Trojan.Kryptik.BDRC

Trojan.Kryptik.BDRC è un Trojan per Windows che si maschera da software legittimo per infiltrarsi nei computer ed eseguire azioni dannose in background. È considerato una minaccia ad alto rischio a causa dell'ampio controllo che può conferire agli aggressori su un sistema infetto una volta attivo.

Cosa fa Trojan.Kryptik.BDRC

Una volta installato, Trojan.Kryptik.BDRC viene eseguito silenziosamente in background, spesso mascherandosi da componente di un'applicazione attendibile, come un programma di aggiornamento o installazione, per non destare sospetti. Questo particolare campione è stato osservato presentarsi come un "Google Installer", completo di dettagli sui file che imitano una legittima utility di aggiornamento, sebbene sia autofirmato anziché verificato da un'autorità fidata. Dietro questo travestimento, il Trojan può svolgere una serie di funzioni dannose, tra cui consentire agli aggressori remoti di assumere il controllo del sistema infetto. Può anche eliminare file in modo furtivo, installare ulteriori componenti dannosi e modificare i file di sistema per mantenere la propria presenza. È stato osservato che il malware rilascia ed esegue file nelle cartelle di sistema e avvia processi con parametri da riga di comando che puntano a file scaricati, una tecnica spesso utilizzata per predisporre o attivare ulteriori payload all'insaputa dell'utente.

Come solitamente si installa sui computer

Il Trojan Kryptik BDRC si diffonde in genere sfruttando vulnerabilità e falle di sicurezza del sistema. Viene spesso distribuito insieme a software scaricati da siti web dannosi o compromessi, oppure tramite allegati e-mail provenienti da mittenti sconosciuti o non attendibili. Questi allegati sono spesso camuffati con estensioni di file comuni, come .exe, .pif, .avi o persino .jpg, per indurre gli utenti ad aprirli. Poiché il Trojan può imitare il marchio e le proprietà dei file di software noti, gli utenti potrebbero installarlo inconsapevolmente, credendo di scaricare un programma o un aggiornamento legittimo.

Rischi per l’utente

Il livello di pericolosità associato a questo Trojan è elevato, a causa delle gravi conseguenze che può avere per le vittime. Se riesce a infiltrarsi, gli aggressori potrebbero accedere e controllare da remoto il computer infetto, rubare dati sensibili, eliminare o modificare file importanti e installare ulteriore malware senza il consenso dell'utente. La capacità del Trojan di operare silenziosamente in background significa che un sistema può rimanere compromesso per un periodo prolungato prima che si manifestino danni evidenti, aumentando il rischio di perdita di dati, danni finanziari o ulteriori infezioni.

Segni di infezione

Poiché questo tipo di Trojan è progettato per operare in modo furtivo, i segnali di allarme evidenti possono essere rari. Gli utenti dovrebbero prestare attenzione alla comparsa di nuovi file o cartelle inaspettati nelle directory di sistema, all'avvio automatico di processi sconosciuti, ad attività di rete insolite, a prestazioni di sistema lente o a un comportamento anomalo degli strumenti di sicurezza. Anche i file di installazione o di aggiornamento inaspettati che non corrispondono al software che dichiarano di rappresentare possono essere un campanello d'allarme.

Come rimanere protetti

Per ridurre il rischio di infezione, evitate di scaricare software da siti web non ufficiali o non verificati e non aprite mai allegati e-mail provenienti da mittenti sconosciuti o inaspettati, indipendentemente dall'estensione del file. Mantenete il sistema operativo e le applicazioni installate sempre aggiornati per correggere le vulnerabilità di sicurezza note che i Trojan come questo spesso sfruttano. Eseguite regolarmente il backup dei file importanti, utilizzate una soluzione di sicurezza affidabile e aggiornata per scansionare il sistema e fate attenzione ai programmi di installazione o aggiornamento che appaiono al di fuori dei normali canali di aggiornamento, poiché gli aggiornamenti software legittimi vengono in genere distribuiti tramite l'applicazione stessa e non tramite download o link e-mail.

