قاعدة بيانات التهديد أحصنة طروادة Trojan.MSIL.Krypt.ACAO

Trojan.MSIL.Krypt.ACAO

بواسطة CagedTech في أحصنة طروادة
تاريخ النشر:
ترجمة الى:

التهديدات بطاقة الأداء

ترتيب الشعبية: 22,375
مستوى التهديد: 80 % (عالي)
أجهزة الكمبيوتر المصابة: 5
الروية الأولى: February 23, 2023
اخر ظهور: October 17, 2026
نظام (أنظمة) متأثر: Windows

Trojan.MSIL.Krypt.ACAO هو حصان طروادة يعمل على نظام ويندوز، مبني على إطار عمل مايكروسوفت دوت نت، ومصمم للتسلل إلى الأنظمة خلسةً وتنفيذ تعليمات خبيثة دون علم المستخدم. يُصنف هذا التهديد بمستوى خطورة 8 من 10، وهو نشط منذ أوائل عام 2023، ولا يزال يُكتشف على الأنظمة، مما يجعله مصدر قلق مستمر لمستخدمي ويندوز.

ما يفعله برنامج Trojan.MSIL.Krypt.ACAO

بمجرد تفعيله على النظام، يعمل برنامج Trojan.MSIL.Krypt.ACAO الخبيث بصمت في الخلفية، متجنبًا أي علامات واضحة قد تنبه المستخدم لوجوده. وهو مُجمّع كملف تنفيذي 64 بت بتقنية .NET، وغير موقّع رقميًا، مما يعني أنه يفتقر إلى آلية التحقق التي توفرها عادةً شركات البرمجيات الموثوقة. وقد لوحظ قيام هذا البرنامج الخبيث بإنشاء وتعديل ملفات داخل مجلدات بيانات التطبيقات المخفية في ملف تعريف المستخدم، بما في ذلك ملفات التكوين والملفات المؤقتة، مما يشير إلى أنه يُرسي وجودًا دائمًا وقد يخزن إعدادات أو بيانات متعلقة بعمله.

يستخدم هذا الحصان الطروادي وظائف نظامية متعلقة بالتشفير، مما قد يشير إلى أنه مصمم لحماية شفرته البرمجية، أو اتصالاته، أو بياناته المسروقة من التحليل السهل. كما يتحقق من وجود أدوات تصحيح الأخطاء، وهي تقنية شائعة الاستخدام في البرامج الضارة لاكتشاف متى يتم فحصها من قبل باحثي الأمن، وللتهرب من التحليل. علاوة على ذلك، قد يكون Trojan.MSIL.Krypt.ACAO قادرًا على منح المهاجمين إمكانية الوصول عن بُعد إلى الجهاز المصاب، مما قد يسمح لهم بحذف الملفات، أو تثبيت برامج ضارة إضافية، أو التلاعب بالنظام بطرق ضارة أخرى.

كيف يصل عادةً إلى أجهزة الكمبيوتر

كغيره من برامج التجسس الخبيثة من عائلة Trojan، ينتشر Trojan.MSIL.Krypt.ACAO عادةً عبر وسائل خادعة بدلاً من استغلال ثغرة أمنية محددة. تشمل طرق الإصابة الشائعة تنزيل البرامج من مواقع ويب غير موثوقة أو خبيثة، وفتح مرفقات البريد الإلكتروني من مرسلين مجهولين أو غير موثقين، والملفات المُخفية التي قد تظهر كملفات تنفيذية أو صور أو غيرها من التنسيقات الشائعة لخداع المستخدمين وفتحها. كما يمكنه استغلال البرامج القديمة أو الثغرات الأمنية غير المُعالجة في النظام لتثبيت نفسه دون تدخل واضح من المستخدم.

