Trojan.Meterpreter.GB
التهديدات بطاقة الأداء
EnigmaSoft بطاقة أداء التهديد
EnigmaSoft Threat Scorecards عبارة عن تقارير تقييم لتهديدات البرامج الضارة المختلفة والتي تم جمعها وتحليلها من قبل فريق البحث لدينا. تقوم بطاقات أداء التهديد EnigmaSoft بتقييم وتصنيف التهديدات باستخدام العديد من المقاييس بما في ذلك عوامل الخطر الواقعية والمحتملة ، والاتجاهات ، والتكرار ، والانتشار ، والمثابرة. يتم تحديث بطاقات EnigmaSoft Threat Scorecards بانتظام بناءً على بيانات ومقاييس البحث لدينا وهي مفيدة لمجموعة واسعة من مستخدمي الكمبيوتر ، من المستخدمين النهائيين الذين يبحثون عن حلول لإزالة البرامج الضارة من أنظمتهم إلى خبراء الأمن الذين يقومون بتحليل التهديدات.
تعرض بطاقات أداء التهديد EnigmaSoft مجموعة متنوعة من المعلومات المفيدة ، بما في ذلك:
تصنيف الشعبية: تصنيف تهديد معين في قاعدة بيانات التهديدات الخاصة بشركة EnigmaSoft.
مستوى الخطورة: مستوى الخطورة المحدد لشيء ما ، ممثلاً عدديًا ، بناءً على عملية نمذجة المخاطر والبحث لدينا ، كما هو موضح في معايير تقييم التهديدات الخاصة بنا.
أجهزة الكمبيوتر المصابة: عدد الحالات المؤكدة والمشتبه فيها لتهديد معين تم اكتشافه على أجهزة الكمبيوتر المصابة كما تم الإبلاغ عنها بواسطة SpyHunter.
راجع أيضًا معايير تقييم التهديد .
| مستوى التهديد: | 80 % (عالي) |
| الروية الأولى: | October 31, 2025 |
| اخر ظهور: | November 10, 2026 |
| نظام (أنظمة) متأثر: | Windows |
يُعدّ Trojan.Meterpreter.GB برنامجًا خبيثًا من نوع حصان طروادة لنظام ويندوز، ويُصنّف ضمن فئة الخطر 8 من 10. تتظاهر برامج حصان طروادة بأنها ملفات غير ضارة أو تختبئ داخلها، وتعمل بصمت بعد دخولها إلى جهاز الكمبيوتر. وفقًا لبيانات النظام، رُصد هذا البرنامج لأول مرة في 31 أكتوبر 2025، وآخر مرة في 10 نوفمبر 2026.
جدول المحتويات
ما يفعله التهديد
يقوم برنامج Meterpreter.GB بتثبيت نفسه خلسةً ويعمل بصمت في الخلفية، حيث ينفذ وظائف خبيثة. ويشير وصفه إلى أنه قد يمنح المخترقين سيطرة كاملة على النظام المصاب، وأنه قد يحذف الملفات سرًا.
يشير الاسم إلى Meterpreter، وهو مكون للتحكم عن بُعد. هذا استنتاج من الاسم، وليس حقيقة مؤكدة من المصدر. عادةً ما تسمح هذه التهديدات للمهاجم بتنفيذ الأوامر، والتنقل بين الملفات، ومراقبة ما يحدث على الجهاز. تعامل مع أي نظام يُظهر هذا الكشف على أنه قد يكون تحت سيطرة شخص آخر.
السمات التقنية الملحوظة
- العينة عبارة عن مكتبة ارتباط ديناميكي (DLL) لنظام ويندوز 32 بت ذات إنتروبيا عالية. تحتوي على جدول تصدير، ولكنها تفتقر إلى التوقيع الرقمي، والموارد، ومعلومات التصحيح، ومعلومات الأمان.
- إنه ليس تطبيقًا مضغوطًا، وهو تطبيق أصلي وليس تطبيقًا مبنيًا على .NET.
