Trojan.Kryptik.JUE

Trojan.Kryptik.JUE, Windows bilgisayarları etkileyen tehlikeli bir Truva atı türüdür. Yüksek tehlike seviyesinde sınıflandırılan bu tehdit, sisteme sessizce sızmak, kendini meşru bir program gibi gizlemek ve kullanıcının bilgisi olmadan bir dizi kötü amaçlı eylem gerçekleştirmek üzere tasarlanmıştır. Adı, tespit edilmekten kaçınmak için gizleme ve kamuflaj tekniklerini kullanmasıyla bilinen daha geniş Kryptik Truva atı ailesiyle ilişkilidir.

Trojan.Kryptik.JUE Ne İşe Yarar?

Bir sisteme bulaştıktan sonra, Trojan.Kryptik.JUE arka planda sessizce çalışarak zararlı işlemler gerçekleştirir. Bu tehdidin analizi, meşru bir uygulama gibi görünen, 64 bitlik bir Windows yürütülebilir dosyası olduğunu ortaya koymaktadır; bu durumda, güvenilir görünmesi için tasarlanmış sahte bir şirket adı ve ürün açıklamasıyla birlikte bir belge görüntüleme aracı olarak kendini sunmaktadır. Bu kılık değiştirmeye rağmen, dosya işletim sistemi tarafından güvenilmeyen bir dijital imza zinciri taşımaktadır; bu da onu gerçek yazılımlardan ayıran önemli bir uyarı işaretidir.

Davranışsal olarak, Truva atı, bellek manipülasyonu, kod bölümlerinin eşlenmesi ve eşlemesinin kaldırılması ve dosyalarla doğrudan etkileşim kurmak için düşük seviyeli sistem çağrıları kullanır; bu teknikler genellikle süreç enjeksiyonu ve güvenilir süreçler içinde gizlice çalışma girişimleriyle ilişkilendirilir. Bir hata ayıklayıcının varlığını kontrol etmek için işlevler kullandığı gözlemlenmiştir, bu da güvenlik araştırmacıları tarafından analizden kaçınmaya çalıştığını düşündürmektedir. Ayrıca ağ bağlantıları açabilme yeteneğine sahiptir, yani uzak bir sunucuyla iletişim kurabilir, potansiyel olarak daha fazla talimat alabilir veya veri sızdırabilir. Ek olarak, ağ oturumu sorgularını içeren komut yürütme etkinliği, Truva atının sistem ve bağlı ağ kaynakları hakkında bilgi toplamaya çalışabileceğini göstermektedir. Bu kategorideki diğer Truva atları gibi, Kryptik.JUE de saldırganlara bulaşmış makine üzerinde uzaktan kontrol sağlayabilir, dosyaları silebilir veya değiştirebilir ve ek kötü amaçlı yazılımlar yükleyebilir.

Bilgisayarlara Genellikle Nasıl Bulaşır

Trojan.Kryptik.JUE, genellikle bu tehdit kategorisinde yaygın olan aldatıcı yöntemlerle yayılır. Genellikle güvenilmez veya ele geçirilmiş web sitelerinden indirilen yazılımlara eklenmiş olarak gelir veya yürütülebilir dosya, resim veya video dosyası gibi masum bir dosya gibi görünen bir e-posta eki olarak gönderilir. Bazı durumlarda, kullanıcının doğrudan bir eylemi olmadan kendini yüklemek için yamalanmamış sistem güvenlik açıklarından yararlanabilir. Dosya, meşru görünümlü bir ad ve yayıncı bilgileriyle gizlenebildiği için, kullanıcılar zararsız bir belge görüntüleyici veya benzeri bir yardımcı program olduğuna inanarak dosyayı manuel olarak çalıştırmaya kandırılabilirler.

Kullanıcı İçin Riskler

Bu Truva atının varlığı ciddi riskler oluşturmaktadır. Saldırganlara bulaşmış makine üzerinde geniş kontrol sağlayarak kişisel veya finansal bilgileri çalmalarına, etkinlikleri izlemelerine ve daha fazla kötü amaçlı yazılım yüklemelerine olanak tanır. Ağ oturum bilgilerini sorgulayabilme yeteneği, yerel bir ağda yayılmaya veya istihbarat toplamaya çalışabileceğini de düşündürmektedir; bu durum özellikle iş veya paylaşımlı bilgisayar ortamlarında endişe vericidir.

Enfeksiyon Belirtileri

Bu tür Truva atları gizlice çalışmak üzere tasarlandığı için, görünür belirtiler çok belirgin olmayabilir. Kullanıcılar beklenmedik yavaşlamalara, arka planda çalışan alışılmadık işlemlere, olağandışı ağ etkinliğine, güvenlik yazılımlarının devre dışı bırakılmasına veya beklenmedik açılır pencerelere ve hatalara dikkat etmelidir. Programların beklenmedik şekilde çökmesi veya açıklama yapılmadan yeni dosyaların ortaya çıkması da bir güvenlik ihlalinin göstergesi olabilir.