Rapporto di analisi

Informazione Generale

Cognome:	Trojan.Kryptik.BDRC
Stato della firma:	Self Signed

Campioni noti

i

Campioni noti

Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.

MD5: f212b23bfe6f985fae67f335d2a9c3ca SHA1: 55af3e62ebf5ae3f593ba293e76bbac23f509608 SHA256: 8D0EB5CD051E5098B7311C59D5D75C03CB6CA16F2436C83756BF2A775499731B Dimensione del file: 2.24 MB.2240928 byte

Attributi di Windows Portable Executable

i

Attributi di Windows Portable Executable

Questa sezione elenca gli attributi dei file trovati all'interno dei campioni della famiglia. Questi attributi vengono estratti dalle specifiche Windows PE (Portable Executable) dei file e da vari flag di sistema. Gli attributi Portable Executable forniscono ai ricercatori di malware informazioni sulla funzionalità di un file, sui dettagli dell'eseguibile, sulla piattaforma e sull'ambiente di runtime.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icone dei file

i

Icone dei file

Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.

Informazioni sulla versione di Windows PE

i

Informazioni sulla versione di Windows PE

Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.

Nome	Valore
Build Id	27AFE00AEC4AB099B4D928E8686B5750
Company Name	Google LLC
File Description	Google Installer (x86)
File Version	152.0.7563.72
Internal Name	Google Installer (x86)
Legal Copyright	Copyright 2026 Google LLC. All rights reserved.
Original Filename	UpdaterSetup.exe
Product Name	Google Installer (x86)
Product Version	152.0.7563.72

Firme digitali

i

Firme digitali

Questa sezione elenca le firme digitali associate ai campioni appartenenti a questa famiglia. Durante l'analisi e la verifica delle firme digitali, è importante accertarsi che l'autorità radice della firma sia un'entità nota e affidabile e che lo stato della firma sia valido. Il malware è spesso firmato con firme digitali "autofirmate" non affidabili (che possono essere create facilmente dall'autore del malware senza alcuna verifica). Il malware può anche essere firmato con firme legittime che presentano uno stato non valido, oppure con firme provenienti da autorità radice discutibili con nomi di "firmatario" falsi o fuorvianti.

Firmatario	Radice	Stato
Chrome Setup	Chrome Setup	Self Signed

Caratteristiche dei file

• big overlay
• Installer Version
• x64

Informazioni sul blocco

i

Informazioni sul blocco

Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.

Blocchi totali:	507
Blocchi potenzialmente dannosi:	142
Blocchi consentiti:	197
Blocchi sconosciuti:	168

Mappa visiva

0 - Probabile blocco di sicurezza
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso

File modificati

i

File modificati

Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.

File	Attributi
c:\programdata\google\update\googleupdate.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\programdata\google\update\googleupdate.exe	Synchronize,Write Attributes
c:\programdata\google\update\gupdater2.dll	Generic Write,Read Attributes
c:\programdata\google\update\gupdater2.dll	Synchronize,Write Attributes

Utilizzo delle API di Windows

i

Utilizzo delle API di Windows

Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.

Categoria	API
Syscall Use	ntdll.dll!NtClose ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtGetContextThread ntdll.dll!NtOpenKey ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationThread Show 7 more ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTerminateProcess ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtWriteFile UNKNOWN
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess

Esecuzione di comandi shell

i

Esecuzione di comandi shell

Questa sezione elenca i comandi della shell di Windows eseguiti dai campioni di questa famiglia. I comandi della shell di Windows vengono spesso sfruttati dai malware per scopi illeciti e possono essere utilizzati per elevare i privilegi di sicurezza, scaricare e avviare altri malware, sfruttare le vulnerabilità, raccogliere ed esfiltrare dati e nascondere attività dannose.

"C:\ProgramData\Google\Update\GoogleUpdate.exe"

"C:\ProgramData\Google\Update\GoogleUpdate.exe" -d "c:\users\user\downloads\55af3e62ebf5ae3f593ba293e76bbac23f509608_0002240928"