حصان طروادة كريبتيك جنرال إي كي إل

يُعدّ Trojan.Kryptik.Gen.EKL حصان طروادة عالي الخطورة يستهدف أجهزة الكمبيوتر التي تعمل بنظام ويندوز. يُصنّف هذا التهديد على أنه خطير بدرجة خطورة 8 من 10، وهو مصمم للتسلل إلى الأنظمة خلسةً، وتنفيذ عمليات خبيثة في الخلفية، وربما منح المهاجمين السيطرة على الجهاز المصاب. ولأنه ينتمي إلى عائلة Kryptik الواسعة الانتشار من أحصنة طروادة، فإن Trojan.Kryptik.Gen.EKL يشترك في العديد من الخصائص مع برامج مماثلة مثل Trojan.Kryptik.Gen.FQK وTrojan.Kryptik.Gen.FZB، والتي تعتمد جميعها على أساليب التخفي والهروب المتشابهة.

ما يفعله حصان طروادة كريبتيك جنرال إي كي إل

بمجرد تفعيله على النظام، يعمل برنامج Trojan.Kryptik.Gen.EKL الخبيث بصمت في الخلفية دون أي واجهة مرئية، مما يصعب على المستخدم العادي ملاحظة أي شيء غير عادي. تم تصميمه كتطبيق أصلي لنظام ويندوز 32 بت، ويُظهر علامات على مستوى عالٍ من العشوائية، وهي سمة ترتبط غالبًا بالبرمجيات الخبيثة المُشفرة أو المُبهمة المصممة لمقاومة التحليل والكشف. كما وُجد أن العينة التي تمت ملاحظتها تحمل توقيعًا رقميًا لا يتطابق مع تجزئة ملفها، مما يعني أنها حاولت الظهور بتوقيع شرعي بينما فشلت في التحقق - وهي حيلة شائعة يستخدمها مطورو البرامج الخبيثة لإضفاء مصداقية زائفة على ملفاتهم.

من الناحية السلوكية، لوحظ أن هذا الحصان الطروادي يستخدم تقنيات مرتبطة بالتلاعب بالعمليات والتهرب منها، بما في ذلك أساليب يمكن استخدامها لتفريغ أو التلاعب بالعمليات المشروعة في الذاكرة. كما لوحظ أيضًا وصوله إلى معلومات كائنات المستخدم، وهو ما قد يمثل خطوة نحو المراقبة أو استطلاع النظام بشكل أوسع. أثناء الإصابة، يقوم بإنشاء وتعديل ملفات ذاكرة التخزين المؤقت والبيانات الوصفية في مجلدات النظام المخفية، والتي قد يستخدمها لتخزين المكونات التي تم تنزيلها، أو بيانات التكوين، أو المعلومات المسروقة قبل إرسالها إلى مكان آخر.

كيف يصل عادةً إلى أجهزة الكمبيوتر

كغيرها من معظم التهديدات في عائلة كريبتيك، ينتشر فيروس Trojan.Kryptik.Gen.EKL عادةً عبر وسائل خادعة بدلاً من استغلال ثغرة أمنية محددة. تشمل طرق الإصابة الشائعة البرامج التي يتم تنزيلها من مواقع ويب غير موثوقة أو مخترقة، وملفات التثبيت المجمعة، ومرفقات البريد الإلكتروني المُتنكرة كملفات غير ضارة - بما في ذلك الملفات التنفيذية وملفات الوسائط وملفات الصور التي تخفي في الواقع شفرة خبيثة. في كثير من الحالات، قد يصل الفيروس أيضًا من خلال استغلال ثغرات أمنية غير مُعالجة في النظام، مما يسمح له بتثبيت نفسه دون علم المستخدم أو موافقته.