Korunmanın Yolları

Bulaşma riskini azaltmak için, resmi olmayan veya şüpheli web sitelerinden yazılım indirmekten kaçının ve bilinmeyen veya doğrulanmamış göndericilerden gelen e-posta eklerini asla açmayın. Bilinen güvenlik açıklarını kapatmak için işletim sistemini ve tüm yüklü uygulamaları güncel tutun. Önemli dosyalarınızı düzenli olarak yedekleyin, istenmeyen bağlantılar ve indirmeler konusunda dikkatli olun ve Trojan.Kryptik.JUE gibi tehditleri zarar vermeden önce tespit edip kaldırmak için güvenilir, güncel güvenlik yazılımları kullanın.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.Kryptik.JUE
İmza durumu:	Root Not Trusted

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: eb4425af985de82f82a01e4ecddef6fa SHA1: 3b54abfbc168d51402b38125303efecdc138cfc3 SHA256: FED29E36A91E006AA72ACD7FC52FFE19ED1DC66D9DB84919EA2AB8E94B0071BE Dosya boyutu: 2.05 MB.2048552 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Simgeleri

i

Dosya Simgeleri

Bu bölümde, aile örnekleri içinde bulunan simge kaynakları gösterilmektedir. Kötü amaçlı yazılımlar, kullanıcıları kötü amaçlı yazılımın güvenli olduğuna inandırmak için genellikle meşru yazılımlarla ilişkilendirilen simgeleri kopyalar.

Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
Company Name	Adobe Inc.
File Description	Instruction Document Viewer
File Version	2.1.0.4
Legal Copyright	Copyright © 2025 Adobe Inc.
Original Filename	Instruction.exe
Product Name	Instruction Viewer
Product Version	2.1.0.4

Dijital İmzalar

i

Dijital İmzalar

Bu bölümde, bu aile içindeki örneklere eklenmiş dijital imzalar listelenmiştir. Dijital imzaları analiz ederken ve doğrularken, imzanın kök otoritesinin tanınmış ve güvenilir bir kuruluş olduğunu ve imzanın durumunun iyi olduğunu doğrulamak önemlidir. Kötü amaçlı yazılımlar genellikle güvenilir olmayan "Kendinden İmzalı" dijital imzalarla imzalanır (bu imzalar, kötü amaçlı yazılım yazarı tarafından doğrulama yapılmadan kolayca oluşturulabilir). Kötü amaçlı yazılımlar ayrıca geçersiz duruma sahip meşru imzalarla ve sahte veya yanıltıcı "İmzalayan" adlarına sahip şüpheli kök otoritelerden gelen imzalarla da imzalanabilir.

İmzalayan	Kök	Durum
Flagship Promotion s. r. o.	SSL.com EV Root Certification Authority RSA R2	Root Not Trusted

Dosya Özellikleri

• ntdll
• x64

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	5,445
Potansiyel Olarak Zararlı Bloklar:	132
Beyaz Listeye Alınan Bloklar:	5,131
Bilinmeyen Bloklar:	182

Görsel Harita

... Veriler kırpıldı

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Sicil Değişiklikleri

i

Sicil Değişiklikleri

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen ve/veya silinen kayıt defteri anahtarları ve değerleri listelenmiştir. Windows Kayıt Defteri etkinliği, kötü amaçlı yazılımların işlevselliği hakkında değerli bilgiler sağlayabilir. Ek olarak, kötü amaçlı yazılımlar genellikle, ilk enfeksiyon sistemi tehlikeye attıktan sonra otomatik olarak başlamasına ve süresiz olarak kalmasına olanak sağlamak için kayıt defteri değerleri oluşturur.

Anahtar::Değer	Veri	API Adı
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe	G٪C;� 	RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe	㶔ᆭ㭃ǝ	RegNtPreCreateKey

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAddAtomEx ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcAcceptConnectPort ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcCreatePort ntdll.dll!NtAlpcOpenSenderProcess ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl Show 80 more ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateFile ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFindAtom ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenMutant ntdll.dll!NtOpenProcess ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRemoveIoCompletionEx ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetIoCompletion ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTerminateProcess ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForMultipleObjects ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	IsDebuggerPresent
User Data Access	GetUserObjectInformation
Process Terminate	TerminateProcess
Cert Store Read	CertOpenStore
Network Winsock2	WSASocket WSAStartup
Network Winsock	bind closesocket connect freeaddrinfo getaddrinfo

Kabuk Komutu Yürütme

i

Kabuk Komutu Yürütme

Bu bölümde, bu ailedeki örnekler tarafından çalıştırılan Windows kabuk komutları listelenmiştir. Windows kabuk komutları genellikle kötü amaçlı yazılımlar tarafından zararlı amaçlarla kullanılır ve güvenlik ayrıcalıklarını yükseltmek, diğer kötü amaçlı yazılımları indirip çalıştırmak, güvenlik açıklarından yararlanmak, veri toplamak ve sızdırmak ve kötü amaçlı faaliyetleri gizlemek için kullanılabilir.

C:\WINDOWS\system32\cmd.exe "cmd" /C net session

C:\WINDOWS\system32\net.exe net session