- يستخدم استدعاءات النظام منخفضة المستوى من خلال ntdll.dll، وهي طريقة للعمل بالقرب من نظام التشغيل.
- يستخدم هذا النظام NtUnmapViewOfSection، الذي يصنفه التحليل ضمن عمليات التلاعب بالعمليات والتهرب منها. كما يستخدم NtQuerySystemInformation، الذي يصنف ضمن عمليات التحقق من مكافحة التصحيح.
- يبدأ البرنامج عمليات جديدة باستخدام CreateProcess. في التشغيل المرصود، تم تشغيله عبر أداة rundll32 في نظام ويندوز من مجلد التنزيلات الخاص بالمستخدم. هذه طريقة شائعة لتشغيل مكتبة DLL خبيثة، لأن مكتبة DLL لا يمكنها البدء تلقائيًا.
كيف تصل عادةً إلى أجهزة الكمبيوتر
تشير التقارير إلى أن موقع Meterpreter.GB يصل عادةً بهذه الطرق:
- من خلال استغلال نقاط الضعف في النظام وعيوب الأمان؛
- من خلال تنزيل البرامج من مواقع ويب خبيثة؛
- من خلال مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادة ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.
تُعدّ أنواع الملفات المُخفية خدعة شائعة. فقد يكون الملف الذي يبدو كصورة أو فيديو برنامجًا في الواقع.
المخاطر التي يتعرض لها المستخدم
- فقدان السيطرة: قد يستولي المهاجم على جهاز الكمبيوتر.
- تلف الملفات: قد يتم حذف الملفات دون علمك.
- مخاطر الخصوصية: تسمح برامج التجسس التي تعمل عن بُعد عادةً بالوصول إلى المستندات الشخصية، وبيانات تسجيل الدخول المحفوظة، وغيرها من البيانات الحساسة. ولا يؤكد التقرير هذا الأمر بالنسبة لهذا الكشف تحديدًا.
- انتشار العدوى: يمكن عادةً استخدام حصان طروادة مزود بخاصية التحكم عن بعد لإدخال المزيد من البرامج الضارة.
علامات العدوى
صُمم هذا التهديد ليبقى خفيًا، لذا قد لا تظهر عليه أعراض واضحة. هذه العلامات نموذجية لهذه الفئة، ولم يتم تأكيدها لهذا الكشف:
- تباطؤ غير متوقع أو ارتفاع في نشاط وحدة المعالجة المركزية أو الشبكة عندما لا تقوم بأي شيء؛
- الملفات التي تختفي أو تتغير دون تفسير؛
- نشاط rundll32 غير مألوف أو عمليات غير معروفة في إدارة المهام؛
- تغيير إعدادات الأمان من تلقاء نفسها، أو فشل أدوات الأمان في البدء؛
- ملف تم تنزيله أو إرساله عبر البريد الإلكتروني مؤخراً، ويبدو أنه لم يفعل شيئاً عند فتحه.
كيفية الحفاظ على الحماية
- حافظ على تحديث نظام التشغيل ويندوز وبرامجك. يُعد استغلال الثغرات الأمنية أحد أهم طرق الإصابة، لذا فإن التحديثات الأمنية ضرورية.
- توخ الحذر عند التعامل مع مرفقات البريد الإلكتروني. لا تفتح الملفات من مرسلين مجهولين، وخاصة ملفات .exe أو .pif، أو أي "صورة" أو "فيديو" يطلب تشغيله.
- قم بتنزيل البرامج فقط من مصادرها الرسمية. تجنب المواقع التي تقدم نسخاً مقرصنة أو مجانية من البرامج المدفوعة.
- إظهار امتدادات الملفات في نظام التشغيل ويندوز حتى تتمكن من اكتشاف برنامج مختبئ خلف اسم صورة أو فيديو.
- استخدم أداة مكافحة البرامج الضارة ذات سمعة طيبة ومحدثة، وقم بإجراء عمليات فحص كاملة بانتظام.