المخاطر التي قد يتعرض لها المستخدم

تُشكل الإصابات بهذا النوع من برامج التجسس مخاطر جسيمة. فبفضل قدرتها على العمل بصمت، وإمكانية تمكين المهاجمين من السيطرة على الجهاز المصاب، قد يتعرض المستخدمون لسرقة البيانات، وحذف الملفات دون إذن، وتثبيت برامج ضارة إضافية، أو اختراق أمن النظام بالكامل. كما قد تتعرض المعلومات الشخصية، وبيانات تسجيل الدخول، وغيرها من البيانات الحساسة المخزنة أو المدخلة على الجهاز المصاب، لخطر الوصول إليها من قبل مجرمي الإنترنت.

علامات العدوى

نظرًا لأن برامج التجسس من هذه العائلة مصممة للعمل سرًا، فإن الأعراض الظاهرة غالبًا ما تكون طفيفة أو معدومة. مع ذلك، قد يلاحظ المستخدمون تباطؤًا غير معتاد في النظام، أو ظهور ملفات غير متوقعة في مجلدات بيانات التطبيقات، أو تشغيل عمليات غير مألوفة في الخلفية، أو تغييرات غير مبررة في إعدادات النظام. كما يُعد النشاط الشبكي المشبوه، حتى عندما يكون النظام في وضع الخمول، علامة تحذيرية.

كيفية الحفاظ على الحماية

لتقليل خطر الإصابة، تجنب تنزيل البرامج من مواقع غير رسمية أو مشبوهة، ولا تفتح أبدًا مرفقات البريد الإلكتروني من مرسلين مجهولين أو غير متوقعين. حافظ على تحديث نظام التشغيل ويندوز وجميع التطبيقات المثبتة بأحدث تصحيحات الأمان لسد الثغرات الأمنية المعروفة. توخَّ الحذر عند التعامل مع أي ملف يصلك بشكل غير متوقع، حتى لو بدا بتنسيق شائع كصورة أو مستند، لأن الملفات الخبيثة المتخفية تُعدّ أسلوبًا شائعًا للعدوى. كما أن النسخ الاحتياطي المنتظم للبيانات المهمة واستخدام برامج أمان موثوقة ومحدثة يساعدان في اكتشاف التهديدات وإزالتها قبل أن تُسبب ضررًا جسيمًا.

تقرير التحليل

معلومات عامة

اسم العائلة: Trojan.MSIL.Krypt.ACAO
حالة التوقيع: No Signature

عينات معروفة

MD5: a07e8390d2164892db9a5639d0557c38
SHA1: a60a0101f81e2063e6d44ab05f7fd713b4b13e2a
SHA256: 37B8700DA35755233CEFC6C4C607AF0B06472CA12B4E6B5ED42A00200A2E18A2
حجم الملف: 922.62 KB,922624 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have relocations information
  • File doesn't have security information
  • File is .NET application
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
عرض المزيد
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

أيقونات الملفات

معلومات إصدار Windows PE

اسم قيمة
Assembly Version 2.0.3.0
File Description PT
File Version 2.0.3.0
Internal Name PT.exe
Legal Copyright Copyright © 2025
Original Filename PT.exe
Product Name PT
Product Version 2.0.3.0

سمات الملف

  • .NET
  • HighEntropy
  • x64

معلومات عن الكتلة

إجمالي الكتل: 666
الكتل التي يحتمل أن تكون ضارة: 17
الكتل المسموح بها: 277
كتل غير معروفة: 372

