Keylogger.MSIL.DiscordRAT.TT
التهديدات بطاقة الأداء
EnigmaSoft بطاقة أداء التهديد
EnigmaSoft Threat Scorecards عبارة عن تقارير تقييم لتهديدات البرامج الضارة المختلفة والتي تم جمعها وتحليلها من قبل فريق البحث لدينا. تقوم بطاقات أداء التهديد EnigmaSoft بتقييم وتصنيف التهديدات باستخدام العديد من المقاييس بما في ذلك عوامل الخطر الواقعية والمحتملة ، والاتجاهات ، والتكرار ، والانتشار ، والمثابرة. يتم تحديث بطاقات EnigmaSoft Threat Scorecards بانتظام بناءً على بيانات ومقاييس البحث لدينا وهي مفيدة لمجموعة واسعة من مستخدمي الكمبيوتر ، من المستخدمين النهائيين الذين يبحثون عن حلول لإزالة البرامج الضارة من أنظمتهم إلى خبراء الأمن الذين يقومون بتحليل التهديدات.
تعرض بطاقات أداء التهديد EnigmaSoft مجموعة متنوعة من المعلومات المفيدة ، بما في ذلك:
تصنيف الشعبية: تصنيف تهديد معين في قاعدة بيانات التهديدات الخاصة بشركة EnigmaSoft.
مستوى الخطورة: مستوى الخطورة المحدد لشيء ما ، ممثلاً عدديًا ، بناءً على عملية نمذجة المخاطر والبحث لدينا ، كما هو موضح في معايير تقييم التهديدات الخاصة بنا.
أجهزة الكمبيوتر المصابة: عدد الحالات المؤكدة والمشتبه فيها لتهديد معين تم اكتشافه على أجهزة الكمبيوتر المصابة كما تم الإبلاغ عنها بواسطة SpyHunter.
راجع أيضًا معايير تقييم التهديد .
| مستوى التهديد: | 80 % (عالي) |
| الروية الأولى: | January 4, 2024 |
| اخر ظهور: | October 24, 2025 |
| نظام (أنظمة) متأثر: | Windows |
يُعدّ Keylogger.MSIL.DiscordRAT.TT برنامج تجسس خبيثًا يعمل على نظام ويندوز، وينتمي إلى فئة برامج تسجيل ضغطات المفاتيح، وهي نوع من البرامج الضارة المصممة لمراقبة وتسجيل ما يكتبه المستخدم وما يفعله على حاسوبه سرًا. يُصنّف هذا البرنامج ضمن فئة الخطر العالي، وهو مصمم لجمع المعلومات الحساسة خلسةً وإرسالها إلى مهاجم عن بُعد، مما يُعرّض الخصوصية الشخصية والأمن المالي لخطر جسيم. وقد رُصد هذا البرنامج في بيئات حقيقية لفترة طويلة، مما يُشير إلى أنه لا يزال يُمثّل تهديدًا قائمًا يجب على مستخدمي الحاسوب توخي الحذر منه.
جدول المحتويات
ما يفعله برنامج Keylogger.MSIL.DiscordRAT.TT
بمجرد تفعيله على النظام، يعمل برنامج Keylogger.MSIL.DiscordRAT.TT في الخلفية لالتقاط بيانات حساسة مثل ضغطات المفاتيح، وبيانات تسجيل الدخول، وغيرها من المعلومات المكتوبة أو المخزنة على الجهاز المصاب. تم بناء البرنامج باستخدام إطار عمل .NET، وهو مُتخفٍّ في هيئة تطبيق "تحديث" عادي، وهي حيلة شائعة لإخفاء الملف الخبيث أو دمجه مع عمليات نظام ويندوز المشروعة. بعد جمع البيانات، يمكنه إما تخزينها محليًا على القرص الصلب أو إرسالها إلى خادم بعيد يتحكم به المهاجم، مستخدمًا وظائف الاتصال الشبكي لإنشاء اتصال وإرسال المعلومات المسروقة.
