Troyano.Criptico.BJB

Kryptik.BJB es un troyano que ataca a ordenadores con Windows. Su nivel de peligrosidad es de 8 sobre 10. Los troyanos se hacen pasar por archivos inofensivos o útiles mientras realizan tareas dañinas en segundo plano. Los datos del feed muestran 9 detecciones, la primera el 15 de mayo de 2025 y la última el 3 de noviembre de 2026.

Lo que hace la amenaza

Según la descripción, Kryptik.BJB se instala sigilosamente y se ejecuta en segundo plano sin hacer ruido. Tras la instalación, puede otorgar a los atacantes el control total del sistema. También puede eliminar archivos de forma encubierta e instalar amenazas adicionales. La descripción está incompleta, por lo que se desconoce la lista completa de sus acciones. Los troyanos de este tipo suelen funcionar como puerta de entrada para otro malware o para el acceso remoto.

La muestra analizada es una DLL de Windows de 32 bits que no está empaquetada. Su comportamiento incluyó varios aspectos dignos de mención:

• Ejecución mediante rundll32: la muestra se ejecutó a través de la utilidad rundll32 de Windows desde la carpeta Descargas del usuario, llamando a una de sus funciones exportadas. Las DLL maliciosas suelen usar este truco porque no pueden ejecutarse por sí solas.
• Manipulación de procesos: utiliza NtUnmapViewOfSection, que se encuentra dentro de la categoría de manipulación y evasión de procesos. Esta llamada suele estar asociada con la alteración de la memoria de otros programas.
• Antidepuración: utiliza NtQuerySystemInformation, que se clasifica como una técnica antidepuración. El malware suele utilizar este tipo de llamadas para detectar entornos de análisis.
• Llamadas directas al sistema: realiza varias llamadas de bajo nivel a través de ntdll.dll para la escritura de archivos y la gestión de la memoria, y puede iniciar nuevos procesos.

Un disfraz que vale la pena conocer

La muestra contiene información de versión que la describe como un componente principal de un programa de edición de imágenes, junto con el nombre del desarrollador y un aviso de derechos de autor. También incluye una firma digital cuyo estado es "Desajuste de hash". Esto significa que el contenido del archivo no coincide con el propósito para el que se creó la firma. El informe no especifica el motivo. Normalmente, un desajuste de este tipo indica que el archivo se modificó después de firmarlo o que los detalles de la firma se copiaron en otro archivo. En cualquier caso, un nombre y una descripción familiares no garantizan la seguridad del archivo. Los datos no sugieren que el software original sea malicioso.

El análisis de la muestra también dividió sus bloques de código en grupos: 904 de 1828 fueron marcados como potencialmente maliciosos, 922 fueron incluidos en la lista blanca y 2 eran de naturaleza desconocida. Esto representa una gran proporción de código sospechoso.

Cómo suele llegar a los ordenadores

La descripción menciona tres rutas principales:

• Explotar las vulnerabilidades del sistema y las fallas de seguridad.
• Descargas de software desde sitios web maliciosos.
• Archivos adjuntos de correo electrónico procedentes de fuentes no fiables, normalmente archivos .exe, .pif, .avi e incluso .jpg.

La muestra se ejecutó desde una carpeta de Descargas, lo que se ajusta al escenario de descarga. Los archivos con doble significado, como una "imagen" o un "video" que en realidad es un programa, son un truco clásico.

Riesgos para el usuario

• Pérdida de control del ordenador a manos de un atacante remoto.
• Se están eliminando archivos sin su conocimiento.
• Se está instalando software malicioso adicional sobre la infección original.
• Exposición de datos personales. Este es un riesgo típico cuando un sistema está bajo control remoto, aunque el informe no enumera casos específicos de robo de datos.

Signos de infección

Kryptik.BJB está diseñado para funcionar silenciosamente, por lo que es posible que no presente síntomas evidentes. Las señales de advertencia típicas de un troyano como este incluyen:

• Procesos rundll32 inesperados o programas desconocidos ejecutándose en segundo plano.
• Los archivos desaparecen o cambian sin explicación.
• Rendimiento lento o actividad de red inexplicable.
• Software o configuración nuevos que usted no haya instalado ni modificado.
• Las herramientas de seguridad están desactivadas o no se inician.

Dado que los síntomas pueden estar ausentes, una tomografía computarizada es la forma más fiable de comprobarlo.

Cómo mantenerse protegido

• Instale Windows y las actualizaciones de software lo antes posible para corregir las vulnerabilidades que este troyano puede explotar.
• Descarga los programas únicamente desde el sitio web oficial del desarrollador.
• No abra archivos adjuntos de remitentes desconocidos, especialmente archivos .exe o .pif, o imágenes y vídeos con comportamientos extraños.
• Revisa tu carpeta de Descargas con regularidad y elimina los archivos que no reconozcas.
• Mantén activa una herramienta antimalware fiable y actualizada, y realiza un análisis completo del sistema si sospechas que hay una infección.
• Guarda copias de seguridad de los archivos importantes en un disco duro desconectado o en un dispositivo de almacenamiento aparte.

Si se detecta alguna amenaza, desconecte el equipo de internet, realice un análisis completo y elimine todo lo que el análisis señale. A continuación, cambie las contraseñas importantes desde un dispositivo limpio. Si el sistema pudo haber estado bajo control remoto, considere reinstalar Windows por completo.