خريطة مرئية

0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? 0 0 ? ? 0 0 0 0 0 0 0 ? 0 ? ? ? 0 ? 0 0 0 0 0 0 0 ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? 0 0 x ? ? ? 0 0 ? 0 0 ? ? ? ? 0 ? ? 0 x 0 x 0 ? ? 0 0 ? ? ? ? 0 0 0 ? ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? ? ? x ? 0 0 ? ? ? 0 0 0 0 ? 0 ? ? ? ? ? 0 ? ? ? ? ? ? ? ? 0 ? ? ? ? 0 0 ? ? ? ? 0 0 ? ? ? 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? 0 0 x ? ? ? 0 ? ? 0 0 ? ? ? ? ? ? ? ? ? ? ? 0 0 ? 0 0 ? ? ? ? ? ? 0 ? 0 0 0 ? ? ? 0 0 ? ? 0 0 0 0 0 0 ? ? ? ? ? ? ? 0 ? 0 ? ? ? ? 0 0 ? 0 ? ? ? x x ? ? ? ? 0 ? 0 ? 0 x 0 0 ? ? ? ? ? ? ? ? ? ? ? ? 0 0 0 x 0 0 0 ? ? ? 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ? ? ? 0 0 ? ? 0 0 0 0 ? 0 0 0 ? ? 0 ? 0 0 0 ? ? ? ? ? 0 ? 0 0 0 0 ? ? ? 0 0 0 0 0 0 ? 0 ? ? 0 0 ? 0 ? ? 0 ? x 0 0 0 0 ? ? ? ? ? ? 0 ? 0 ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? ? ? ? ? ? 0 ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? 0 ? ? ? ? ? 0 0 x x ? ? x ? ? ? ? 0 0 0 ? ? 0 ? ? ? 0 ? ? 0 ? 0 0 ? 0 ? ? ? ? ? 0 ? ? ? ? 0 ? ? ? ? ? 0 ? x x ? ? ? ? ? ? 0 ? ? ? 0 0 ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? ? ? 0 0 ? ? 0 0 0 0 0 0 0 0 0 ? ? 0 0 ? 0 ? 0 ? 0 0 0 0 0 ? 0 0 0 0 0 0 ? 0 0 0 ? 0 0 ? ? ? ? ? ? ? ? ? 0 0 0 ? ? ? ? ? ? 0 ? 0 ? ? ? ? x 0 0 0 0 0 0 ? 0 0 ? 0 0 ? 0 0 0 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 0 ? 0 0 ? ? ? x ? ? ? ? ? ? ?
0 - كتلة آمنة محتملة
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا

تم تعديل الملفات

ملف صفات
c:\users\user\appdata\local\loginapp\a60a0101f81e2063e6d44ab05_url_ozjmkllw3upp10tpnjmsewmiqq1bktfa\2.0.3.0\4u3f3rfx.newcfg Generic Write,Read Attributes
c:\users\user\appdata\local\loginapp\a60a0101f81e2063e6d44ab05_url_ozjmkllw3upp10tpnjmsewmiqq1bktfa\2.0.3.0\4u3f3rfx.tmp Generic Write,Read Attributes
c:\users\user\appdata\local\loginapp\a60a0101f81e2063e6d44ab05_url_ozjmkllw3upp10tpnjmsewmiqq1bktfa\2.0.3.0\user.config Synchronize,Write Data

تعديلات السجل

المفتاح::القيمة بيانات اسم واجهة برمجة التطبيقات
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect RegNtPreCreateKey

استخدام واجهة برمجة تطبيقات ويندوز

فئة واجهة برمجة التطبيقات (API)
Syscall Use
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcConnectPortEx
  • ntdll.dll!NtAlpcQueryInformation
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
عرض المزيد
  • ntdll.dll!NtCreateIoCompletion
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreatePrivateNamespace
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtCreateTimer2
  • ntdll.dll!NtCreateWaitCompletionPacket
  • ntdll.dll!NtCreateWorkerFactory
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtEnumerateKey
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtFsControlFile
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSemaphore
  • ntdll.dll!NtOpenSymbolicLinkObject
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDefaultLocale
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryEvent
  • ntdll.dll!NtQueryFullAttributesFile
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationJobObject
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseSemaphore
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetSecurityObject
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtUnmapViewOfSectionEx
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWaitLowEventPair
  • ntdll.dll!NtWorkerFactoryWorkerReady
  • ntdll.dll!NtWriteFile
  • ntdll.dll!NtYieldExecution
  • UNKNOWN
User Data Access
  • GetComputerNameEx
  • GetUserDefaultLocaleName
  • GetUserObjectInformation
Encryption Used
  • BCryptOpenAlgorithmProvider
Anti Debug
  • IsDebuggerPresent