Trojan.Downloader.Agent.NAU
التهديدات بطاقة الأداء
EnigmaSoft بطاقة أداء التهديد
EnigmaSoft Threat Scorecards عبارة عن تقارير تقييم لتهديدات البرامج الضارة المختلفة والتي تم جمعها وتحليلها من قبل فريق البحث لدينا. تقوم بطاقات أداء التهديد EnigmaSoft بتقييم وتصنيف التهديدات باستخدام العديد من المقاييس بما في ذلك عوامل الخطر الواقعية والمحتملة ، والاتجاهات ، والتكرار ، والانتشار ، والمثابرة. يتم تحديث بطاقات EnigmaSoft Threat Scorecards بانتظام بناءً على بيانات ومقاييس البحث لدينا وهي مفيدة لمجموعة واسعة من مستخدمي الكمبيوتر ، من المستخدمين النهائيين الذين يبحثون عن حلول لإزالة البرامج الضارة من أنظمتهم إلى خبراء الأمن الذين يقومون بتحليل التهديدات.
تعرض بطاقات أداء التهديد EnigmaSoft مجموعة متنوعة من المعلومات المفيدة ، بما في ذلك:
تصنيف الشعبية: تصنيف تهديد معين في قاعدة بيانات التهديدات الخاصة بشركة EnigmaSoft.
مستوى الخطورة: مستوى الخطورة المحدد لشيء ما ، ممثلاً عدديًا ، بناءً على عملية نمذجة المخاطر والبحث لدينا ، كما هو موضح في معايير تقييم التهديدات الخاصة بنا.
أجهزة الكمبيوتر المصابة: عدد الحالات المؤكدة والمشتبه فيها لتهديد معين تم اكتشافه على أجهزة الكمبيوتر المصابة كما تم الإبلاغ عنها بواسطة SpyHunter.
راجع أيضًا معايير تقييم التهديد .
| ترتيب الشعبية: | 15,408 |
| مستوى التهديد: | 80 % (عالي) |
| أجهزة الكمبيوتر المصابة: | 18 |
| الروية الأولى: | February 8, 2024 |
| اخر ظهور: | October 9, 2026 |
| نظام (أنظمة) متأثر: | Windows |
برنامج Trojan.Downloader.Agent.NAU هو برنامج خبيث لنظام ويندوز، يُصنف ضمن برامج تنزيل برامج التجسس. لا يهدف هذا البرنامج بشكل مباشر إلى إحداث ضرر واضح، بل إلى تمهيد الطريق لبرامج خبيثة أخرى عن طريق تنزيل وتثبيت مكونات خبيثة إضافية على جهاز الكمبيوتر المصاب. رُصد هذا البرنامج لأول مرة في فبراير 2024، ولا يزال يُكتشف حتى الآن، ويُصنف ضمن البرامج الخطيرة للغاية لقدرته على أن يكون نقطة انطلاق لبرامج خبيثة أخرى أكثر ضررًا.
جدول المحتويات
ما يفعله برنامج Trojan.Downloader.Agent.NAU
بمجرد تفعيله على النظام، يعمل برنامج Trojan.Downloader.Agent.NAU الخبيث في الخلفية بصمت، مُخفيًا وجوده عن المستخدم. صُمم هذا البرنامج للتثبيت الخفي ثم تنفيذ وظائف ضارة دون أي علامات ظاهرة للنشاط. يُظهر تحليل سلوكه أنه قادر على تشغيل أداة Windows PowerShell بنوافذ مخفية وتجاوز سياسات التنفيذ، مما يسمح له بتشغيل البرامج النصية والأوامر دون إثارة تنبيهات الأمان المعتادة. كما يتفاعل مع عمليات النظام، ويتحقق من وجود أدوات تصحيح الأخطاء، ويجمع معلومات عن المستخدم المُسجل دخوله، مثل اسم المستخدم وإعدادات اللغة. تشير هذه القدرات إلى أن هذا البرنامج الخبيث مصمم للعمل سرًا مع تهيئة النظام لمزيد من الاختراق، مثل تنزيل حمولات إضافية، أو السماح للمهاجمين عن بُعد بالسيطرة على النظام، أو جمع البيانات الحساسة.
كيف يصل عادةً إلى أجهزة الكمبيوتر
ينتشر برنامج Trojan.Downloader.Agent.NAU عادةً باستغلال ثغرات النظام ونقاط ضعفه الأمنية. وغالبًا ما يُرفق ببرامج يتم تنزيلها من مواقع ويب غير موثوقة أو خبيثة، أو يُرسل عبر مرفقات البريد الإلكتروني من مرسلين مجهولين أو مشبوهين. ويمكن إخفاء هذه المرفقات كملفات عادية، بما في ذلك الملفات التنفيذية وملفات الوسائط وحتى ملفات الصور، لخداع المستخدمين وفتحها. وكما هو معتاد في برامج التجسس من نوع التنزيل، غالبًا ما تحدث الإصابة دون أي تحذير واضح، لأن الملف الخبيث قد يبدو غير ضار للوهلة الأولى.
