Trojan.Kryptik.BJB

Kryptik.BJB ist ein Trojaner, der Windows-Computer angreift. Er wird hinsichtlich seiner Gefährlichkeit mit 8 von 10 Punkten eingestuft. Trojaner tarnen sich als harmlose oder nützliche Dateien, führen aber im Hintergrund schädliche Aktionen aus. Die Daten zeigen 9 Erkennungen, die erste am 15.05.2025 und die letzte am 03.11.2026.

Was die Bedrohung bewirkt

Laut Beschreibung installiert sich Kryptik.BJB unbemerkt und läuft unauffällig im Hintergrund. Nach der Installation kann es Angreifern die vollständige Kontrolle über das System ermöglichen. Es kann außerdem heimlich Dateien löschen und weitere Schadsoftware installieren. Die Beschreibung ist unvollständig, daher ist die vollständige Liste der Aktionen nicht bekannt. Trojaner dieser Art dienen typischerweise als Einfallstor für andere Schadsoftware oder ermöglichen den Fernzugriff.

Bei der analysierten Datei handelt es sich um eine nicht gepackte 32-Bit-Windows-DLL. Ihr Verhalten wies mehrere bemerkenswerte Merkmale auf:

• Start über rundll32: Das Beispiel wurde über das Windows-Dienstprogramm rundll32 aus dem Download-Ordner des Benutzers ausgeführt, wobei eine der exportierten Funktionen aufgerufen wurde. Schad-DLLs nutzen diesen Trick häufig, da sie nicht eigenständig ausgeführt werden können.
• Prozessmanipulation: Hierbei wird NtUnmapViewOfSection verwendet, das unter Prozessmanipulation und -umgehung aufgeführt ist. Dieser Aufruf wird typischerweise mit der Manipulation des Speichers anderer Programme in Verbindung gebracht.
• Anti-Debugging: Es verwendet NtQuerySystemInformation, eine Technik, die als Anti-Debugging-Methode eingestuft wird. Malware nutzt solche Aufrufe typischerweise, um Analyseumgebungen zu erkennen.
• Direkte Systemaufrufe: Es führt mehrere Low-Level-Aufrufe über ntdll.dll zum Schreiben von Dateien und zur Speicherverwaltung durch und kann neue Prozesse starten.

Eine Verkleidung, über die man Bescheid wissen sollte

Die Datei enthält Versionsinformationen, die sie als Kernkomponente eines Bildbearbeitungsprogramms ausweisen, sowie den Namen des Entwicklers und einen Copyright-Vermerk. Sie besitzt außerdem eine digitale Signatur mit dem Status „Hash-Fehler“. Das bedeutet, dass der Inhalt der Datei nicht mit dem übereinstimmt, wofür die Signatur erstellt wurde. Der Feed gibt keine Auskunft über den Grund. Typischerweise deutet ein solcher Fehler darauf hin, dass die Datei nach der Signierung verändert oder die Signaturdetails in eine andere Datei kopiert wurden. In jedem Fall beweisen ein vertraut klingender Name und eine vertraute Beschreibung nicht, dass eine Datei sicher ist. Die Daten lassen nicht darauf schließen, dass die eigentliche Software selbst schädlich ist.

Die Analyse der Stichprobe teilte die Codeblöcke in Gruppen ein: 904 von 1828 wurden als potenziell schädlich eingestuft, 922 wurden auf die Whitelist gesetzt und 2 waren unbekannt. Das ist ein großer Anteil verdächtigen Codes.

Wie es üblicherweise auf Computer gelangt

In der Beschreibung werden drei Hauptrouten genannt:

• Ausnutzen von Systemschwachstellen und Sicherheitslücken.
• Software-Downloads von schädlichen Webseiten.
• E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel .exe-, .pif-, .avi- und sogar .jpg-Dateien.

Die Beispieldatei wurde aus dem Download-Ordner ausgeführt, was dem Download-Szenario entspricht. Dateien mit doppelter Bedeutung, wie beispielsweise ein „Bild“ oder „Video“, das in Wirklichkeit ein Programm ist, sind ein klassischer Trick.

Risiken für den Nutzer

• Kontrollverlust über den Computer an einen entfernten Angreifer.
• Dateien werden ohne Ihr Wissen gelöscht.
• Zusätzlich zur ursprünglichen Infektion wird weitere Schadsoftware installiert.
• Offenlegung personenbezogener Daten. Dies ist ein typisches Risiko, wenn ein System ferngesteuert wird, obwohl im Bericht keine spezifischen Datendiebstähle aufgeführt werden.

Anzeichen einer Infektion

Kryptik.BJB ist so konzipiert, dass es unauffällig läuft, daher können offensichtliche Symptome fehlen. Typische Warnzeichen für einen solchen Trojaner sind:

• Unerwartete rundll32-Prozesse oder unbekannte Programme laufen im Hintergrund.
• Dateien verschwinden oder verändern sich ohne Erklärung.
• Leistungseinbußen oder unerklärliche Netzwerkaktivität.
• Neue Software oder Einstellungen, die Sie nicht installiert oder geändert haben.
• Sicherheitstools sind deaktiviert oder starten nicht.

Da Symptome fehlen können, ist eine Untersuchung die zuverlässigste Methode zur Überprüfung.

Wie man sich schützt

• Installieren Sie umgehend Windows- und Software-Updates, um die Sicherheitslücken zu schließen, die dieser Trojaner ausnutzen kann.
• Laden Sie Programme nur von der offiziellen Website des Entwicklers herunter.
• Öffnen Sie keine Anhänge von unbekannten Absendern, insbesondere keine .exe- oder .pif-Dateien oder „Bilder“ und „Videos“, die sich ungewöhnlich verhalten.
• Überprüfen Sie regelmäßig Ihren Download-Ordner und löschen Sie Dateien, die Sie nicht kennen.
• Halten Sie ein seriöses, aktuelles Anti-Malware-Tool aktiv und führen Sie einen vollständigen Systemscan durch, wenn Sie eine Infektion vermuten.
• Sichern Sie wichtige Dateien auf einem separaten Laufwerk oder einem anderen Speichermedium.

Wird ein Schadprogramm erkannt, trennen Sie den Computer vom Internet, führen Sie einen vollständigen Scan durch und entfernen Sie alle gefundenen Schadprogramme. Ändern Sie anschließend wichtige Passwörter von einem sauberen Gerät aus. Falls das System möglicherweise ferngesteuert wurde, sollten Sie eine vollständige Neuinstallation von Windows in Betracht ziehen.