Trojan.Agent.Gen.DFO
التهديدات بطاقة الأداء
EnigmaSoft بطاقة أداء التهديد
EnigmaSoft Threat Scorecards عبارة عن تقارير تقييم لتهديدات البرامج الضارة المختلفة والتي تم جمعها وتحليلها من قبل فريق البحث لدينا. تقوم بطاقات أداء التهديد EnigmaSoft بتقييم وتصنيف التهديدات باستخدام العديد من المقاييس بما في ذلك عوامل الخطر الواقعية والمحتملة ، والاتجاهات ، والتكرار ، والانتشار ، والمثابرة. يتم تحديث بطاقات EnigmaSoft Threat Scorecards بانتظام بناءً على بيانات ومقاييس البحث لدينا وهي مفيدة لمجموعة واسعة من مستخدمي الكمبيوتر ، من المستخدمين النهائيين الذين يبحثون عن حلول لإزالة البرامج الضارة من أنظمتهم إلى خبراء الأمن الذين يقومون بتحليل التهديدات.
تعرض بطاقات أداء التهديد EnigmaSoft مجموعة متنوعة من المعلومات المفيدة ، بما في ذلك:
تصنيف الشعبية: تصنيف تهديد معين في قاعدة بيانات التهديدات الخاصة بشركة EnigmaSoft.
مستوى الخطورة: مستوى الخطورة المحدد لشيء ما ، ممثلاً عدديًا ، بناءً على عملية نمذجة المخاطر والبحث لدينا ، كما هو موضح في معايير تقييم التهديدات الخاصة بنا.
أجهزة الكمبيوتر المصابة: عدد الحالات المؤكدة والمشتبه فيها لتهديد معين تم اكتشافه على أجهزة الكمبيوتر المصابة كما تم الإبلاغ عنها بواسطة SpyHunter.
راجع أيضًا معايير تقييم التهديد .
| ترتيب الشعبية: | 12,359 |
| مستوى التهديد: | 80 % (عالي) |
| الروية الأولى: | June 24, 2026 |
| اخر ظهور: | November 11, 2026 |
| نظام (أنظمة) متأثر: | Windows |
Trojan.Agent.Gen.DFO هو اسم عام يُطلق على برامج التجسس الخبيثة التي تستهدف أجهزة الكمبيوتر التي تعمل بنظام ويندوز. يصنفها باحثو الأمن السيبراني ضمن مستوى الخطورة 8 من 10. تشير البيانات إلى رصدها لأول مرة في 24 يونيو 2026، وآخر مرة في 11 نوفمبر 2026، مع تسجيل 9 عمليات رصد. عادةً ما تتنكر برامج التجسس الخبيثة في هيئة برامج غير ضارة أو مفيدة، وقد شوهد هذا البرنامج تحديدًا وهو يتظاهر بأنه برنامج تشغيل ألعاب.
جدول المحتويات
ما يفعله التهديد
بحسب التقرير، يقوم برنامج Trojan.Agent.Gen.DFO الخبيث بتثبيت نفسه خلسةً ثم يعمل بصمت في الخلفية، وينفذ وظائف ضارة. وقد يمنح المهاجمين سيطرة كاملة على النظام المصاب.
العينة المُحللة عبارة عن برنامج بواجهة رسومية أصلية لنظام ويندوز، يعمل بنظام 64 بت، وغير مُضغوط. تشير معلومات إصداره إلى أنه "Stellar Horizons Launcher" من "Orbitgate Studio"، واسم ملفه الأصلي Launcher.exe. وهو مُوقّع بشهادة ذاتية التوقيع، ما يعني عدم وجود جهة موثوقة تُؤكد صحته. ولأنّ المصدر لا يُقدم سوى وصف جزئي، فإنّ هذه المقالة لا تدّعي معرفة جميع الإجراءات التي يقوم بها هذا البرنامج الخبيث.
تشمل السمات التقنية التي لوحظت في العينة ما يلي:
- وظائف مثل WriteProcessMemory و VirtualQueryEx و NtReadVirtualMemory، والتي تستخدم عادة للقراءة من أو الكتابة في عمليات أخرى قيد التشغيل.
- تُستخدم أداة CryptUnprotectData عادةً لفك تشفير البيانات المحمية بواسطة نظام ويندوز، مثل بيانات الاعتماد المحفوظة. ولا يُؤكد المصدر نوع البيانات التي تصل إليها هذه العينة فعليًا.
- وظائف WinHTTP، التي تشير إلى أن الملف قادر على إجراء طلبات الويب والتواصل عبر الشبكة.
- فحص IsDebuggerPresent، وهو أسلوب نموذجي لمكافحة التحليل.
- الانتروبيا العالية ومكون imgui، مما يشير إلى واجهة رسومية مشابهة لتلك الموجودة في أدوات الألعاب.
قام النموذج بتعديل ملف إعدادات launcher.ini في مجلد بيانات تطبيق التجوال، بالإضافة إلى ملفات معاملات سجل مستخدم Windows.
تُدرج القائمة عائلات برمجيات خبيثة مشابهة مثل Gametool.DBA وPUP.GameHack.Gen.BD وTrojan.Downloader.Gen.JF وTrojan.Kryptik.Gen.IOT. يشير ذلك إلى وجود صلة بأدوات متعلقة بالألعاب وبرامج تنزيل خبيثة، لكن القائمة لا توضح مدى هذه الصلة.
كيف تصل عادةً إلى أجهزة الكمبيوتر
تشير المعلومات إلى أن هذا الحصان الطروادي يصل في أغلب الأحيان عبر:
- استغلال نقاط الضعف في النظام وعيوب الأمان.
- تنزيل البرامج من مواقع إلكترونية خبيثة.
- مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادةً ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.
نظراً لطريقة التمويه المستخدمة في إطلاق البرامج الضارة، فمن الشائع أن تُضمّن هذه التهديدات مع برامج إطلاق ألعاب مزيفة، أو برامج غش، أو برامج مقرصنة. ولا يؤكد المصدر أن هذه هي طريقة التوزيع المحددة.
المخاطر التي يتعرض لها المستخدم
مع مستوى خطورة يبلغ 8، يكمن القلق الرئيسي في فقدان السيطرة على جهاز الكمبيوتر. عادةً ما تُمكّن برامج التجسس من هذا النوع من سرقة كلمات المرور المحفوظة والبيانات الشخصية، وتثبيت برامج ضارة إضافية، والوصول عن بُعد من قِبل المهاجمين. ويُحذّر التقرير تحديدًا من أن المتسللين قد يتمكنون من السيطرة الكاملة على النظام. وقد تكون حسابات البريد الإلكتروني، والخدمات المصرفية، والألعاب، ووسائل التواصل الاجتماعي مُعرّضة للخطر في حال سرقة بيانات الاعتماد.
علامات العدوى
لأن حصان طروادة يعمل بصمت، فقد لا تظهر عليه أعراض واضحة. تشمل العلامات التحذيرية المحتملة ما يلي:
- برنامج تشغيل أو أداة ألعاب لا تتذكر تثبيتها، أو برنامج لا يتطابق مع الناشر المعلن عنه.
- نشاط الشبكة غير المبرر، أو البرامج التي تتصل بالإنترنت بدون سبب.
- بطء الأداء أو عمليات الخلفية غير المألوفة.
كيفية الحفاظ على الحماية
- حافظ على تحديث نظام التشغيل ويندوز وجميع برامجك لضمان إغلاق الثغرات الأمنية المعروفة.
- قم بتنزيل البرامج فقط من المصدر الرسمي للناشر، وتجنب البرامج المقرصنة والغش والمشغلات غير الرسمية.
- لا تقم بفتح المرفقات من مرسلين مجهولين، وخاصة ملفات .exe أو .pif، أو ملفات الوسائط التي تتصرف بشكل غير متوقع.
- توخ الحذر عند التعامل مع البرامج التي لا تحتوي على توقيع رقمي صالح أو التي يكون موقعها من قبل شخص غير مألوف.
- قم بإجراء عمليات فحص كاملة ومنتظمة للنظام باستخدام أداة أمان حديثة وذات سمعة طيبة.
- استخدم كلمات مرور فريدة وتحقق بخطوتين، حتى لا تتمكن كلمة المرور المسروقة من فتح عدة حسابات.
إذا كنت تشك في وجود إصابة، فافصل اتصالك بالإنترنت، وقم بإجراء فحص كامل، واحذف أي شيء تم اكتشافه. ثم غيّر كلمات مرورك من جهاز نظيف. يُنصح بمراجعة حساباتك بحثًا عن أي نشاط مشبوه.
تقرير التحليل
معلومات عامة
| اسم العائلة: | Trojan.Agent.Gen.DFO |
|---|---|
| حالة التوقيع: | Self Signed |
عينات معروفة
عينات معروفة
يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.|
MD5:
e8315cbadf8ff1eccf1a6f739547ff07
SHA1:
34f32f1e2107fb1a91d55aebd5023eedb85849b1
SHA256:
193C6DAF2755473EA6524EC1724B13271A29F30024EE2260DF2C1AF13286034E
حجم الملف:
974.34 KB,974336 بايت
|
|
MD5:
dc2615eab7c926afd4a2cbaa6ee71d1e
SHA1:
399b4a210b7ed02fff15308cccc43522ab31b065
SHA256:
3186A594BC23CBD818C010A1295215842D53C3D93387AF7A7477497080AD7F07
حجم الملف:
911.87 KB,911872 بايت
|
|
MD5:
e811822fd9f8450249ac0ccd41f33b6e
SHA1:
7c06411bd76c3e244cb3881cea32bcf4d67ae45e
SHA256:
85A9C3254A5AF7A6544A2CC02436BC407A3ACC270C182E0EE83EBBB655CFBA61
حجم الملف:
979.46 KB,979456 بايت
|
|
MD5:
b0486e21a342208295d3af65c7f0d462
SHA1:
871523b5f89fd3cdf68ed0fa3a3e8aac8f73a276
SHA256:
54AEC7CA4D5B9CCA83DE7A5F1B9A71661D160561E7F6962150A5E03B97B9CE63
حجم الملف:
1.01 MB,1010688 بايت
|
|
MD5:
98288a90e63dbf577fd29a2d6f96af6e
SHA1:
d67420e191a76bfc2ea50722056735895e598abb
SHA256:
54E61AC49B0D6E8541A9403FCB7FC704B240D5F976B8634980BFE54DA4599631
حجم الملف:
1.56 MB,1557504 بايت
|
Show 3 more
|
MD5:
33e32eac2b63c8d25e41a1de4cd7d7ae
SHA1:
6686df8f8f6c6d8b47cecb685c1005167480e527
SHA256:
8F5576F9C2012B98B99CA878A3D8A2BAE09F1B56295CB19BDEAC45F29E3BCA0C
حجم الملف:
3.33 MB,3325952 بايت
|
|
MD5:
49efee3ba437d8e73d746417e3f1431f
SHA1:
c101fe17bec13e45bba4037a0e91033c0d311afa
SHA256:
269D2B31F345A50D269FFE709D2A5033E01F76A8B9EED70CC61E0DF7DD31674F
حجم الملف:
1.67 MB,1671168 بايت
|
|
MD5:
6718bc25df99fa0248a70ecf33d85f47
SHA1:
cf8567ac6d78a7d0d24a5841a3e5eae55f9e143a
SHA256:
DEA66CCB1584ABD49FAEB427EC256722D771D2E96AAFCF14A201388FFD600C53
حجم الملف:
2.32 MB,2316112 بايت
|
سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
أيقونات الملفات
أيقونات الملفات
يعرض هذا القسم موارد الأيقونات الموجودة ضمن عينات البرامج الضارة. غالبًا ما تُقلّد البرامج الضارة الأيقونات المرتبطة عادةً بالبرامج الشرعية لتضليل المستخدمين وإيهامهم بأن هذه البرامج الضارة آمنة.
معلومات إصدار Windows PE
معلومات إصدار Windows PE
يعرض هذا القسم القيم والخصائص التي تم ضبطها في بنية بيانات معلومات إصدار ملفات ويندوز لعينات ضمن هذه المجموعة. ولخداع المستخدمين، غالبًا ما يضيف مبتكرو البرامج الضارة معلومات إصدار مزيفة تحاكي البرامج الشرعية.| اسم | قيمة |
|---|---|
| Company Name | Orbitgate Studio |
| File Description | Stellar Horizons Launcher |
| File Version | 3.3 |
| Internal Name | Launcher |
| Legal Copyright | (c) 2026 Orbitgate Studio |
| Original Filename | Launcher.exe |
| Product Name | Stellar Horizons Launcher |
| Product Version | 3.3 |
التوقيعات الرقمية
التوقيعات الرقمية
يسرد هذا القسم التوقيعات الرقمية المرفقة بعينات ضمن هذه المجموعة. عند تحليل التوقيعات الرقمية والتحقق منها، من المهم التأكد من أن الجهة المصدرة للتوقيع كيان معروف وموثوق، وأن حالة التوقيع سليمة. غالبًا ما تُوقّع البرامج الضارة بتوقيعات رقمية "ذاتية التوقيع" غير موثوقة (والتي يُمكن لمطور البرامج الضارة إنشاؤها بسهولة دون أي تحقق). قد تُوقّع البرامج الضارة أيضًا بتوقيعات شرعية ذات حالة غير صالحة، وبتوقيعات من جهات مصدرية مشكوك فيها بأسماء "موقّعين" مزيفة أو مضللة.| الموقع | جذر | حالة |
|---|---|---|
| World Works | World Works | Self Signed |
سمات الملف
- CryptUnprotectData
- GetConsoleWindow
- HighEntropy
- imgui
- No Version Info
- VirtualQueryEx
- WriteProcessMemory
- x64
معلومات عن الكتلة
معلومات عن الكتلة
أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.| إجمالي الكتل: | 6,527 |
|---|---|
| الكتل التي يحتمل أن تكون ضارة: | 1,076 |
| الكتل المسموح بها: | 4,594 |
| كتل غير معروفة: | 857 |
خريطة مرئية
... تم اقتطاع البيانات? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا
عائلات متشابهة
عائلات متشابهة
يسرد هذا القسم عائلات أخرى تتشابه مع هذه العائلة، استنادًا إلى تحليل شركة إنيغما سوفت. تُصنع العديد من عائلات البرامج الضارة من نفس أدوات البرمجة الخبيثة، وتستخدم نفس تقنيات التغليف والتشفير، ولكنها تتميز بوظائف إضافية فريدة. قد تشترك العائلات المتشابهة أيضًا في شفرة المصدر، والخصائص، والأيقونات، والمكونات الفرعية، والتوقيعات الرقمية المخترقة أو غير الصالحة، وخصائص الشبكة. يستفيد الباحثون من هذه التشابهات لفرز عينات الملفات بسرعة وفعالية، وتوسيع نطاق قواعد الكشف عن البرامج الضارة.- Gametool.DBA
- Kryptik.BEZD
- PUP.GameHack.Gen.BD
- Trojan.Downloader.Gen.JF
- Trojan.Kryptik.Gen.IOT
تم تعديل الملفات
تم تعديل الملفات
يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.| ملف | صفات |
|---|---|
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\roaming\stellarhorizons\launcher.ini | Generic Write,Read Attributes |
تعديلات السجل
تعديلات السجل
يسرد هذا القسم مفاتيح وقيم سجل النظام التي أنشأتها أو عدّلتها أو حذفتها عينات من هذه العائلة. يمكن أن يوفر نشاط سجل نظام ويندوز معلومات قيّمة حول وظائف البرامج الضارة. بالإضافة إلى ذلك، غالبًا ما تُنشئ البرامج الضارة قيمًا في سجل النظام لتمكينها من بدء التشغيل تلقائيًا والاستمرار إلى أجل غير مسمى بعد اختراق النظام في البداية.| المفتاح::القيمة | بيانات | اسم واجهة برمجة التطبيقات |
|---|---|---|
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 犕㜿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ⡔軱㥿ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 俳䃚㴏ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ꝟԋ䍾ǝ | RegNtPreCreateKey |
استخدام واجهة برمجة تطبيقات ويندوز
استخدام واجهة برمجة تطبيقات ويندوز
يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.| فئة | واجهة برمجة التطبيقات (API) |
|---|---|
| Syscall Use |
Show 90 more
لم يتم عرض 5 عنصرًا إضافيًا أعلاه. |
| Anti Debug |
|
| User Data Access |
|
| Network Winhttp |
|