Trojan.Kryptik.BJB

Kryptik.BJB 是一款针对 Windows 计算机的木马程序，危险等级为 8 分（满分 10 分）。木马程序会伪装成无害或有用的文件，同时在后台进行恶意操作。数据显示，该木马程序已被检测到 9 次，首次发现时间为 2025 年 5 月 15 日，最近一次发现时间为 2026 年 11 月 3 日。

威胁会造成什么影响？

根据描述，Kryptik.BJB 会隐蔽地安装自身并在后台静默运行。安装后，它可能会赋予攻击者对系统的完全控制权。它还可能秘密删除文件并安装其他威胁。由于描述不完整，因此无法得知其全部操作。此类木马通常用作其他恶意软件或远程访问的入口。

分析的样本是一个未打包的 32 位 Windows DLL 文件。它的行为有几点值得注意：

• 通过 rundll32 启动：该样本是通过 Windows 的 rundll32 实用程序从用户的“下载”文件夹运行的，调用了其导出的某个函数。恶意 DLL 通常使用这种技巧，因为它们无法独立运行。
• 进程操控：它使用了 NtUnmapViewOfSection 函数，该函数列在进程操控和规避类别下。此调用通常与篡改其他程序的内存有关。
• 反调试：它使用了 NtQuerySystemInformation，这是一种反调试技术。恶意软件通常使用此类调用来检测分析环境。
• 直接系统调用：它通过 ntdll.dll 进行多次底层调用以进行文件写入和内存处理，并且可以启动新进程。

值得了解的伪装

该样本包含版本信息，表明它是图像编辑程序的核心组件，并附有开发者姓名和版权声明。它还包含一个数字签名，但其状态为“哈希值不匹配”。这意味着文件内容与签名所针对的内容不符。但该样本并未说明原因。通常，这种不匹配意味着文件在签名后被篡改，或者签名信息被复制到了其他文件中。无论哪种情况，即使文件名和描述看起来很熟悉，也不能证明文件是安全的。数据并未表明该软件本身是恶意软件。

对样本的分析还将代码块分成了几组：1828 个代码块中有 904 个被标记为潜在恶意代码，922 个被列入白名单，还有 2 个未知。可疑代码的比例相当高。

它通常是如何进入电脑的

描述中列出了三条主要路线：

• 利用系统漏洞和安全缺陷。
• 从恶意网站下载软件。
• 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。

该样本是从“下载”文件夹运行的，这符合下载场景。使用具有双重含义的文件，例如实际上是程序的“图片”或“视频”，是一种经典的伎俩。

用户面临的风险

• 计算机失去控制权，被远程攻击者入侵。
• 文件在您不知情的情况下被删除。
• 在原有感染的基础上，又安装了其他恶意软件。
• 个人数据泄露。这是系统处于远程控制状态时常见的风险，尽管该报告并未列出具体的数据窃取情况。

感染迹象

Kryptik.BJB 旨在静默运行，因此可能不会出现明显的症状。此类木马的典型警告信号包括：

• 意外的 rundll32 进程或在后台运行的未知程序。
• 文件无故丢失或更改。
• 性能缓慢或网络活动异常。
• 您未安装或更改的新软件或设置。
• 安全工具被禁用或无法启动。

由于可能没有症状，扫描是最可靠的检查方法。

如何保护自己

• 及时安装 Windows 和软件更新，以修复此木马程序可能利用的漏洞。
• 请仅从开发者的官方网站下载程序。
• 不要打开来自未知发件人的附件，尤其是 .exe 或 .pif 文件，以及行为异常的“图像”和“视频”。
• 定期检查您的下载文件夹，并删除您无法识别的文件。
• 如果怀疑系统感染了恶意软件，请保持运行状态良好且最新的反恶意软件工具，并进行完整的系统扫描。
• 将重要文件备份到断开连接的硬盘或单独的存储设备上。

如果检测到恶意软件，请断开计算机的网络连接，运行全面扫描，并删除扫描结果中标记的所有内容。然后，在干净的设备上更改重要密码。如果系统可能受到远程控制，请考虑完全重装 Windows 系统。