHCW kendini gizlice kuruyor ve kötü amaçlı işlevleri yerine getirirken arka planda sessizce çalışıyor. Saldırganlara bulaşmış bir sistemin tam kontrolünü verebilir. Açıklamada ayrıca dosyaları gizlice silebileceği ve ek yazılımlar yükleyebileceği belirtiliyor, ancak bu listenin tam metni haber akışında mevcut değil.

Analiz edilen dosyadaki teknik detaylar birkaç ipucu daha veriyor:

• Bu, konsol uygulaması olarak çalışan 64 bitlik yerel bir Windows yürütülebilir dosyasıdır (bir .NET uygulaması değildir).
• Dijital imzası, sürüm bilgisi, hata ayıklama bilgisi ve güvenlik bilgisi bulunmamaktadır.
• Yüksek entropi olarak işaretlenmiştir; bu durum genellikle (ancak her zaman değil) gizlenmiş veya şifrelenmiş içerikle ilişkilendirilir.
• İki veya daha fazla çalıştırılabilir bölümü vardır ve paketlenmemiştir.
• Bu, başka bir işlemin belleğine veri yazmak için yaygın olarak kullanılan WriteProcessMemory API'sini kullanır.
• Bu kod, ntdll.dll dosyasındaki NtWriteFile, NtDeviceIoControlFile ve NtOpenThread gibi düşük seviyeli sistem fonksiyonlarını (syscall) ve tanımlanamayan bir çağrıyı çağırır.
• Analizde süreç manipülasyonu ve kaçınma olarak sınıflandırılan NtUnmapViewOfSection'ı kullanıyor.

Bellek alanına yazma ve bölümlerin eşlemesini kaldırma, genellikle kod enjeksiyonunda görülen tekniklerdir. Besleme, bu örneğin bunları tam olarak nasıl kullandığını doğrulamadığından, bu durum dosya hakkında kanıtlanmış bir gerçek değil, kategorinin tipik davranışı olarak okunmalıdır.

Davranış analizinde, gözlemlenen 2031 bloktan 26'sı potansiyel olarak kötü amaçlı olarak işaretlendi, 140'ı beyaz listeye alındı ve 1865'inin nedeni bilinmiyor.

Bilgisayarlara genellikle nasıl bulaşıyor?

Açıklamada bu Truva atının en sık şu yollarla geldiği belirtiliyor:

• Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanarak.
• Zararlı web sitelerinden yazılım indirmeleri yoluyla.
• Genellikle .exe, .pif, .avi ve hatta .jpg dosyaları olmak üzere, güvenilmeyen kaynaklardan gelen e-posta ekleri aracılığıyla.

Çift anlamlı dosyalar, örneğin medya veya resim adıyla gizlenmiş bir yürütülebilir dosya, yaygın bir dolandırıcılık yöntemidir. Kullanıcılar bunların zararsız olduğunu düşünerek açabilirler.

Kullanıcı için riskler

• Saldırganlar sisteminizin tam kontrolünü ele geçirebilirler.
• Dosyalar bilginiz dışında silinebilir.
• İstenmeyen veya zararlı ek programlar yüklenebilir.
• Genellikle uzaktan erişime sahip Truva atları kişisel verileri, kaydedilmiş şifreleri ve çevrimiçi hesapları da ifşa edebilir, ancak bu örnek için bu durum doğrulanmamıştır.

Enfeksiyon belirtileri

Bu Truva atı sessiz çalışacak şekilde tasarlanmıştır, bu nedenle belirgin belirtiler olmayabilir. Besleme sırasında herhangi bir özel gösterge verilmez. Truva atı enfeksiyonlarının tipik belirtileri şunlardır:

• Açıklanamayan yavaşlamalar veya yüksek CPU, disk veya ağ etkinliği.
• Eksik veya değiştirilmiş dosyalar.
• Yüklemediğiniz yeni programlar.
• Güvenlik araçlarının devre dışı bırakılması veya başlatılamaması.
• Görev Yöneticisi'nde çalışan alışılmadık işlemler.

Belirtiler ortaya çıkmayabileceğinden, güncel bir güvenlik aracıyla tam sistem taraması yapmak en güvenilir kontrol yöntemidir.

Nasıl korunabilirsiniz?

1. Bu tür Truva atlarının istismar ettiği güvenlik açıklarını kapatmak için Windows'u ve yüklü tüm yazılımları güncel tutun.
2. Yazılım indirme işlemlerini yalnızca resmi ve güvenilir kaynaklardan gerçekleştirin.
3. Tanımadığınız göndericilerden gelen e-posta eklerini açmayın ve program gibi davranan veya çalıştırmanızı isteyen resim veya videolara karşı şüpheci olun.
4. Gizlenmiş yürütülebilir dosyaları daha kolay tespit etmek için Windows'ta dosya uzantısı görüntülemeyi etkinleştirin.
5. Düzenli olarak tam tarama yapın ve gerçek zamanlı korumayı açık tutun.
6. Silinen veya hasar gören verilerin geri yüklenebilmesi için önemli dosyalarınızın çevrimdışı veya bulut yedeklerini oluşturun.

Virüs bulaştığından şüpheleniyorsanız, bilgisayarın internet bağlantısını kesin, güvenilir ve güncel bir güvenlik aracıyla tam tarama yapın ve tespit ettiği her şeyi kaldırın. Ardından önemli şifrelerinizi temiz bir cihazdan değiştirin. Sistem uzaktan kontrol altındaysa, tam sistem geri yüklemesi veya Windows'un yeniden yüklenmesini düşünün.