Trojan.Kryptik.BDRC

Trojan.Kryptik.BDRC是一种基于 Windows 的木马程序，它伪装成合法软件，潜入计算机并在后台执行恶意操作。由于一旦激活，攻击者就能对受感染的系统拥有广泛的控制权，因此它被认为是一种高风险威胁。

Trojan.Kryptik.BDRC 的作用

Trojan.Kryptik.BDRC 一旦安装，便会在后台静默运行，通常伪装成可信的应用程序组件，例如软件更新程序或安装程序，以避免引起怀疑。该样本被发现伪装成“Google 安装程序”，其文件详情与合法的更新工具如出一辙，尽管它是自签名文件，而非经过可信机构验证。在这种伪装之下，该木马可以执行一系列有害功能，包括赋予远程攻击者控制受感染系统的能力。它还可以秘密删除文件、安装其他恶意组件并修改系统文件以维持自身存在。该恶意软件已被发现会在系统文件夹中放置并执行文件，并启动带有指向已下载文件的命令行参数的进程，这种技术常用于在用户不知情的情况下部署或激活其他有效载荷。

它通常是如何进入电脑的

Trojan.Kryptik.BDRC 通常利用系统漏洞和安全缺陷进行传播。它通常与从恶意或被入侵网站下载的软件捆绑在一起，或通过来自不可信或未知发件人的电子邮件附件传播。这些附件通常伪装成常见的文件扩展名，例如 .exe、.pif、.avi 甚至 .jpg，以诱骗用户打开。由于该木马可以模仿知名软件的品牌和文件属性，用户可能在不知情的情况下安装它，误以为自己下载的是合法程序或更新。

用户面临的风险

该木马的危险等级很高，反映出它可能对受害者造成严重后果。一旦成功入侵，攻击者可能能够远程访问和控制受感染的计算机，窃取敏感数据，删除或篡改重要文件，并在未经用户同意的情况下安装其他恶意软件。该木马能够在后台静默运行，这意味着系统可能在长时间内处于受感染状态，而损害却不会显现，这增加了数据丢失、经济损失或遭受进一步感染的风险。

感染迹象

由于这类木马程序旨在隐蔽运行，因此很难发现明显的警告信号。用户应注意系统目录中出现的异常新文件或文件夹、自动启动的陌生进程、异常的网络活动、系统运行缓慢或安全工具行为异常等情况。此外，与声称代表的软件不符的意外安装程序或更新程序文件也可能是一个危险信号。

如何做好防护

为降低感染风险，请避免从非官方或未经核实的网站下载软件，切勿打开来自未知或意外发件人的电子邮件附件，无论其文件扩展名如何。务必保持操作系统和已安装应用程序的最新版本，以修复木马程序经常利用的已知安全漏洞。定期备份重要文件，使用信誉良好且最新的安全解决方案扫描系统，并警惕出现在非官方更新渠道的安装程序或更新程序，因为真正的软件更新通常通过应用程序本身推送，而不是通过下载或电子邮件链接。

分析报告

一般信息

姓：	Trojan.Kryptik.BDRC
签名状态：	Self Signed

已知样本

i

已知样本

本节列出了其他据信与该家族有关的文件样本。

MD5: f212b23bfe6f985fae67f335d2a9c3ca SHA1: 55af3e62ebf5ae3f593ba293e76bbac23f509608 SHA256: 8D0EB5CD051E5098B7311C59D5D75C03CB6CA16F2436C83756BF2A775499731B 文件大小: 2.24 MB,2240928字节

Windows 可移植可执行文件属性

i

Windows 可移植可执行文件属性

本节列出了在恶意软件家族样本中发现的文件属性。这些属性提取自文件的 Windows PE（可移植可执行文件）规范和各种系统标志。可移植可执行文件属性使恶意软件研究人员能够深入了解文件的功能、可执行文件的详细信息、平台和运行时环境。

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件图标

i

文件图标

本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。

Windows PE 版本信息

i

Windows PE 版本信息

本节显示此系列样本的 Windows 文件版本信息数据结构中已设置的值和属性。为了误导用户，恶意软件攻击者通常会添加伪造的版本信息，模仿合法软件。

姓名	价值
Build Id	27AFE00AEC4AB099B4D928E8686B5750
Company Name	Google LLC
File Description	Google Installer (x86)
File Version	152.0.7563.72
Internal Name	Google Installer (x86)
Legal Copyright	Copyright 2026 Google LLC. All rights reserved.
Original Filename	UpdaterSetup.exe
Product Name	Google Installer (x86)
Product Version	152.0.7563.72

数字签名

i

数字签名

本节列出了该系列样本所附带的数字签名。在分析和验证数字签名时，务必确认签名的根授权机构是知名且可信的实体，并且签名状态良好。恶意软件通常使用不可信的“自签名”数字签名（恶意软件作者可以轻松创建此类签名，无需任何验证）。恶意软件也可能使用状态无效的合法签名，或者使用来自可疑根授权机构且签名者名称虚假或具有误导性的签名。

签名者	根	地位
Chrome Setup	Chrome Setup	Self Signed

文件特征

• big overlay
• Installer Version
• x64

区块信息

i

区块信息

在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。

总区块数：	507
潜在恶意块：	142
白名单区块：	197
未知区块：	168

可视化地图

0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

文件已修改

i

文件已修改

本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。

文件	属性
c:\programdata\google\update\googleupdate.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\programdata\google\update\googleupdate.exe	Synchronize,Write Attributes
c:\programdata\google\update\gupdater2.dll	Generic Write,Read Attributes
c:\programdata\google\update\gupdater2.dll	Synchronize,Write Attributes

Windows API 使用情况

i

Windows API 使用情况

本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。

类别	API
Syscall Use	ntdll.dll!NtClose ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtGetContextThread ntdll.dll!NtOpenKey ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationThread Show 7 more ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTerminateProcess ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtWriteFile UNKNOWN
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess

Shell命令执行

i

Shell命令执行

本节列出了此系列样本运行的 Windows Shell 命令。恶意软件经常利用 Windows Shell 命令进行恶意活动，例如提升安全权限、下载和启动其他恶意软件、利用漏洞、收集和窃取数据以及隐藏恶意活动。

"C:\ProgramData\Google\Update\GoogleUpdate.exe"

"C:\ProgramData\Google\Update\GoogleUpdate.exe" -d "c:\users\user\downloads\55af3e62ebf5ae3f593ba293e76bbac23f509608_0002240928"