برنامج الفدية Filecoder.D
التهديدات بطاقة الأداء
EnigmaSoft بطاقة أداء التهديد
EnigmaSoft Threat Scorecards عبارة عن تقارير تقييم لتهديدات البرامج الضارة المختلفة والتي تم جمعها وتحليلها من قبل فريق البحث لدينا. تقوم بطاقات أداء التهديد EnigmaSoft بتقييم وتصنيف التهديدات باستخدام العديد من المقاييس بما في ذلك عوامل الخطر الواقعية والمحتملة ، والاتجاهات ، والتكرار ، والانتشار ، والمثابرة. يتم تحديث بطاقات EnigmaSoft Threat Scorecards بانتظام بناءً على بيانات ومقاييس البحث لدينا وهي مفيدة لمجموعة واسعة من مستخدمي الكمبيوتر ، من المستخدمين النهائيين الذين يبحثون عن حلول لإزالة البرامج الضارة من أنظمتهم إلى خبراء الأمن الذين يقومون بتحليل التهديدات.
تعرض بطاقات أداء التهديد EnigmaSoft مجموعة متنوعة من المعلومات المفيدة ، بما في ذلك:
تصنيف الشعبية: تصنيف تهديد معين في قاعدة بيانات التهديدات الخاصة بشركة EnigmaSoft.
مستوى الخطورة: مستوى الخطورة المحدد لشيء ما ، ممثلاً عدديًا ، بناءً على عملية نمذجة المخاطر والبحث لدينا ، كما هو موضح في معايير تقييم التهديدات الخاصة بنا.
أجهزة الكمبيوتر المصابة: عدد الحالات المؤكدة والمشتبه فيها لتهديد معين تم اكتشافه على أجهزة الكمبيوتر المصابة كما تم الإبلاغ عنها بواسطة SpyHunter.
راجع أيضًا معايير تقييم التهديد .
| مستوى التهديد: | 100 % (عالي) |
| أجهزة الكمبيوتر المصابة: | 84 |
| الروية الأولى: | January 24, 2013 |
| اخر ظهور: | October 19, 2026 |
| نظام (أنظمة) متأثر: | Windows |
يُعدّ برنامج الفدية Filecoder.D تهديدًا خطيرًا لتشفير الملفات، يستهدف أجهزة الكمبيوتر التي تعمل بنظام ويندوز بهدف حرمان الضحايا من الوصول إلى مستنداتهم وصورهم وملفاتهم الشخصية الأخرى حتى يتم دفع فدية. يُصنّف هذا البرنامج الخبيث ضمن أعلى مستويات الخطورة، وقد رُصد انتشاره لفترة طويلة، بدءًا من أوائل عام 2013 وحتى نشاطه الأخير، مما يُشير إلى أنه لا يزال يُمثّل تهديدًا نشطًا يواصل باحثو الأمن تتبّعه.
جدول المحتويات
ما يفعله برنامج الفدية Filecoder.D
بمجرد تفعيل برنامج Filecoder.D على النظام، يقوم بفحص محركات الأقراص المحلية بحثًا عن أنواع الملفات المهمة، مثل المستندات والصور وملفات PDF وملفات Microsoft Office، ثم يقوم بتشفيرها باستخدام خوارزميات تشفير قوية، مما يجعل البيانات غير قابلة للقراءة بدون مفتاح فك تشفير خاص بحوزة المهاجمين. يستغل هذا البرنامج الخبيث مكتبات التشفير الخاصة بنظام Windows لتنفيذ هذه العملية، مما يجعل استعادة الملفات يدويًا أمرًا بالغ الصعوبة أو مستحيلاً بدون نسخة احتياطية.
من أبرز السلوكيات المدمرة المرتبطة بهذا التهديد محاولته حذف نسخ الظل لوحدات التخزين، وهي ميزة مدمجة في نظام ويندوز تتيح للمستخدمين استعادة الإصدارات السابقة من الملفات. فمن خلال تنفيذ أوامر لحذف نسخ الظل وتعطيل خدمات النظام ذات الصلة، يضمن برنامج الفدية الخبيث عدم قدرة الضحايا على استخدام أدوات ويندوز الأصلية لاستعادة البيانات المشفرة بسهولة، مما يزيد الضغط عليهم لدفع الفدية المطلوبة. وقد يحاول أيضًا التفاعل مع خدمات النظام وعملياته لتعطيل أدوات الأمان أو لضمان تشغيله بصلاحيات موسعة، وقد لوحظ استخدامه لمكونات البرمجة النصية مثل PowerShell أثناء تنفيذه، وهو أسلوب شائع بين برامج الفدية الخبيثة الحديثة للتخفي بين أنشطة النظام المشروعة.
كيف ينتشر
كغيره من برامج الفدية، يعتمد برنامج Filecoder.D عادةً على أساليب توزيع خادعة بدلاً من قناة توزيع ثابتة. تشمل طرق الإصابة الشائعة لهذا النوع من التهديدات مرفقات البريد الإلكتروني الخبيثة المتخفية في هيئة فواتير أو مستندات، والروابط المصابة في رسائل البريد العشوائي، ومجموعات الاستغلال التي تستغل ثغرات البرامج غير المُعالجة، والتنزيلات المجمعة من مواقع ويب غير موثوقة، والبرامج المقرصنة أو التطبيقات المكركة. قد يتسبب المستخدمون دون علمهم في الإصابة عن طريق فتح ملف خبيث أو تفعيل وحدات الماكرو في مستند مُخترق.
المخاطر التي يتعرض لها المستخدمون
قد تكون عواقب الإصابة ببرنامج Filecoder.D الخبيث وخيمة. فقد يفقد الضحايا الوصول نهائيًا إلى ملفات لا يمكن استعادتها، بما في ذلك صور العائلة والسجلات المالية ووثائق العمل، خاصةً في حال عدم وجود نسخة احتياطية. فضلًا عن فقدان البيانات، لا يضمن دفع الفدية حصول المستخدمين على مفتاح فك تشفير صالح، بل إن ذلك يمول أنشطة إجرامية أخرى. كما قد تعاني الأنظمة المصابة من انخفاض الأداء، وتعطيل ميزات الأمان، وزيادة احتمالية تعرضها لبرامج خبيثة أخرى.
علامات العدوى
ينبغي على المستخدمين الانتباه إلى الملفات التي تصبح فجأة غير قابلة للوصول أو تظهر بامتدادات غير معتادة، ورسائل الفدية التي تظهر على سطح المكتب أو داخل المجلدات، والتباطؤ الملحوظ في أداء النظام، والنوافذ المنبثقة غير المتوقعة التي تطالب بالدفع، وفقدان النسخ الاحتياطية أو نقاط استعادة النسخ الاحتياطية. كما يُعدّ النشاط غير المعتاد الذي يشمل خدمات النظام أو أدوات البرمجة النصية التي تعمل دون تفسير علامة تحذيرية.
كيفية الحفاظ على الحماية
لتقليل خطر الإصابة ببرامج الفدية، ينبغي على المستخدمين إجراء نسخ احتياطية منتظمة للملفات المهمة على موقع تخزين خارجي أو غير متصل بالإنترنت، وتحديث نظام التشغيل وجميع البرامج بأحدث التحديثات الأمنية، وتجنب فتح المرفقات أو الروابط من رسائل البريد الإلكتروني المجهولة أو المشبوهة، والامتناع عن تنزيل البرامج المقرصنة. كما يُعدّ تشغيل برامج أمان موثوقة، وتفعيل جدار الحماية، وتوخي الحذر عند استخدام وحدات الماكرو في مستندات Office خطوات أساسية. ويظل الحفاظ على نسخ احتياطية محدّثة الطريقة الأكثر موثوقية للتعافي من هجوم برامج الفدية دون دفع أي فدية.
