Trojan.Kryptik.BJB

Kryptik.BJB est un cheval de Troie ciblant les ordinateurs Windows. Son niveau de dangerosité est évalué à 8 sur 10. Les chevaux de Troie se font passer pour des fichiers inoffensifs ou utiles tout en exécutant des actions malveillantes en arrière-plan. Les données de surveillance indiquent 9 détections, la première remontant au 15 mai 2025 et la plus récente au 3 novembre 2026.

Que fait la menace ?

D'après sa description, Kryptik.BJB s'installe furtivement et s'exécute silencieusement en arrière-plan. Une fois installé, il peut donner aux attaquants un contrôle total du système. Il peut également supprimer des fichiers discrètement et installer d'autres menaces. La description étant incomplète, la liste complète de ses actions reste inconnue. Les chevaux de Troie de ce type servent généralement de porte d'entrée pour d'autres logiciels malveillants ou pour un accès à distance.

L'échantillon analysé est une DLL Windows 32 bits non compressée. Son comportement a révélé plusieurs points notables :

• Exécution via rundll32 : l’exemple a été exécuté via l’utilitaire rundll32 de Windows, depuis le dossier Téléchargements de l’utilisateur, en appelant l’une de ses fonctions exportées. Les DLL malveillantes utilisent fréquemment cette technique car elles ne peuvent pas s’exécuter directement.
• Manipulation de processus : cette fonction utilise NtUnmapViewOfSection, répertoriée dans la catégorie « manipulation et évasion de processus ». Cet appel est généralement associé à la modification de la mémoire d’autres programmes.
• Protection contre le débogage : ce logiciel utilise NtQuerySystemInformation, une technique reconnue comme telle. Les logiciels malveillants ont généralement recours à ce type d’appel pour détecter les environnements d’analyse.
• Appels système directs : il effectue plusieurs appels de bas niveau via ntdll.dll pour l’écriture de fichiers et la gestion de la mémoire, et il peut démarrer de nouveaux processus.

Un déguisement qu’il vaut la peine de connaître

L'échantillon contient des informations de version le décrivant comme un composant essentiel d'un logiciel de retouche d'images, ainsi que le nom du développeur et une mention de copyright. Il possède également une signature numérique dont le statut est « Hachage incorrect ». Cela signifie que le contenu du fichier ne correspond pas à l'objet pour lequel la signature a été créée. Le flux ne précise pas la raison de cette incohérence. Généralement, une telle incohérence indique qu'un fichier a été modifié après sa signature ou que les détails de la signature ont été copiés dans un autre fichier. Dans tous les cas, un nom et une description d'apparence familière ne garantissent pas la sécurité d'un fichier. Les données ne suggèrent pas que le logiciel authentique soit malveillant.

L'analyse de l'échantillon a également permis de répartir ses blocs de code en groupes : 904 sur 1 828 ont été signalés comme potentiellement malveillants, 922 ont été autorisés et 2 sont restés inconnus. Cela représente une part importante de code suspect.

Comment cela se retrouve généralement sur les ordinateurs

La description mentionne trois itinéraires principaux :

• Exploiter les vulnérabilités et les failles de sécurité du système.
• Téléchargements de logiciels depuis des sites web malveillants.
• Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.

L'échantillon a été exécuté depuis un dossier Téléchargements, ce qui correspond au scénario de téléchargement. Les fichiers à double sens, comme une « image » ou une « vidéo » qui est en réalité un programme, constituent une ruse classique.

Risques pour l’utilisateur

• Perte de contrôle de l'ordinateur par un attaquant distant.
• Des fichiers sont supprimés à votre insu.
• Des logiciels malveillants supplémentaires sont installés par-dessus l'infection initiale.
• Divulgation de données personnelles. Il s'agit d'un risque courant lorsqu'un système est contrôlé à distance, même si le rapport ne mentionne aucun vol de données spécifique.

Signes d’infection

Kryptik.BJB est conçu pour fonctionner discrètement, il est donc possible qu'aucun symptôme évident ne soit présent. Les signes avant-coureurs typiques d'un cheval de Troie de ce type sont les suivants :

• Processus rundll32 inattendus ou programmes inconnus s'exécutant en arrière-plan.
• Des fichiers disparaissent ou sont modifiés sans explication.
• Performances ralenties ou activité réseau inexpliquée.
• Nouveaux logiciels ou paramètres que vous n'avez pas installés ou modifiés.
• Outils de sécurité désactivés ou ne démarrant pas.

En l'absence de symptômes, un scanner est la méthode la plus fiable pour vérifier le diagnostic.

Comment rester protégé

• Installez rapidement les mises à jour de Windows et des logiciels afin de corriger les vulnérabilités que ce cheval de Troie peut exploiter.
• Téléchargez les programmes uniquement depuis le site web officiel du développeur.
• N’ouvrez pas les pièces jointes provenant d’expéditeurs inconnus, en particulier les fichiers .exe ou .pif, ni les « images » et « vidéos » au comportement étrange.
• Vérifiez régulièrement votre dossier Téléchargements et supprimez les fichiers que vous ne reconnaissez pas.
• Utilisez un logiciel anti-malware réputé et à jour, et effectuez une analyse complète du système si vous soupçonnez une infection.
• Conservez des copies de sauvegarde de vos fichiers importants sur un disque dur externe ou un support de stockage séparé.

Si une détection apparaît, déconnectez l'ordinateur d'Internet, effectuez une analyse complète et supprimez tous les éléments signalés. Modifiez ensuite vos mots de passe importants depuis un appareil non infecté. Si le système a pu être contrôlé à distance, envisagez une réinstallation complète de Windows.