المخاطر التي قد يتعرض لها المستخدم

قد تكون عواقب الإصابة ببرنامج Trojan.Kryptik.Gen.EKL وخيمة. فبمجرد استقراره، يمنح هذا النوع من برامج التجسس المهاجمين عن بُعد سيطرةً كبيرةً على الجهاز المصاب، مما قد يسمح لهم بسرقة البيانات الحساسة، وتثبيت برامج ضارة إضافية، ومراقبة نشاط المستخدم، أو استخدام النظام كمنصة انطلاق لشنّ هجمات أخرى. كما أن أساليب التخفي التي يتبعها تجعل من الصعب على أدوات الأمان والمستخدمين على حد سواء اكتشافه وإزالته، مما يزيد من خطر الاختراق المطوّل دون اكتشافه.

علامات العدوى

نظرًا لأن برامج التجسس من هذا النوع مصممة للعمل سرًا، فغالبًا ما يصعب اكتشافها. لذا، ينبغي على المستخدمين مراقبة أي تباطؤ غير مبرر في النظام، أو نشاط غير معتاد على الشبكة، أو ظهور ملفات غير مألوفة في مجلدات النظام، أو حدوث أعطال مفاجئة، أو قيام برامج الحماية بالإبلاغ عن اكتشافات مشبوهة. كما يُعد وجود ملفات ذاكرة تخزين مؤقت أو بيانات وصفية غير معروفة في مجلدات بيانات التطبيقات المخفية، كما هو الحال مع هذا التهديد، علامة تحذيرية.

كيفية الحفاظ على الحماية

لتقليل خطر الإصابة، تجنب تنزيل البرامج من مواقع غير رسمية أو مشبوهة، ولا تفتح أبدًا مرفقات البريد الإلكتروني من مرسلين مجهولين أو غير موثوق بهم. حافظ على تحديث نظام التشغيل ويندوز وجميع البرامج المثبتة لسد الثغرات الأمنية التي تستغلها برامج التجسس عادةً. يساعد تشغيل برامج أمان موثوقة ومحدثة، وإجراء فحوصات دورية للنظام، على اكتشاف وإزالة تهديدات مثل Trojan.Kryptik.Gen.EKL قبل أن تتسبب في أضرار دائمة. كما أن الاحتفاظ بنسخ احتياطية منتظمة للبيانات المهمة يُساعد في الحد من تأثير أي إصابة ناجحة.

تقرير التحليل

معلومات عامة

اسم العائلة:	Trojan.Kryptik.Gen.EKL
حالة التوقيع:	Hash Mismatch

عينات معروفة

i

عينات معروفة

يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.

MD5: 6ee24211c870cfa69b6f3308459668df SHA1: 78f05bd41f29448afecd416bd6545371282f3c39 SHA256: 63BA3A7317F12EFB1090152C900234CBE86477B81CEEFAC2987055D289D8FE1D حجم الملف: 657.68 KB,657680 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

i

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

يسرد هذا القسم سمات الملفات الموجودة ضمن عينات من عائلة البرامج الضارة. تُستخرج هذه السمات من مواصفات ملفات Windows PE (الملفات التنفيذية المحمولة) وعلامات النظام المختلفة. تُتيح سمات الملفات التنفيذية المحمولة لباحثي البرامج الضارة فهمًا أعمق لوظائف الملف، وتفاصيل تنفيذه، ونظام التشغيل، وبيئة التشغيل.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

أيقونات الملفات

i

أيقونات الملفات

يعرض هذا القسم موارد الأيقونات الموجودة ضمن عينات البرامج الضارة. غالبًا ما تُقلّد البرامج الضارة الأيقونات المرتبطة عادةً بالبرامج الشرعية لتضليل المستخدمين وإيهامهم بأن هذه البرامج الضارة آمنة.

معلومات إصدار Windows PE

i

معلومات إصدار Windows PE

يعرض هذا القسم القيم والخصائص التي تم ضبطها في بنية بيانات معلومات إصدار ملفات ويندوز لعينات ضمن هذه المجموعة. ولخداع المستخدمين، غالبًا ما يضيف مبتكرو البرامج الضارة معلومات إصدار مزيفة تحاكي البرامج الشرعية.