تقرير التحليل
معلومات عامة
| اسم العائلة: | Filecoder.D Ransomware |
|---|---|
| حالة التوقيع: | No Signature |
عينات معروفة
عينات معروفة
يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.|
MD5:
b10a7ece58207d3caecff1e7a3c33647
SHA1:
0568f740a0fcfc1506700f54136d341a351c51a5
SHA256:
9B1B6DC7878A1A9E2BDF659CA21DC62B16618B4C228B1E571757DF8772A2047F
حجم الملف:
678.91 KB,678912 بايت
|
سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have resources
- File doesn't have security information
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
عرض المزيد
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
سمات الملف
- HighEntropy
- No Version Info
- x86
معلومات عن الكتلة
معلومات عن الكتلة
أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.| إجمالي الكتل: | 2,658 |
|---|---|
| الكتل التي يحتمل أن تكون ضارة: | 109 |
| الكتل المسموح بها: | 2,549 |
| كتل غير معروفة: | 0 |
خريطة مرئية
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا
تم تعديل الملفات
تم تعديل الملفات
يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.| ملف | صفات |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134367906788192588.6460.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_qeb0kbvh.thf.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_umqkfmxb.r1n.psm1 | Generic Write,Read Attributes |
تعديلات السجل
تعديلات السجل
يسرد هذا القسم مفاتيح وقيم سجل النظام التي أنشأتها أو عدّلتها أو حذفتها عينات من هذه العائلة. يمكن أن يوفر نشاط سجل نظام ويندوز معلومات قيّمة حول وظائف البرامج الضارة. بالإضافة إلى ذلك، غالبًا ما تُنشئ البرامج الضارة قيمًا في سجل النظام لتمكينها من بدء التشغيل تلقائيًا والاستمرار إلى أجل غير مسمى بعد اختراق النظام في البداية.| المفتاح::القيمة | بيانات | اسم واجهة برمجة التطبيقات |
|---|---|---|
| HKLM\software\microsoft\windows\currentversion\policies\system::enablelinkedconnections | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\run::msfeeditor | "c:\users\user\downloads\0568f740a0fcfc1506700f54136d341a351c51a5_0000678912" e | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 몯㢼廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 榃㤋廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᗑ㥚廦ǝ | RegNtPreCreateKey |
استخدام واجهة برمجة تطبيقات ويندوز
استخدام واجهة برمجة تطبيقات ويندوز
يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.| فئة | واجهة برمجة التطبيقات (API) |
|---|---|
| Service Control |
|
| Process Shell Execute |
|
| Process Manipulation Evasion |
|
| Syscall Use |
عرض المزيد
|
| Anti Debug |
|
| User Data Access |
|
| Process Terminate |
|
| Encryption Used |
|
| Other Suspicious |
|
تنفيذ أوامر شل
تنفيذ أوامر شل
يسرد هذا القسم أوامر نظام التشغيل ويندوز التي تُشغّلها العينات في هذه المجموعة. غالبًا ما تستغل البرامج الضارة أوامر نظام التشغيل ويندوز لأغراض خبيثة، ويمكن استخدامها لرفع مستوى صلاحيات الأمان، وتنزيل برامج ضارة أخرى وتشغيلها، واستغلال الثغرات الأمنية، وجمع البيانات واستخراجها، وإخفاء الأنشطة الضارة.
vssadmin delete shadows /all /quiet
|
net stop VSS & sc config VSS start= disabled
|
sc config VSS start= Demand & net start VSS
|
WriteConsole: DESCRIPTION:
|
wmic.exe SHADOWCOPY delete /nointeractive
|
عرض المزيد
vssadmin.exe Delete Shadows /All /Quiet
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
|
bcdedit.exe /set {default} recoveryenabled No
|
bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
|
wbadmin.exe DELETE CATALOG -quiet
|
icacls.exe "{A-Z}:" /grant {Username}:F /T /C /Q
|
WriteConsole: {Username}
|
WriteConsole: :
|
WriteConsole: No mapping betwe
|
WriteConsole: Successfully pro
|
del /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
|
del /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk
|
del /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk
|
del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk
|
del /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk
|
del /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk
|
del %0
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP -deleteoldest
|
powershell -command "Get-WmiObject Win32_Shadowcopy | ForEach-Object {$_.Delete()
|
