Trojan.Lotok.V

يُعدّ Trojan.Lotok.V حصان طروادة يعمل على نظام ويندوز، ويُصنّف ضمن البرامج شديدة الخطورة، حيث تبلغ درجة خطورته 8 من 10. وكما هو الحال مع معظم البرامج الخبيثة في هذه الفئة، صُمّم هذا البرنامج للتسلل إلى الحاسوب خلسةً، وتجنّب اكتشافه، وتنفيذ تعليمات خبيثة في الخلفية دون علم المستخدم أو موافقته. رُصد Lotok.V لأول مرة في منتصف ديسمبر 2025، ولا يزال يُكتشف حتى أكتوبر 2026، مما يجعله تهديدًا نشطًا يجب على مستخدمي ويندوز أخذه على محمل الجد.

ما يفعله فيروس Trojan.Lotok.V

بمجرد تفعيله على النظام، يعمل برنامج Lotok.V بصمت في الخلفية، وينفذ مجموعة من الوظائف الضارة. غالبًا ما يتنكر في هيئة حزمة تثبيت شرعية ذاتية الاستخراج، مما يسمح له بالاندماج مع عملية تثبيت البرامج العادية وتجنب إثارة الشكوك. من خلال هذا التمويه، يستطيع هذا البرنامج الخبيث استخراج مكونات مخفية إلى مجلدات مؤقتة وتشغيل ملفات تنفيذية إضافية دون أي تنبيه مرئي للمستخدم.

يُظهر التحليل التقني أن هذا الحصان الطروادي يستخدم تقنيات مرتبطة بالتلاعب بالعمليات والتهرب منها، مثل إلغاء تخصيص أجزاء من الذاكرة وقراءة ذاكرة العمليات، وهي تقنيات شائعة لحقن التعليمات البرمجية في عمليات أخرى قيد التشغيل أو لإخفاء نشاطه الحقيقي عن أدوات الأمان. كما يتحقق من وجود مصحح الأخطاء، وهو أسلوب شائع تستخدمه البرامج الضارة لاكتشاف بيئات التحليل وتجنب الدراسة. بالإضافة إلى ذلك، يجمع معلومات أساسية عن النظام والمستخدم، مثل اسم الجهاز واسم المستخدم، والتي يمكن استخدامها لتحديد بصمة الجهاز المصاب أو لتصميم هجمات أخرى.

بمجرد تثبيته بالكامل، قد يمنح برنامج Lotok.V المهاجمين مستوىً عالياً من التحكم في النظام المصاب. وقد يشمل ذلك حذف الملفات سراً، وتثبيت برامج ضارة إضافية، وسرقة كلمات المرور وغيرها من البيانات الحساسة، وتنفيذ المزيد من الإجراءات الخبيثة التي يمليها مهاجم عن بُعد.

كيف يصل عادةً إلى أجهزة الكمبيوتر

ينتشر فيروس Trojan.Lotok.V عادةً عن طريق استغلال ثغرات النظام ونقاط الضعف الأمنية، أو من خلال التنزيلات من مواقع ويب مخترقة أو خبيثة، أو عبر مرفقات البريد الإلكتروني من مصادر غير موثوقة. قد تُخفى هذه المرفقات باستخدام أنواع ملفات متنوعة، بما في ذلك ملفات .exe و .pif و .avi وحتى .jpg، لخداع المستخدمين وحملهم على فتحها. ولأن هذا الفيروس قادر على التخفي في هيئة برنامج تثبيت شرعي، فقد يقوم المستخدمون بتشغيله دون علمهم ظنًا منهم أنهم يُثبّتون برنامجًا غير ضار أو مفيد.

المخاطر التي يتعرض لها المستخدم

يشكل وجود برنامج Lotok.V الخبيث على النظام مخاطر جسيمة. فقد يتمكن المهاجمون من السيطرة عن بُعد على الحاسوب المصاب، مما قد يؤدي إلى سرقة البيانات، وخسائر مالية، وسرقة الهوية، وانتشار برامج خبيثة أخرى. كما أن قدرة هذا البرنامج على حذف الملفات وتثبيت برامج خبيثة إضافية قد تتسبب في عدم استقرار النظام، وفقدان البيانات، واختراق الجهاز بشكل يصعب استعادته بالكامل دون تدخل متخصص.

علامات العدوى

يصعب عادةً اكتشاف هذا النوع من الإصابات لأن البرامج الضارة مصممة للعمل بشكل خفي. مع ذلك، قد يلاحظ المستخدمون ظهور ملفات مؤقتة غير معتادة في مجلدات النظام، أو تشغيل عمليات غير متوقعة من تلقاء نفسها، أو تباطؤ أداء النظام، أو ظهور برامج أو ملفات غير مألوفة دون تفسير، أو تعطيل برامج الحماية أو تعطلها.

كيفية الحفاظ على الحماية

لتقليل خطر الإصابة، ينبغي على المستخدمين تجنب تنزيل البرامج من مواقع غير موثوقة أو غير رسمية، وتوخي الحذر من مرفقات البريد الإلكتروني غير المرغوب فيها بغض النظر عن امتداد الملف، والحرص على تحديث نظام التشغيل وجميع البرامج المثبتة باستمرار لسد الثغرات الأمنية المعروفة. كما أن تشغيل برامج أمان موثوقة ومحدثة، وإجراء فحوصات دورية للنظام، يساعد في اكتشاف وإزالة تهديدات مثل Lotok.V قبل أن تتسبب في أضرار جسيمة. ويُعدّ الاحتفاظ بنسخ احتياطية منتظمة للملفات المهمة إجراءً وقائيًا حكيمًا ضد فقدان البيانات الناتج عن هذا النوع من برامج التجسس.

تقرير التحليل

معلومات عامة

اسم العائلة:	Trojan.Lotok.V
حالة التوقيع:	No Signature

عينات معروفة

i

عينات معروفة

يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.

MD5: 852f249c7e06ec8d8ef23ec284fbd184 SHA1: 4f0a6a002965dc1fb6c928bf024c0b5ed3c546f4 SHA256: 98099691E2B6B30273B7ADA851BD6225F07E6E2360D08CE31ADEF835D4AD7741 حجم الملف: 4.46 MB,4457918 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

i

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

يسرد هذا القسم سمات الملفات الموجودة ضمن عينات من عائلة البرامج الضارة. تُستخرج هذه السمات من مواصفات ملفات Windows PE (الملفات التنفيذية المحمولة) وعلامات النظام المختلفة. تُتيح سمات الملفات التنفيذية المحمولة لباحثي البرامج الضارة فهمًا أعمق لوظائف الملف، وتفاصيل تنفيذه، ونظام التشغيل، وبيئة التشغيل.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

عرض المزيد

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

أيقونات الملفات

i

أيقونات الملفات

يعرض هذا القسم موارد الأيقونات الموجودة ضمن عينات البرامج الضارة. غالبًا ما تُقلّد البرامج الضارة الأيقونات المرتبطة عادةً بالبرامج الشرعية لتضليل المستخدمين وإيهامهم بأن هذه البرامج الضارة آمنة.

معلومات إصدار Windows PE

i

معلومات إصدار Windows PE

يعرض هذا القسم القيم والخصائص التي تم ضبطها في بنية بيانات معلومات إصدار ملفات ويندوز لعينات ضمن هذه المجموعة. ولخداع المستخدمين، غالبًا ما يضيف مبتكرو البرامج الضارة معلومات إصدار مزيفة تحاكي البرامج الشرعية.

اسم	قيمة
Company Name	Igor Pavlov
File Description	7z Setup SFX
File Version	4.65
Internal Name	7zS.sfx
Legal Copyright	Copyright (c) 1999-2009 Igor Pavlov
Original Filename	7zS.sfx.exe
Product Name	7-Zip
Product Version	4.65

سمات الملف

• big overlay
• Gentee
• HighEntropy
• Installer Manifest
• Installer Version
• x86

تم تعديل الملفات

i

تم تعديل الملفات

يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.

ملف	صفات
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp	Synchronize,Write Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\bios.rom	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\bios.rom	Synchronize,Write Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\ec.rom	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\ec.rom	Synchronize,Write Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\setup.exe	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\7zs5bd3.tmp\setup.exe	Synchronize,Write Attributes
c:\users\user\appdata\local\temp\genteeea.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\genteeea\guig.dll	Generic Read,Write Data,Write Attributes,Write extended,Append data

عرض المزيد

c:\users\user\appdata\local\temp\genteeea\setup_temp.gea	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\genteert.dll	Generic Read,Write Data,Write Attributes,Write extended,Append data

تعديلات السجل

i

تعديلات السجل

يسرد هذا القسم مفاتيح وقيم سجل النظام التي أنشأتها أو عدّلتها أو حذفتها عينات من هذه العائلة. يمكن أن يوفر نشاط سجل نظام ويندوز معلومات قيّمة حول وظائف البرامج الضارة. بالإضافة إلى ذلك، غالبًا ما تُنشئ البرامج الضارة قيمًا في سجل النظام لتمكينها من بدء التشغيل تلقائيًا والاستمرار إلى أجل غير مسمى بعد اختراق النظام في البداية.

المفتاح::القيمة	بيانات	اسم واجهة برمجة التطبيقات
HKCU\software\microsoft\ctf\msutb::left	ঔ	RegNtPreCreateKey
HKCU\software\microsoft\ctf\msutb::top		RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n / �v�ZT�����Bx#�� %� (�(X�1`1�1HO@V�H[uH�pN$ _�za$ b"hk`k�ql(�{b��P���! �/��Hu��� ����3 ���������X�����.�m�Ù��gi �V����$ �8წ���l�A �~� �=�SB1_B��T�Vw�`�V �R	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n 0 �v�ZT�����Bx#�� %� (�(X�1`1�1HO@V�H[uH�pN$ _�za$ b"he�vk`k�ql(�{b��P���! �/��Hu��� ����3 ���������X�����.�m�Ù��gi �V����$ �8წ���l�A �~� �=�SB1_B��T�Vw�`�	RegNtPreCreateKey

استخدام واجهة برمجة تطبيقات ويندوز

i

استخدام واجهة برمجة تطبيقات ويندوز

يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.

فئة	واجهة برمجة التطبيقات (API)
Anti Debug	IsDebuggerPresent
User Data Access	GetComputerName GetUserName GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess

تنفيذ أوامر شل

i

تنفيذ أوامر شل

يسرد هذا القسم أوامر نظام التشغيل ويندوز التي تُشغّلها العينات في هذه المجموعة. غالبًا ما تستغل البرامج الضارة أوامر نظام التشغيل ويندوز لأغراض خبيثة، ويمكن استخدامها لرفع مستوى صلاحيات الأمان، وتنزيل برامج ضارة أخرى وتشغيلها، واستغلال الثغرات الأمنية، وجمع البيانات واستخراجها، وإخفاء الأنشطة الضارة.

.\setup.exe