Troyano.Criptico.JUE

Trojan.Kryptik.JUE es un troyano peligroso que afecta a los ordenadores con Windows. Clasificado como de alto riesgo, esta amenaza está diseñada para infiltrarse sigilosamente en un sistema, disfrazarse como un programa legítimo y llevar a cabo diversas acciones maliciosas sin el conocimiento del usuario. Su nombre está asociado a la familia de troyanos Kryptik, conocidos por utilizar técnicas de ofuscación y disfraz para evitar ser detectados.

¿Qué hace Trojan.Kryptik.JUE?

Una vez activo en un sistema, Trojan.Kryptik.JUE se ejecuta silenciosamente en segundo plano mientras realiza operaciones dañinas. El análisis de esta amenaza revela que se trata de un ejecutable de Windows de 64 bits que se hace pasar por una aplicación legítima, en este caso, un visor de documentos, con un nombre de empresa y una descripción de producto falsos para aparentar confianza. A pesar de este disfraz, el archivo contiene una cadena de firma digital que el sistema operativo no considera fiable, una señal de alerta que lo distingue del software legítimo.

En cuanto a su comportamiento, el troyano utiliza llamadas al sistema de bajo nivel para manipular la memoria, mapear y desmapear secciones de código e interactuar directamente con archivos, técnicas frecuentemente asociadas con la inyección de procesos e intentos de operar sigilosamente dentro de procesos de confianza. Se ha observado que utiliza funciones para comprobar la presencia de un depurador, lo que sugiere que intenta evadir el análisis de los investigadores de seguridad. También es capaz de abrir conexiones de red, lo que significa que puede comunicarse con un servidor remoto, potencialmente para recibir instrucciones adicionales o extraer datos. Además, la actividad de ejecución de comandos que implica consultas de sesión de red indica que el troyano podría intentar recopilar información sobre el sistema y cualquier recurso de red conectado. Al igual que otros troyanos de esta categoría, Kryptik.JUE puede otorgar a los atacantes control remoto sobre la máquina infectada, eliminar o modificar archivos e instalar malware adicional.

Cómo suele llegar a los ordenadores

El troyano Kryptik JUE suele propagarse mediante métodos engañosos comunes en esta categoría de amenazas. A menudo se incluye en software descargado de sitios web poco fiables o comprometidos, o se entrega como archivo adjunto de correo electrónico disfrazado de un archivo inofensivo, como un ejecutable, una imagen o un vídeo. En algunos casos, puede explotar vulnerabilidades del sistema sin parchear para instalarse sin ninguna acción directa del usuario. Dado que el archivo puede disfrazarse con un nombre y una información del editor que parecen legítimos, los usuarios pueden ser engañados para ejecutarlo manualmente, creyendo que se trata de un visor de documentos inofensivo o una utilidad similar.

Riesgos para el usuario

La presencia de este troyano supone graves riesgos. Puede otorgar a los atacantes un control total sobre el equipo infectado, permitiéndoles robar información personal o financiera, monitorizar la actividad e instalar software malicioso adicional. Su capacidad para consultar información de las sesiones de red sugiere que también podría intentar propagarse o recopilar información a través de una red local, lo cual resulta especialmente preocupante en entornos empresariales o con ordenadores compartidos.

Signos de infección

Dado que este tipo de troyanos están diseñados para operar de forma sigilosa, las señales visibles pueden ser sutiles. Los usuarios deben estar atentos a ralentizaciones inesperadas, procesos desconocidos ejecutándose en segundo plano, actividad inusual en la red, desactivación del software de seguridad o ventanas emergentes y errores inesperados. Los programas que se bloquean inesperadamente o la aparición de nuevos archivos sin explicación también pueden indicar una intrusión.

Cómo mantenerse protegido

Para reducir el riesgo de infección, evite descargar software de sitios web no oficiales o sospechosos y nunca abra archivos adjuntos de correo electrónico de remitentes desconocidos o no verificados. Mantenga actualizados el sistema operativo y todas las aplicaciones instaladas para corregir las vulnerabilidades de seguridad conocidas. Realice copias de seguridad periódicas de sus archivos importantes, tenga precaución con los enlaces y descargas no solicitados y mantenga un software de seguridad confiable y actualizado para detectar y eliminar amenazas como Trojan.Kryptik.JUE antes de que puedan causar daños.

Reporte de análisis

Información general

Apellido:	Trojan.Kryptik.JUE
Estado de la firma:	Root Not Trusted

Muestras conocidas

i

Muestras conocidas

Esta sección enumera otras muestras de archivos que se cree que están asociadas con esta familia.

