Trojan.Kryptik.Gen.MJD
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 威胁级别： | 80 % (高的) |
| 初见： | November 5, 2026 |
| 最后一次露面： | November 8, 2026 |
| 受影响的操作系统： | Windows |
Trojan.Kryptik.Gen.MJD是一款针对 Windows 计算机的木马程序，危险等级为 8（满分 10 分）。木马程序通常伪装成无害文件或隐藏在其他下载文件中，并在后台静默运行。Kryptik 这个名称通常用于泛指打包或混淆的恶意可执行文件。根据监测数据，该威胁最早出现于 2026 年 11 月 5 日，最近一次出现于 2026 年 11 月 8 日，目前已记录到一次检测结果。
目录
威胁会造成什么影响？
Trojan.Kryptik.Gen.MJD 会悄无声息地安装自身，并在用户不知情的情况下执行恶意操作。一旦安装成功，攻击者便可能完全控制受感染的系统。
分析的样本可以让我们对其行为有所了解：
- 削弱 Microsoft Defender 的安全性。该样本会启动一个隐藏的 PowerShell 命令，将用户配置文件文件夹和 ProgramData 文件夹添加到防病毒软件的排除列表中。一旦这些位置被排除，存储在其中的其他恶意文件就可能绕过扫描。
- 反分析检查。它使用调试器检测功能，恶意软件通常利用这些功能来避免被研究人员分析。
- 进程操控。它调用一个函数来取消进程中的内存区域映射，这种技术通常与隐藏或注入代码有关。
- 权限和令牌处理。它调整令牌权限，并处理进程令牌和线程令牌，这些令牌可用于获取更高的访问权限。
- 用户信息收集。它会读取用户名和语言设置。
- 加密功能。它使用 Windows 加密 API。但信息源并未说明它加密的是什么。
该文件是一个未签名的 64 位 Windows 原生 GUI 可执行文件，没有版本信息，且熵值很高，这通常表明其内容已被压缩或加密。此外，它也没有资源信息和调试信息。在记录的 2977 个行为块中，有 238 个被标记为潜在恶意行为。
它通常是如何进入电脑的
该信息源显示，这种木马程序最常见的传播方式是：
- 利用系统漏洞和安全缺陷。
- 从恶意网站下载软件。
- 来自不受信任来源的电子邮件附件，通常是 .exe、.pif、.avi 甚至 .jpg 文件。
文件名具有双重含义，例如将可执行文件伪装成图片或视频，这是木马程序常用的伎俩。
用户面临的风险
由于木马程序可能赋予攻击者完全控制权，因此风险十分严重。虽然该信息源没有列出具体的有效载荷，但此类木马程序通常会导致：
- 密码、个人数据或财务信息被盗。
- 安装其他恶意软件。
- 远程访问您的文件和系统。
- 如本示例中的防病毒排除命令所示，防护能力有所降低。
感染迹象
木马程序旨在隐藏自身，因此可能不会出现明显的症状。请注意以下线索：
- 意外的 PowerShell 窗口或进程，尤其是隐藏的窗口或进程。
- 您的防病毒设置中新增了您未添加的排除项，特别是针对您的用户配置文件或 ProgramData 文件夹的排除项。
如何保护自己
- 保持 Windows 和所有软件更新，以修复木马程序利用的漏洞。
- 不要打开来自未知发件人的附件，并对类型与其描述不符的文件保持警惕。
- 请仅从官方渠道下载软件。
- 使用信誉良好、功能最新的安全解决方案，并具备实时保护功能，并定期查看其排除列表。
- 日常工作请使用普通用户帐户，而不是管理员帐户。
- 定期备份重要文件，并保留一份离线副本。
如果您怀疑系统感染病毒，请断开网络连接，运行完整的系统扫描，并检查您的杀毒软件排除列表中是否存在您未创建的条目。请在干净的设备上更改您的密码。如果系统仍然不稳定或存在可疑情况，请考虑寻求专业帮助或全新安装 Windows 系统。
分析报告
一般信息
| 姓： | Trojan.Kryptik.Gen.MJD |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
f62b3425f07e81094ad79b50f253c29a
SHA1:
c66b36668f6bac7885821c57781800a891c90c28
SHA256:
8F9E9270D8DB10200AB80B702A28E7AF6AA7766C760EEFF437CD28F73B67C9FA
文件大小:
946.18 KB,946176字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have resources
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
Show 3 more
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件特征
- HighEntropy
- No Version Info
- x64
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 2,977 |
|---|---|
| 潜在恶意块： | 238 |
| 白名单区块： | 2,736 |
| 未知区块： | 3 |
可视化地图
... 数据已截断
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- Trojan.Kryptik.Gen.MFI
- Trojan.Kryptik.Gen.MJD
文件已修改
文件已修改
本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。| 文件 | 属性 |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134385186767585482.292.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_dg51ajza.axl.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_t2zy1fbw.03b.psm1 | Generic Write,Read Attributes |
注册表修改
注册表修改
本节列出了此系列样本创建、修改和/或删除的注册表项和值。Windows 注册表活动可以提供关于恶意软件功能的宝贵信息。此外，恶意软件通常会创建注册表值，以便在初始感染系统后自动启动并无限期地持续存在。| 键::值 | 数据 | API名称 |
|---|---|---|
| HKLM\software\microsoft\windows defender\exclusions\paths::c:\users\vtblhtaf | RegNtPreCreateKey | |
| HKLM\software\microsoft\windows defender\exclusions\paths::c:\programdata | RegNtPreCreateKey | |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 衛溝ǝ | RegNtPreCreateKey |
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| Syscall Use |
Show 90 more
以上未显示另外 24 件商品。 |
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Anti Debug |
|
| User Data Access |
|
| Encryption Used |
|
| Other Suspicious |
|
Shell命令执行
Shell命令执行
本节列出了此系列样本运行的 Windows Shell 命令。恶意软件经常利用 Windows Shell 命令进行恶意活动，例如提升安全权限、下载和启动其他恶意软件、利用漏洞、收集和窃取数据以及隐藏恶意活动。
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -NoProfile -NonInteractive -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath @($env:userprofile,$env:programdata) -Force"
|