المخاطر التي قد يتعرض لها المستخدم
نظرًا لأن هذا الحصان الطروادي هو في الأساس برنامج تنزيل، فإن أكبر خطر يكمن فيما قد يُلحقه بالنظام لاحقًا. فقد يسمح للمخترقين بالسيطرة الكاملة على الحاسوب المصاب، مما قد يؤدي إلى تثبيت برامج تجسس، أو برامج فدية، أو برامج سرقة كلمات المرور، أو غيرها من البرامج الخطيرة. ويشير استخدامه لأوامر PowerShell المخفية واستدعاءات النظام ذات الصلاحيات إلى قدرته على محاولة رفع مستوى وصوله وتنفيذ إجراءات يصعب على المستخدم العادي اكتشافها. وفي حال عدم معالجته، فقد يؤدي ذلك إلى سرقة بيانات الاعتماد، أو خسائر مالية، أو تلف الملفات، أو اختراق النظام بشكل خطير.
علامات العدوى
نظرًا لأن برنامج Trojan.Downloader.Agent.NAU مصمم للعمل في الخفاء، فقد تكون الأعراض الظاهرة طفيفة. مع ذلك، ينبغي على المستخدمين مراقبة أي تباطؤ غير مبرر، أو عمليات خلفية غير معتادة، أو ظهور نوافذ PowerShell بشكل مفاجئ لفترة وجيزة، أو ارتفاع مفاجئ في نشاط الشبكة، أو ظهور ملفات جديدة وغير مألوفة في المجلدات المؤقتة. غالبًا ما يكون رصد برامج الأمان للبرامج النصية المشبوهة أو اكتشاف اسم حصان طروادة هذا تحديدًا هو أوضح مؤشر على الإصابة.
كيفية الحفاظ على الحماية
لتقليل خطر الإصابة، تجنب تنزيل البرامج من مواقع غير رسمية أو غير موثوقة، ولا تفتح أبدًا مرفقات البريد الإلكتروني من مرسلين مجهولين أو غير متوقعين، وخاصة الملفات التنفيذية أو الملفات ذات الامتدادات غير المألوفة. حافظ على تحديث نظام التشغيل ويندوز وجميع البرامج المثبتة، لأن هذا الفيروس يعتمد على استغلال الثغرات الأمنية غير المُعالجة. احرص على عمل نسخ احتياطية منتظمة للملفات المهمة، وتوخَّ الحذر عند تفعيل وحدات الماكرو أو تشغيل البرامج النصية، واستخدم حلًا أمنيًا موثوقًا ومُحدّثًا باستمرار للكشف عن التهديدات مثل Trojan.Downloader.Agent.NAU وحظرها قبل أن تُسبب أي ضرر.
تقرير التحليل
معلومات عامة
| اسم العائلة: | Trojan.Downloader.Agent.NAU |
|---|---|
| حالة التوقيع: | No Signature |
عينات معروفة
عينات معروفة
يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.|
MD5:
48f1316432f4b9714542cf733d936ed8
SHA1:
34917dad9f0977a1d3e8d7228b60246615bc28dd
SHA256:
BA2FE025F1D1EEE75D547CE5BE1340A09FFEB83F35883D367B4095FFCA60C257
حجم الملف:
135.17 KB,135168 بايت
|
سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows
- File doesn't have "Rich" header
- File doesn't have resources
- File doesn't have security information
- File has exports table
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
سمات الملف
- dll
- x64
معلومات عن الكتلة
معلومات عن الكتلة
أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.| إجمالي الكتل: | 478 |
|---|---|
| الكتل التي يحتمل أن تكون ضارة: | 16 |
| الكتل المسموح بها: | 461 |
| كتل غير معروفة: | 1 |
خريطة مرئية
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا
تم تعديل الملفات
تم تعديل الملفات
يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.| ملف | صفات |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134330117538528711.4124.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_5ho5pj4z.44r.psm1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_oih24goz.lbn.ps1 | Generic Write,Read Attributes |
تعديلات السجل
تعديلات السجل
يسرد هذا القسم مفاتيح وقيم سجل النظام التي أنشأتها أو عدّلتها أو حذفتها عينات من هذه العائلة. يمكن أن يوفر نشاط سجل نظام ويندوز معلومات قيّمة حول وظائف البرامج الضارة. بالإضافة إلى ذلك، غالبًا ما تُنشئ البرامج الضارة قيمًا في سجل النظام لتمكينها من بدء التشغيل تلقائيًا والاستمرار إلى أجل غير مسمى بعد اختراق النظام في البداية.| المفتاح::القيمة | بيانات | اسم واجهة برمجة التطبيقات |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe | 멁㲇ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᏽ멉㲇ǝ | RegNtPreCreateKey |
استخدام واجهة برمجة تطبيقات ويندوز
استخدام واجهة برمجة تطبيقات ويندوز
يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.| فئة | واجهة برمجة التطبيقات (API) |
|---|---|
| Syscall Use |
Show 90 more
لم يتم عرض 26 عنصرًا إضافيًا أعلاه. |
| Anti Debug |
|
| User Data Access |
|
| Process Shell Execute |
|
| Encryption Used |
|
| Other Suspicious |
|
تنفيذ أوامر شل
تنفيذ أوامر شل
يسرد هذا القسم أوامر نظام التشغيل ويندوز التي تُشغّلها العينات في هذه المجموعة. غالبًا ما تستغل البرامج الضارة أوامر نظام التشغيل ويندوز لأغراض خبيثة، ويمكن استخدامها لرفع مستوى صلاحيات الأمان، وتنزيل برامج ضارة أخرى وتشغيلها، واستغلال الثغرات الأمنية، وجمع البيانات واستخراجها، وإخفاء الأنشطة الضارة.
C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe powershell.exe -windowstyle hidden -NoProfile -ExecutionPolicy bypass -Command $mydir = [System.Environment]::GetFolderPath('CommonApplicationData')
|