MD5: eb4425af985de82f82a01e4ecddef6fa SHA1: 3b54abfbc168d51402b38125303efecdc138cfc3 SHA256: FED29E36A91E006AA72ACD7FC52FFE19ED1DC66D9DB84919EA2AB8E94B0071BE Tamaño del archivo: 2.05 MB, 2048552 bytes

Atributos de ejecutables portátiles de Windows

i

Atributos de ejecutables portátiles de Windows

Esta sección enumera los atributos de archivo encontrados en muestras de la misma familia. Estos atributos se extraen de la especificación Windows PE (Portable Executable) de los archivos y de diversas marcas del sistema. Los atributos Portable Executable brindan a los investigadores de malware información sobre la funcionalidad del archivo, los detalles del ejecutable, la plataforma y el entorno de ejecución.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Iconos de archivo

i

Iconos de archivo

Esta sección muestra los recursos de iconos encontrados en muestras de la misma familia. El malware suele replicar iconos comúnmente asociados con software legítimo para engañar a los usuarios y hacerles creer que el malware es seguro.

Información de la versión de Windows PE

i

Información de la versión de Windows PE

Esta sección muestra los valores y atributos que se han configurado en la estructura de datos de información de versión de archivos de Windows para las muestras de esta familia. Para engañar a los usuarios, los ciberdelincuentes suelen añadir información de versión falsa que imita a software legítimo.

Nombre	Valor
Company Name	Adobe Inc.
File Description	Instruction Document Viewer
File Version	2.1.0.4
Legal Copyright	Copyright © 2025 Adobe Inc.
Original Filename	Instruction.exe
Product Name	Instruction Viewer
Product Version	2.1.0.4

Firmas digitales

i

Firmas digitales

Esta sección enumera las firmas digitales adjuntas a las muestras de esta familia. Al analizar y verificar las firmas digitales, es importante confirmar que la autoridad raíz de la firma sea una entidad reconocida y confiable, y que su estado sea válido. El malware suele firmarse con firmas digitales autofirmadas no confiables (que un autor de malware puede crear fácilmente sin verificación). También puede firmarse con firmas legítimas con un estado inválido, o con firmas de autoridades raíz dudosas con nombres de firmantes falsos o engañosos.

Firmante	Raíz	Estado
Flagship Promotion s. r. o.	SSL.com EV Root Certification Authority RSA R2	Root Not Trusted

Características de archivo

• ntdll
• x64

Información del bloque

i

Información del bloque

Durante el análisis, EnigmaSoft divide las muestras de archivos en bloques lógicos para su clasificación y comparación con otras muestras. Estos bloques se pueden usar para generar reglas de detección de malware y agrupar las muestras de archivos en familias según su código fuente, funcionalidad y otros atributos y características distintivas. Esta sección presenta un resumen de los datos de estos bloques, así como su clasificación por EnigmaSoft. También se muestra una representación visual de los datos de los bloques, cuando está disponible.

Bloques totales:	5,445
Bloqueos potencialmente maliciosos:	132
Bloqueos permitidos:	5,131
Bloques desconocidos:	182

Mapa visual

... Datos truncados

0 - Bloque seguro probable
? - Bloque desconocido
x - Bloqueo potencialmente malicioso

Modificaciones del registro

i

Modificaciones del registro

Esta sección enumera las claves y valores del registro que fueron creados, modificados o eliminados por muestras de esta familia. La actividad del Registro de Windows puede proporcionar información valiosa sobre la funcionalidad del malware. Además, el malware suele crear valores en el registro para iniciarse automáticamente y persistir indefinidamente después de que la infección inicial haya comprometido el sistema.

Clave::Valor	Datos	Nombre de la API
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe	G٪C;� 	RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe	㶔ᆭ㭃ǝ	RegNtPreCreateKey

Uso de la API de Windows

i

Uso de la API de Windows

Esta sección enumera las llamadas a la API de Windows que utilizan las muestras de esta familia. El análisis del uso de la API de Windows es una herramienta valiosa que puede ayudar a identificar actividades maliciosas, como el registro de pulsaciones de teclas, la escalada de privilegios de seguridad, el cifrado de datos, la exfiltración de datos, la interferencia con el software antivirus y la manipulación de solicitudes de red.

Categoría	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAddAtomEx ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcAcceptConnectPort ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcCreatePort ntdll.dll!NtAlpcOpenSenderProcess ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl Show 80 more ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateFile ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFindAtom ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenMutant ntdll.dll!NtOpenProcess ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRemoveIoCompletionEx ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetIoCompletion ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTerminateProcess ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForMultipleObjects ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	IsDebuggerPresent
User Data Access	GetUserObjectInformation
Process Terminate	TerminateProcess
Cert Store Read	CertOpenStore
Network Winsock2	WSASocket WSAStartup
Network Winsock	bind closesocket connect freeaddrinfo getaddrinfo

Ejecución de comandos de shell

i

Ejecución de comandos de shell

Esta sección enumera los comandos de la consola de Windows que ejecutan las muestras de esta familia. El malware suele utilizar los comandos de la consola de Windows con fines maliciosos, pudiendo emplearlos para elevar privilegios de seguridad, descargar y ejecutar otro malware, explotar vulnerabilidades, recopilar y extraer datos, y ocultar actividades maliciosas.

C:\WINDOWS\system32\cmd.exe "cmd" /C net session

C:\WINDOWS\system32\net.exe net session