Trojan.Kryptik.JUE

Trojan.Kryptik.JUE ist ein gefährlicher Trojaner, der Windows-Computer befällt. Diese Bedrohung, die als hochgefährlich eingestuft ist, ist darauf ausgelegt, unbemerkt in ein System einzudringen, sich als legitimes Programm zu tarnen und eine Reihe schädlicher Aktionen ohne Wissen des Benutzers auszuführen. Ihr Name ist mit der größeren Kryptik-Trojanerfamilie verwandt, die dafür bekannt ist, Verschleierungs- und Tarntechniken einzusetzen, um einer Entdeckung zu entgehen.

Was Trojan.Kryptik.JUE tut

Sobald Trojan.Kryptik.JUE auf einem System aktiv ist, läuft er unbemerkt im Hintergrund und führt schädliche Aktionen aus. Analysen zeigen, dass es sich um eine 64-Bit-Windows-Anwendung handelt, die sich als legitime Anwendung tarnt. In diesem Fall gibt sie sich als Dokumentenbetrachter aus, inklusive eines gefälschten Firmennamens und einer gefälschten Produktbeschreibung, um Vertrauenswürdigkeit vorzutäuschen. Trotz dieser Tarnung verfügt die Datei über eine digitale Signaturkette, der das Betriebssystem nicht vertraut – ein Warnsignal, das sie von Originalsoftware unterscheidet.

Verhaltenstechnisch nutzt der Trojaner systemnahe Systemaufrufe, um den Speicher zu manipulieren, Codeabschnitte einzubinden und wieder freizugeben sowie direkt mit Dateien zu interagieren. Diese Techniken werden häufig mit Prozessinjektion und dem Versuch, unbemerkt in vertrauenswürdigen Prozessen zu operieren, in Verbindung gebracht. Es wurde beobachtet, dass er Funktionen verwendet, um das Vorhandensein eines Debuggers zu überprüfen, was darauf hindeutet, dass er versucht, die Analyse durch Sicherheitsforscher zu umgehen. Er kann außerdem Netzwerkverbindungen öffnen und somit mit einem entfernten Server kommunizieren, möglicherweise um weitere Anweisungen zu erhalten oder Daten zu exfiltrieren. Darüber hinaus deutet die Ausführung von Befehlen mit Netzwerk-Session-Abfragen darauf hin, dass der Trojaner möglicherweise versucht, Informationen über das System und verbundene Netzwerkressourcen zu sammeln. Wie andere Trojaner dieser Kategorie kann Kryptik.JUE Angreifern die Fernsteuerung des infizierten Rechners ermöglichen, Dateien löschen oder verändern und zusätzliche Schadsoftware installieren.

Wie es üblicherweise auf Computer gelangt

Trojan.Kryptik.JUE verbreitet sich typischerweise über Täuschungsmethoden, die für diese Bedrohungskategorie typisch sind. Er wird häufig in Software eingebettet, die von unseriösen oder kompromittierten Websites heruntergeladen wird, oder als E-Mail-Anhang getarnt als harmlose Datei, beispielsweise als ausführbare Datei, Bild- oder Videodatei, versendet. In manchen Fällen nutzt er ungepatchte Systemschwachstellen aus, um sich ohne Zutun des Nutzers zu installieren. Da die Datei mit einem legitimen Namen und legitimen Herausgeberinformationen getarnt sein kann, werden Nutzer möglicherweise dazu verleitet, sie manuell auszuführen, weil sie sie für einen harmlosen Dokumentenbetrachter oder ein ähnliches Hilfsprogramm halten.

Risiken für den Nutzer

Das Vorhandensein dieses Trojaners birgt erhebliche Risiken. Er kann Angreifern weitreichende Kontrolle über den infizierten Rechner gewähren und ihnen so ermöglichen, persönliche oder finanzielle Daten zu stehlen, Aktivitäten zu überwachen und weitere Schadsoftware zu installieren. Seine Fähigkeit, Netzwerk-Sitzungsinformationen abzufragen, lässt vermuten, dass er auch versuchen könnte, sich in einem lokalen Netzwerk zu verbreiten oder Informationen darüber zu sammeln. Dies ist insbesondere in Unternehmens- oder gemeinsam genutzten Computerumgebungen besorgniserregend.

Anzeichen einer Infektion

Da Trojaner wie dieser so programmiert sind, dass sie unbemerkt agieren, können die Anzeichen subtil sein. Nutzer sollten auf unerwartete Verlangsamungen, unbekannte Hintergrundprozesse, ungewöhnliche Netzwerkaktivitäten, deaktivierte Sicherheitssoftware oder unerwartete Pop-ups und Fehlermeldungen achten. Auch unerwartete Programmabstürze oder neu auftauchende Dateien ohne erkennbaren Grund können auf eine Kompromittierung hindeuten.

Wie Sie sich schützen können

Um das Infektionsrisiko zu minimieren, laden Sie keine Software von inoffiziellen oder verdächtigen Websites herunter und öffnen Sie niemals E-Mail-Anhänge von unbekannten oder nicht verifizierten Absendern. Halten Sie Ihr Betriebssystem und alle installierten Anwendungen auf dem neuesten Stand, um bekannte Sicherheitslücken zu schließen. Sichern Sie regelmäßig wichtige Dateien, seien Sie vorsichtig mit unerwünschten Links und Downloads und verwenden Sie stets aktuelle Sicherheitssoftware, um Bedrohungen wie Trojan.Kryptik.JUE zu erkennen und zu entfernen, bevor sie Schaden anrichten können.

