Troyano.Criptico.Gen.EKL

Trojan.Kryptik.Gen.EKL es un troyano de alto riesgo que ataca a equipos con Windows. Clasificado como peligroso con una gravedad de 8 sobre 10, esta amenaza está diseñada para infiltrarse silenciosamente en los sistemas, realizar acciones maliciosas en segundo plano y, potencialmente, otorgar a los atacantes el control de la máquina infectada. Al pertenecer a la extensa y prolífica familia de troyanos Kryptik, Trojan.Kryptik.Gen.EKL comparte muchas características con detecciones relacionadas como Trojan.Kryptik.Gen.FQK y Trojan.Kryptik.Gen.FZB, las cuales se basan en tácticas similares de sigilo y evasión.

¿Qué hace Trojan.Kryptik.Gen.EKL?

Una vez activo en un sistema, Trojan.Kryptik.Gen.EKL se ejecuta silenciosamente en segundo plano sin ninguna interfaz visible, lo que dificulta que un usuario promedio detecte algo inusual. Está diseñado como una aplicación nativa de Windows de 32 bits y muestra signos de alta entropía, una característica a menudo asociada con código malicioso ofuscado o cifrado diseñado para resistir el análisis y la detección. La muestra observada también presentaba una firma digital que no coincidía con su hash de archivo, lo que significa que intentaba parecer firmada legítimamente cuando en realidad fallaba la verificación; una táctica común utilizada por los creadores de malware para dar una falsa credibilidad a sus archivos.

En cuanto a su comportamiento, se ha observado que este troyano utiliza técnicas asociadas con la manipulación y evasión de procesos, incluyendo métodos que pueden emplearse para alterar o modificar procesos legítimos en la memoria. También se ha detectado su acceso a información de objetos de usuario, lo que podría indicar vigilancia o un mayor reconocimiento del sistema. Durante la infección, crea y modifica archivos de caché y metadatos en carpetas ocultas del sistema, que puede utilizar para almacenar componentes descargados, datos de configuración o información robada antes de transmitirla a otro lugar.

Cómo suele llegar a los ordenadores

Al igual que la mayoría de las amenazas de la familia Kryptik, Trojan.Kryptik.Gen.EKL suele propagarse mediante métodos engañosos en lugar de explotar una vulnerabilidad específica. Las vías de infección más comunes incluyen software descargado de sitios web poco fiables o comprometidos, instaladores que incluyen paquetes de software y archivos adjuntos de correo electrónico disfrazados de archivos inofensivos, como ejecutables, archivos multimedia o imágenes que en realidad ocultan código malicioso. En muchos casos, también puede llegar a través de la explotación de vulnerabilidades del sistema sin parchear, lo que le permite instalarse sin el conocimiento ni el consentimiento del usuario.

Riesgos para el usuario

Las consecuencias de una infección por Trojan.Kryptik.Gen.EKL pueden ser graves. Una vez establecido, este tipo de troyano puede otorgar a atacantes remotos un control significativo sobre el equipo infectado, lo que les permite robar datos confidenciales, instalar malware adicional, monitorizar la actividad del usuario o utilizar el sistema como plataforma para lanzar nuevos ataques. Sus técnicas de evasión dificultan su detección y eliminación tanto para las herramientas de seguridad como para los usuarios, lo que aumenta el riesgo de una intrusión prolongada y sin ser detectada.

Signos de infección

Dado que este tipo de troyanos están diseñados para operar de forma encubierta, las infecciones suelen ser difíciles de detectar. Los usuarios deben estar atentos a ralentizaciones inexplicables del sistema, actividad inusual en la red, la aparición de archivos desconocidos en las carpetas del sistema, fallos inesperados o informes de detecciones sospechosas por parte del software de seguridad. La presencia de archivos de caché o metadatos desconocidos en directorios de datos de aplicaciones ocultos, como ocurre con esta amenaza, también puede ser una señal de alerta.

Cómo mantenerse protegido

Para reducir el riesgo de infección, evite descargar software de sitios web no oficiales o sospechosos y nunca abra archivos adjuntos de correo electrónico de remitentes desconocidos o no confiables. Mantenga el sistema operativo Windows y todo el software instalado completamente actualizados para cerrar las brechas de seguridad que los troyanos suelen aprovechar. Ejecutar software de seguridad confiable y actualizado, y realizar análisis periódicos del sistema, puede ayudar a detectar y eliminar amenazas como Trojan.Kryptik.Gen.EKL antes de que causen daños permanentes. Realizar copias de seguridad periódicas de los datos importantes también ayuda a limitar el impacto de cualquier infección exitosa.

Reporte de análisis

Información general

Apellido:	Trojan.Kryptik.Gen.EKL
Estado de la firma:	Hash Mismatch

Muestras conocidas

i

Muestras conocidas

Esta sección enumera otras muestras de archivos que se cree que están asociadas con esta familia.