ترتبط هذه العائلة البرمجية الخبيثة تحديدًا بوظائف برامج الوصول عن بُعد (RAT) التي تستغل البنية التحتية المرتبطة بمنصة ديسكورد للتحكم والسيطرة، وهي تقنية يفضلها مجرمو الإنترنت بشكل متزايد لأنها تسمح لهم بإخفاء حركة البيانات الضارة داخل خدمات الشبكة الشرعية واسعة الانتشار. بالإضافة إلى سرقة البيانات، تُظهر هذه البرمجية الخبيثة سلوكيات نموذجية لبرامج الوصول عن بُعد، بما في ذلك فحص معلومات النظام، والاستعلام عن تفاصيل محول الشبكة، ومحاولة تعديل صلاحيات النظام، وكل ذلك يساعدها على البقاء مسيطرة على الجهاز المصاب وتجنب اكتشافها.
كيف يصل عادةً إلى أجهزة الكمبيوتر
لا يمتلك برنامج Keylogger.MSIL.DiscordRAT.TT آلية انتشار ذاتي معروفة، ومثل معظم برامج تسجيل ضغطات المفاتيح وبرامج التحكم عن بُعد، يعتمد عادةً على الخداع لإصابة النظام. تشمل طرق الإصابة الشائعة لهذا النوع من التهديدات مرفقات البريد الإلكتروني الخبيثة، والتنزيلات المجمعة من مواقع ويب غير موثوقة، وتحديثات البرامج المزيفة أو برامج كسر الحماية، والملفات المُشاركة عبر شبكات الند للند أو منصات المراسلة. ولأن العينة التي تم تحليلها لا تحمل توقيعًا رقميًا وتُقدم نفسها على أنها أداة "تحديث"، فقد ينخدع المستخدمون ويشغلونها يدويًا، ظنًا منهم أنها تحديث شرعي للنظام أو التطبيق.
المخاطر التي يتعرض لها المستخدم
يشكل وجود هذا البرنامج الخبيث لتسجيل ضغطات المفاتيح على أي نظام مخاطر جسيمة. فهو قادر على سرقة كلمات المرور، وبيانات الحسابات المصرفية، وأرقام بطاقات الائتمان، مما قد يؤدي إلى خسائر مالية مباشرة، وسرقة الهوية، والوصول غير المصرح به إلى الحسابات الإلكترونية. ولأن البيانات المسروقة تُرسل إلى خادم بعيد، فغالبًا ما يعجز الضحايا عن معرفة المعلومات التي تم اختراقها إلا بعد وقوع الضرر.
علامات العدوى
صُممت برامج تسجيل ضغطات المفاتيح، مثل هذا البرنامج، للعمل بصمت، لذا يصعب اكتشاف الإصابة بها. تشمل العلامات التحذيرية المحتملة ظهور ملفات أو مجلدات جديدة غير متوقعة في أدلة ملفات تعريف المستخدمين، ونشاط شبكي صادر غير معتاد، وبطء أداء النظام، وعمليات غير مألوفة تعمل في الخلفية، وتغييرات غير مبررة في كلمات مرور الحسابات أو نشاط تسجيل دخول مشبوه على الخدمات الإلكترونية.
كيفية الحفاظ على الحماية
لتقليل خطر الإصابة، تجنب تنزيل البرامج أو التحديثات أو البرامج المقرصنة من مصادر غير رسمية أو غير موثوقة، وتوخَّ الحذر عند التعامل مع مرفقات البريد الإلكتروني والروابط من مرسلين مجهولين. حافظ على تحديث نظام التشغيل والتطبيقات المثبتة، واستخدم كلمات مرور قوية وفريدة لحساباتك المختلفة، وفعّل المصادقة متعددة العوامل كلما أمكن. يساعد تشغيل برامج أمان موثوقة ومحدثة، وإجراء فحوصات دورية للنظام، على اكتشاف التهديدات وإزالتها، مثل Keylogger.MSIL.DiscordRAT.TT، قبل اختراق البيانات الحساسة.