Analysebericht

Allgemeine Information

Nachname:	Trojan.Kryptik.JUE
Signaturstatus:	Root Not Trusted

Bekannte Proben

i

Bekannte Proben

Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.

MD5: eb4425af985de82f82a01e4ecddef6fa SHA1: 3b54abfbc168d51402b38125303efecdc138cfc3 SHA256: FED29E36A91E006AA72ACD7FC52FFE19ED1DC66D9DB84919EA2AB8E94B0071BE Dateigröße: 2.05 MB, 2048552 Bytes

Attribute der portablen Windows-Ausführungsdatei

i

Attribute der portablen Windows-Ausführungsdatei

Dieser Abschnitt listet die in den Familienbeispielen gefundenen Dateiattribute auf. Diese Attribute werden aus der Windows PE-Spezifikation (Portable Executable) der Dateien und verschiedenen Systemflags extrahiert. Die Attribute portabler ausführbarer Dateien geben Malware-Forschern Einblick in die Funktionalität einer Datei, Details zur Ausführung, Plattform und Laufzeitumgebung.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dateisymbole

i

Dateisymbole

Dieser Abschnitt zeigt Symbolressourcen, die in Familienbeispielen gefunden wurden. Schadsoftware verwendet häufig Symbole, die üblicherweise mit legitimer Software in Verbindung gebracht werden, um Benutzer in die Irre zu führen und ihnen vorzugaukeln, die Schadsoftware sei harmlos.

Windows PE Versionsinformationen

i

Windows PE Versionsinformationen

Dieser Abschnitt zeigt die Werte und Attribute, die in der Windows-Dateiversionsinformationsstruktur für Beispiele dieser Familie festgelegt wurden. Um Benutzer irrezuführen, fügen Malware-Angreifer häufig gefälschte Versionsinformationen hinzu, die legitime Software imitieren.

Name	Wert
Company Name	Adobe Inc.
File Description	Instruction Document Viewer
File Version	2.1.0.4
Legal Copyright	Copyright © 2025 Adobe Inc.
Original Filename	Instruction.exe
Product Name	Instruction Viewer
Product Version	2.1.0.4

Digitale Signaturen

i

Digitale Signaturen

Dieser Abschnitt listet digitale Signaturen auf, die den Samples dieser Familie zugeordnet sind. Bei der Analyse und Überprüfung digitaler Signaturen ist es wichtig sicherzustellen, dass die ausstellende Zertifizierungsstelle eine bekannte und vertrauenswürdige Instanz ist und der Status der Signatur gültig ist. Malware wird häufig mit nicht vertrauenswürdigen, selbstsignierten digitalen Signaturen signiert (die von Malware-Autoren ohne Überprüfung leicht erstellt werden können). Malware kann auch mit legitimen Signaturen signiert sein, die jedoch ungültig sind, sowie mit Signaturen fragwürdiger Zertifizierungsstellen, die gefälschte oder irreführende Namen als „Signierer“ verwenden.

Unterzeichner	Wurzel	Status
Flagship Promotion s. r. o.	SSL.com EV Root Certification Authority RSA R2	Root Not Trusted

Dateieigenschaften

• ntdll
• x64

Blockinformationen

i

Blockinformationen

Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.

Gesamtanzahl der Blöcke:	5,445
Potenziell schädliche Blöcke:	132
Zugelassene Blocker:	5,131
Unbekannte Blöcke:	182

Visuelle Karte

... Daten gekürzt

0 – Wahrscheinlich sichere Blockierung
? – Unbekannter Block
x – Potenziell schädliche Sperre

Änderungen der Registrierung

i

Änderungen der Registrierung

Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.

Schlüssel::Wert	Daten	API-Name
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe	G٪C;� 	RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe	㶔ᆭ㭃ǝ	RegNtPreCreateKey

Windows-API-Nutzung

i

Windows-API-Nutzung

Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.

Kategorie	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAddAtomEx ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcAcceptConnectPort ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcCreatePort ntdll.dll!NtAlpcOpenSenderProcess ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl Show 80 more ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateFile ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFindAtom ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenMutant ntdll.dll!NtOpenProcess ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRemoveIoCompletionEx ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetIoCompletion ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTerminateProcess ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForMultipleObjects ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	IsDebuggerPresent
User Data Access	GetUserObjectInformation
Process Terminate	TerminateProcess
Cert Store Read	CertOpenStore
Network Winsock2	WSASocket WSAStartup
Network Winsock	bind closesocket connect freeaddrinfo getaddrinfo

Shell-Befehlsausführung

i

Shell-Befehlsausführung

Dieser Abschnitt listet die Windows-Shell-Befehle auf, die von den in dieser Familie enthaltenen Malware-Beispielen ausgeführt werden. Windows-Shell-Befehle werden häufig von Malware für schädliche Zwecke missbraucht und können verwendet werden, um Sicherheitsberechtigungen zu erweitern, andere Malware herunterzuladen und auszuführen, Sicherheitslücken auszunutzen, Daten zu sammeln und zu exfiltrieren sowie schädliche Aktivitäten zu verschleiern.

C:\WINDOWS\system32\cmd.exe "cmd" /C net session

C:\WINDOWS\system32\net.exe net session