MD5: 6ee24211c870cfa69b6f3308459668df SHA1: 78f05bd41f29448afecd416bd6545371282f3c39 SHA256: 63BA3A7317F12EFB1090152C900234CBE86477B81CEEFAC2987055D289D8FE1D Tamaño del archivo: 657.68 KB, 657680 bytes

Atributos de ejecutables portátiles de Windows

i

Atributos de ejecutables portátiles de Windows

Esta sección enumera los atributos de archivo encontrados en muestras de la misma familia. Estos atributos se extraen de la especificación Windows PE (Portable Executable) de los archivos y de diversas marcas del sistema. Los atributos Portable Executable brindan a los investigadores de malware información sobre la funcionalidad del archivo, los detalles del ejecutable, la plataforma y el entorno de ejecución.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Iconos de archivo

i

Iconos de archivo

Esta sección muestra los recursos de iconos encontrados en muestras de la misma familia. El malware suele replicar iconos comúnmente asociados con software legítimo para engañar a los usuarios y hacerles creer que el malware es seguro.

Información de la versión de Windows PE

i

Información de la versión de Windows PE

Esta sección muestra los valores y atributos que se han configurado en la estructura de datos de información de versión de archivos de Windows para las muestras de esta familia. Para engañar a los usuarios, los ciberdelincuentes suelen añadir información de versión falsa que imita a software legítimo.

Nombre	Valor
File Version	1.0.0.0
Product Version	1.0.0.0

Firmas digitales

i

Firmas digitales

Esta sección enumera las firmas digitales adjuntas a las muestras de esta familia. Al analizar y verificar las firmas digitales, es importante confirmar que la autoridad raíz de la firma sea una entidad reconocida y confiable, y que su estado sea válido. El malware suele firmarse con firmas digitales autofirmadas no confiables (que un autor de malware puede crear fácilmente sin verificación). También puede firmarse con firmas legítimas con un estado inválido, o con firmas de autoridades raíz dudosas con nombres de firmantes falsos o engañosos.

Firmante	Raíz	Estado
QIHU 360 SOFTWARE CO. LIMITED	Symantec Class 3 SHA256 Code Signing CA	Hash Mismatch
QIHU 360 SOFTWARE CO. LIMITED	VeriSign Class 3 Code Signing 2010 CA	Hash Mismatch

Características de archivo

• HighEntropy
• x86

Información del bloque

i

Información del bloque

Durante el análisis, EnigmaSoft divide las muestras de archivos en bloques lógicos para su clasificación y comparación con otras muestras. Estos bloques se pueden usar para generar reglas de detección de malware y agrupar las muestras de archivos en familias según su código fuente, funcionalidad y otros atributos y características distintivas. Esta sección presenta un resumen de los datos de estos bloques, así como su clasificación por EnigmaSoft. También se muestra una representación visual de los datos de los bloques, cuando está disponible.

Bloques totales:	1,996
Bloqueos potencialmente maliciosos:	2
Bloqueos permitidos:	1,994
Bloques desconocidos:	0

Mapa visual

0 - Bloque seguro probable
? - Bloque desconocido
x - Bloqueo potencialmente malicioso

Familias similares

i

Familias similares

Esta sección enumera otras familias que comparten similitudes con esta familia, según el análisis de EnigmaSoft. Muchas familias de malware se crean a partir de los mismos kits de herramientas y utilizan las mismas técnicas de empaquetado y cifrado, pero extienden su funcionalidad de forma única. Familias similares también pueden compartir código fuente, atributos, iconos, subcomponentes, firmas digitales comprometidas o inválidas y características de red. Los investigadores aprovechan estas similitudes para clasificar rápidamente y de forma eficaz las muestras de archivos y ampliar las reglas de detección de malware.

• Banload.XT
• Kryptik.BDEA
• Trojan.Krypt.Gen.RNS
• Trojan.Kryptik.Gen.EKL
• Trojan.Kryptik.Gen.FQK

Show 1 more

• Trojan.Kryptik.Gen.FZB

Archivos modificados

i

Archivos modificados

Esta sección enumera los archivos que fueron creados, modificados, movidos o eliminados por muestras de esta familia. La actividad del sistema de archivos puede proporcionar información valiosa sobre cómo funciona el malware en el sistema operativo.

Archivo	Atributos
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data

Modificaciones del registro

i

Modificaciones del registro

Esta sección enumera las claves y valores del registro que fueron creados, modificados o eliminados por muestras de esta familia. La actividad del Registro de Windows puede proporcionar información valiosa sobre la funcionalidad del malware. Además, el malware suele crear valores en el registro para iniciarse automáticamente y persistir indefinidamente después de que la infección inicial haya comprometido el sistema.

Clave::Valor	Datos	Nombre de la API
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey

Uso de la API de Windows

i

Uso de la API de Windows

Esta sección enumera las llamadas a la API de Windows que utilizan las muestras de esta familia. El análisis del uso de la API de Windows es una herramienta valiosa que puede ayudar a identificar actividades maliciosas, como el registro de pulsaciones de teclas, la escalada de privilegios de seguridad, el cifrado de datos, la exfiltración de datos, la interferencia con el software antivirus y la manipulación de solicitudes de red.

Categoría	API
User Data Access	GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection