Trojan.Kryptik.Gen.MJD
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Niveau de menace: | 80 % (Haute) |
| Vu la première fois: | November 5, 2026 |
| Vu pour la dernière fois : | November 8, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Trojan.Kryptik.Gen.MJD est un cheval de Troie ciblant les ordinateurs Windows. Son niveau de dangerosité est de 8 sur 10. Les chevaux de Troie se font passer pour des fichiers inoffensifs ou se dissimulent dans d'autres téléchargements, puis s'exécutent silencieusement en arrière-plan. Le nom « Kryptik » est couramment utilisé pour la détection générique de fichiers exécutables malveillants compressés ou obfusqués. D'après les données du flux RSS, cette menace a été observée pour la première fois le 5 novembre 2026 et plus récemment le 8 novembre 2026 ; une seule détection a été enregistrée à ce jour.
Table des matières
Que fait la menace ?
Le cheval de Troie Kryptik Gen MJD s'installe furtivement et exécute des fonctions malveillantes à l'insu de l'utilisateur. Une fois installé, il peut permettre aux attaquants de prendre le contrôle total du système infecté.
L'échantillon analysé donne un aperçu de son comportement :
- Affaiblissement de Microsoft Defender. L'échantillon exécutait une commande PowerShell cachée qui ajoutait le dossier du profil utilisateur et le dossier ProgramData à la liste d'exclusion de l'antivirus. Une fois ces emplacements exclus, d'autres fichiers malveillants qui y sont stockés pourraient échapper à l'analyse.
- Contrôles anti-analyse. Il utilise des fonctions de détection de débogage, couramment employées par les logiciels malveillants pour échapper aux recherches.
- Manipulation de processus. Elle appelle une fonction qui libère des sections de mémoire d'un processus, une technique souvent associée à la dissimulation ou à l'injection de code.
- Gestion des privilèges et des jetons. Ce module ajuste les privilèges des jetons et gère les jetons de processus et de thread, qui peuvent être utilisés pour obtenir des droits d'accès plus élevés.
- Collecte d'informations sur l'utilisateur. Le système lit le nom d'utilisateur et les paramètres régionaux.
- Fonctions de chiffrement. Utilise une API cryptographique Windows. Le flux ne précise pas les données chiffrées.
Le fichier est un exécutable natif Windows GUI 64 bits non signé, sans information de version et présentant une entropie élevée, ce qui indique généralement un contenu compressé ou chiffré. Il ne contient aucune ressource ni information de débogage. Sur les 2 977 blocs de comportement enregistrés, 238 ont été signalés comme potentiellement malveillants.
Comment cela se retrouve généralement sur les ordinateurs
Le flux indique que ce cheval de Troie se propage le plus souvent par :
- Exploiter les vulnérabilités et les failles de sécurité du système.
- Téléchargements de logiciels depuis des sites web malveillants.
- Pièces jointes aux courriels provenant de sources non fiables, généralement des fichiers .exe, .pif, .avi et même .jpg.
Les fichiers aux noms à double sens, tels qu'un fichier exécutable conçu pour ressembler à une image ou à une vidéo, sont une ruse typique utilisée par les chevaux de Troie.
Risques pour l’utilisateur
Étant donné que le cheval de Troie peut donner aux attaquants un contrôle total, les risques sont importants. Le flux ne mentionne pas les charges utiles spécifiques, mais les chevaux de Troie de ce type entraînent généralement les actions suivantes :
- Vol de mots de passe, de données personnelles ou d'informations financières.
- Installation de logiciels malveillants supplémentaires.
- Accès à distance à vos fichiers et à votre système.
- Protection réduite, comme le montre la commande d'exclusion antivirus dans cet exemple.
Signes d’infection
Les chevaux de Troie sont conçus pour rester cachés, il peut donc n'y avoir aucun symptôme évident. Soyez attentif aux indices suivants :
- Fenêtres ou processus PowerShell inattendus, en particulier les fenêtres ou processus cachés.
- De nouvelles exclusions dans les paramètres de votre antivirus que vous n'avez pas ajoutées, notamment pour votre profil utilisateur ou les dossiers ProgramData.
Comment rester protégé
- Maintenez Windows et tous vos logiciels à jour afin de corriger les vulnérabilités exploitées par les chevaux de Troie.
- N’ouvrez pas les pièces jointes provenant d’expéditeurs inconnus et méfiez-vous des fichiers dont le type ne correspond pas à leur description.
- Téléchargez les logiciels uniquement à partir de sources officielles.
- Utilisez une solution de sécurité réputée et à jour, offrant une protection en temps réel, et consultez régulièrement sa liste d'exclusions.
- Utilisez un compte utilisateur standard pour vos tâches quotidiennes au lieu d'un compte administrateur.
- Sauvegardez régulièrement vos fichiers importants et conservez-en une copie hors ligne.
Si vous soupçonnez une infection, déconnectez-vous d'Internet, effectuez une analyse complète du système et vérifiez les exclusions de votre antivirus afin de vous assurer qu'elles ne contiennent pas d'entrées que vous n'avez pas créées. Changez vos mots de passe depuis un appareil sain. Si le système reste instable ou suspect, envisagez de faire appel à un professionnel ou de réinstaller Windows.
Bulletin d'analyse
Informations générales
| Nom de famille : | Trojan.Kryptik.Gen.MJD |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
f62b3425f07e81094ad79b50f253c29a
SHA1:
c66b36668f6bac7885821c57781800a891c90c28
SHA256:
8F9E9270D8DB10200AB80B702A28E7AF6AA7766C760EEFF437CD28F73B67C9FA
Taille du fichier:
946.18 KB 946176 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have resources
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
Show 3 more
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Caractéristiques du fichier
- HighEntropy
- No Version Info
- x64
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 2,977 |
|---|---|
| Blocages potentiellement malveillants : | 238 |
| Blocs autorisés : | 2,736 |
| Blocs inconnus : | 3 |
Carte visuelle
... Données tronquées? - Bloc inconnu
x - Blocage potentiellement malveillant
Familles similaires
Familles similaires
Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.- Trojan.Kryptik.Gen.MFI
- Trojan.Kryptik.Gen.MJD
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134385186767585482.292.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_dg51ajza.axl.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_t2zy1fbw.03b.psm1 | Generic Write,Read Attributes |
Modifications du registre
Modifications du registre
Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.| Clé::Valeur | Données | Nom de l'API |
|---|---|---|
| HKLM\software\microsoft\windows defender\exclusions\paths::c:\users\vtblhtaf | RegNtPreCreateKey | |
| HKLM\software\microsoft\windows defender\exclusions\paths::c:\programdata | RegNtPreCreateKey | |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 衛溝ǝ | RegNtPreCreateKey |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Syscall Use |
Show 90 more
24 articles supplémentaires ne sont pas affichés ci-dessus. |
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Anti Debug |
|
| User Data Access |
|
| Encryption Used |
|
| Other Suspicious |
|
Exécution de commandes Shell
Exécution de commandes Shell
Cette section répertorie les commandes de l'interpréteur de commandes Windows exécutées par les échantillons de cette famille. Ces commandes sont fréquemment utilisées par les logiciels malveillants à des fins malveillantes et peuvent servir à élever les privilèges d'administrateur, télécharger et exécuter d'autres logiciels malveillants, exploiter des vulnérabilités, collecter et exfiltrer des données, et dissimuler des activités malveillantes.
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -NoProfile -NonInteractive -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath @($env:userprofile,$env:programdata) -Force"
|