- استخدم حساب مستخدم عادي للعمل اليومي، واحتفظ بنسخ احتياطية من الملفات المهمة دون اتصال بالإنترنت أو على وحدة تخزين منفصلة.
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have resources
- File doesn't have security information
- File has exports table
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
- dll
- HighEntropy
- x86
- ntdll.dll!NtAlpcSendWaitReceivePort
- ntdll.dll!NtClose
- ntdll.dll!NtCreateFile
- ntdll.dll!NtCreateSection
- ntdll.dll!NtFreeVirtualMemory
- ntdll.dll!NtMapViewOfSection
- ntdll.dll!NtOpenFile
- ntdll.dll!NtOpenKey
- ntdll.dll!NtOpenProcessToken
- ntdll.dll!NtQueryAttributesFile
- ntdll.dll!NtQueryDebugFilterState
- ntdll.dll!NtQueryInformationProcess
- ntdll.dll!NtQueryInformationToken
- ntdll.dll!NtQuerySystemInformationEx
- ntdll.dll!NtQueryValueKey
- ntdll.dll!NtQueryVirtualMemory
- ntdll.dll!NtQueryVolumeInformationFile
- ntdll.dll!NtReadFile
- ntdll.dll!NtSetEvent
- ntdll.dll!NtSetInformationFile
- ntdll.dll!NtSetInformationProcess
- ntdll.dll!NtSetInformationVirtualMemory
- ntdll.dll!NtSetInformationWorkerFactory
- ntdll.dll!NtTestAlert
- ntdll.dll!NtTraceControl
- ntdll.dll!NtUnmapViewOfSection
- ntdll.dll!NtWaitForSingleObject
- ntdll.dll!NtWriteFile
- NtUnmapViewOfSection
- CreateProcess
- NtQuerySystemInformation
إذا كنت تعتقد أن جهازك مصاب، فافصله عن الإنترنت وقم بإجراء فحص كامل باستخدام برنامج مكافحة برامج ضارة محدّث. ولأنّ برامج التجسس من هذا النوع قد تمنح شخصًا ما إمكانية الوصول عن بُعد، فغيّر كلمات مرور حساباتك المهمة بعد ذلك، باستخدام جهاز آخر نظيف.
تقرير التحليل
معلومات عامة
| اسم العائلة: | Trojan.Meterpreter.GB |
|---|---|
| حالة التوقيع: | No Signature |
عينات معروفة
عينات معروفة
يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.|
MD5:
93c53b8610228e74aaf31560f55d0d00
SHA1:
078677fc081dee45c757b750bf9fad593ebac5de
SHA256:
11A5CFED2DC4EF5C197BEBB8E692F7F0EB43BB19216E7CC8688F3D29FA0F716F
حجم الملف:
93.18 KB,93184 بايت
|
سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows
Show 2 more
سمات الملف
معلومات عن الكتلة
معلومات عن الكتلة
أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.| إجمالي الكتل: | 340 |
|---|---|
| الكتل التي يحتمل أن تكون ضارة: | 4 |
| الكتل المسموح بها: | 317 |
| كتل غير معروفة: | 19 |
خريطة مرئية
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا
استخدام واجهة برمجة تطبيقات ويندوز
استخدام واجهة برمجة تطبيقات ويندوز
يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.| فئة | واجهة برمجة التطبيقات (API) |
|---|---|
| Syscall Use |
Show 18 more |
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Anti Debug |
|
تنفيذ أوامر شل
تنفيذ أوامر شل
يسرد هذا القسم أوامر نظام التشغيل ويندوز التي تُشغّلها العينات في هذه المجموعة. غالبًا ما تستغل البرامج الضارة أوامر نظام التشغيل ويندوز لأغراض خبيثة، ويمكن استخدامها لرفع مستوى صلاحيات الأمان، وتنزيل برامج ضارة أخرى وتشغيلها، واستغلال الثغرات الأمنية، وجمع البيانات واستخراجها، وإخفاء الأنشطة الضارة.
C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\078677fc081dee45c757b750bf9fad593ebac5de_0000093184.,LiQMAxHB
|