تقرير التحليل
معلومات عامة
| اسم العائلة: | Keylogger.MSIL.DiscordRAT.TT |
|---|---|
| حالة التوقيع: | No Signature |
عينات معروفة
عينات معروفة
يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.|
MD5:
fccbe8c4d94a65b151a8a6e015dea6af
SHA1:
0d25a4ff8e873fab3be2a46d9fc3617d965c6178
SHA256:
19BEE783B8334FCB98C63F23A25990B270A4E094EF87D8A666D070EC9FB63003
حجم الملف:
7.17 KB,7168 بايت
|
سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
- File is either console or GUI application
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
معلومات إصدار Windows PE
معلومات إصدار Windows PE
يعرض هذا القسم القيم والخصائص التي تم ضبطها في بنية بيانات معلومات إصدار ملفات ويندوز لعينات ضمن هذه المجموعة. ولخداع المستخدمين، غالبًا ما يضيف مبتكرو البرامج الضارة معلومات إصدار مزيفة تحاكي البرامج الشرعية.| اسم | قيمة |
|---|---|
| Assembly Version | 0.0.0.0 |
| File Description | Update |
| File Version | 0.0.0.0 |
| Internal Name | Update.exe |
| Legal Copyright | Copyright © 2021 |
| Original Filename | Update.exe |
| Product Name | Update |
| Product Version | 0.0.0.0 |
سمات الملف
- .NET
- x86
معلومات عن الكتلة
معلومات عن الكتلة
أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.| إجمالي الكتل: | 5 |
|---|---|
| الكتل التي يحتمل أن تكون ضارة: | 2 |
| الكتل المسموح بها: | 3 |
| كتل غير معروفة: | 0 |
خريطة مرئية
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا
عائلات متشابهة
عائلات متشابهة
يسرد هذا القسم عائلات أخرى تتشابه مع هذه العائلة، استنادًا إلى تحليل شركة إنيغما سوفت. تُصنع العديد من عائلات البرامج الضارة من نفس أدوات البرمجة الخبيثة، وتستخدم نفس تقنيات التغليف والتشفير، ولكنها تتميز بوظائف إضافية فريدة. قد تشترك العائلات المتشابهة أيضًا في شفرة المصدر، والخصائص، والأيقونات، والمكونات الفرعية، والتوقيعات الرقمية المخترقة أو غير الصالحة، وخصائص الشبكة. يستفيد الباحثون من هذه التشابهات لفرز عينات الملفات بسرعة وفعالية، وتوسيع نطاق قواعد الكشف عن البرامج الضارة.- MSIL.DiscordRAT.TT
تم تعديل الملفات
تم تعديل الملفات
يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.| ملف | صفات |
|---|---|
| c:\users\user\appdata\local\shadow\shadowlauncher.exe | Generic Write,Read Attributes |
تعديلات السجل
تعديلات السجل
يسرد هذا القسم مفاتيح وقيم سجل النظام التي أنشأتها أو عدّلتها أو حذفتها عينات من هذه العائلة. يمكن أن يوفر نشاط سجل نظام ويندوز معلومات قيّمة حول وظائف البرامج الضارة. بالإضافة إلى ذلك، غالبًا ما تُنشئ البرامج الضارة قيمًا في سجل النظام لتمكينها من بدء التشغيل تلقائيًا والاستمرار إلى أجل غير مسمى بعد اختراق النظام في البداية.| المفتاح::القيمة | بيانات | اسم واجهة برمجة التطبيقات |
|---|---|---|
| HKLM\software\wow6432node\microsoft\tracing::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey |
Show 5 more
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\wow6432node\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
استخدام واجهة برمجة تطبيقات ويندوز
استخدام واجهة برمجة تطبيقات ويندوز
يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.| فئة | واجهة برمجة التطبيقات (API) |
|---|---|
| User Data Access |
|
| Anti Debug |
|
| Other Suspicious |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|