اسم	قيمة
File Version	1.0.0.0
Product Version	1.0.0.0

التوقيعات الرقمية

i

التوقيعات الرقمية

يسرد هذا القسم التوقيعات الرقمية المرفقة بعينات ضمن هذه المجموعة. عند تحليل التوقيعات الرقمية والتحقق منها، من المهم التأكد من أن الجهة المصدرة للتوقيع كيان معروف وموثوق، وأن حالة التوقيع سليمة. غالبًا ما تُوقّع البرامج الضارة بتوقيعات رقمية "ذاتية التوقيع" غير موثوقة (والتي يُمكن لمطور البرامج الضارة إنشاؤها بسهولة دون أي تحقق). قد تُوقّع البرامج الضارة أيضًا بتوقيعات شرعية ذات حالة غير صالحة، وبتوقيعات من جهات مصدرية مشكوك فيها بأسماء "موقّعين" مزيفة أو مضللة.

الموقع	جذر	حالة
QIHU 360 SOFTWARE CO. LIMITED	Symantec Class 3 SHA256 Code Signing CA	Hash Mismatch
QIHU 360 SOFTWARE CO. LIMITED	VeriSign Class 3 Code Signing 2010 CA	Hash Mismatch

سمات الملف

• HighEntropy
• x86

معلومات عن الكتلة

i

معلومات عن الكتلة

أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.

إجمالي الكتل:	1,996
الكتل التي يحتمل أن تكون ضارة:	2
الكتل المسموح بها:	1,994
كتل غير معروفة:	0

خريطة مرئية

0 - كتلة آمنة محتملة
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا

عائلات متشابهة

i

عائلات متشابهة

يسرد هذا القسم عائلات أخرى تتشابه مع هذه العائلة، استنادًا إلى تحليل شركة إنيغما سوفت. تُصنع العديد من عائلات البرامج الضارة من نفس أدوات البرمجة الخبيثة، وتستخدم نفس تقنيات التغليف والتشفير، ولكنها تتميز بوظائف إضافية فريدة. قد تشترك العائلات المتشابهة أيضًا في شفرة المصدر، والخصائص، والأيقونات، والمكونات الفرعية، والتوقيعات الرقمية المخترقة أو غير الصالحة، وخصائص الشبكة. يستفيد الباحثون من هذه التشابهات لفرز عينات الملفات بسرعة وفعالية، وتوسيع نطاق قواعد الكشف عن البرامج الضارة.

• Banload.XT
• Kryptik.BDEA
• Trojan.Krypt.Gen.RNS
• Trojan.Kryptik.Gen.EKL
• Trojan.Kryptik.Gen.FQK

Show 1 more

• Trojan.Kryptik.Gen.FZB

تم تعديل الملفات

i

تم تعديل الملفات

يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.

ملف	صفات
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\8b2b9a00839eed1dfdccc3bfc2f5df12	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\b46811c17859ffb409cf0e904a4aa8f8	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\f93e23f30c5b44ae13f273c2767b494e	Generic Read,Write Data,Write Attributes,Write extended,Append data

تعديلات السجل

i

تعديلات السجل

يسرد هذا القسم مفاتيح وقيم سجل النظام التي أنشأتها أو عدّلتها أو حذفتها عينات من هذه العائلة. يمكن أن يوفر نشاط سجل نظام ويندوز معلومات قيّمة حول وظائف البرامج الضارة. بالإضافة إلى ذلك، غالبًا ما تُنشئ البرامج الضارة قيمًا في سجل النظام لتمكينها من بدء التشغيل تلقائيًا والاستمرار إلى أجل غير مسمى بعد اختراق النظام في البداية.

المفتاح::القيمة	بيانات	اسم واجهة برمجة التطبيقات
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey

استخدام واجهة برمجة تطبيقات ويندوز

i

استخدام واجهة برمجة تطبيقات ويندوز

يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.

فئة	واجهة برمجة التطبيقات (API)
User Data Access	GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection