Trojan.Agent.Gen.GAO

Trojan.Agent.Gen.GAO هو اسم عام يُستخدم لتحديد تهديد من نوع حصان طروادة يتصرف بطرق تتوافق مع برامج خبيثة أخرى مصنفة ضمن عائلة "Agent" الواسعة. عادةً ما تشير عمليات الكشف المصنفة بـ "Gen" إلى أن الملف تم تحديده بناءً على أنماط سلوكية أو استدلالية، وليس بناءً على توقيع دقيق مُفهرس مسبقًا. هذا يعني أن Trojan.Agent.Gen.GAO قد يُمثل مجموعة متنوعة من الملفات الخبيثة التي تتشارك في هياكل برمجية أو وظائف أو سلوكيات متشابهة، بدلاً من كونه برنامجًا خبيثًا واحدًا ومحددًا.

نظرًا لعدم تأكيد التفاصيل الفنية الدقيقة حول هذا الكشف المحدد، فإن الوصف أدناه يعكس السلوك النموذجي لبرامج التجسس في هذه الفئة، والتي عادةً ما تقوم بهذه الإجراءات بمجرد أن تصبح نشطة على النظام.

ما يفعله هذا التهديد عادةً

عادةً ما تعمل برامج التجسس المصنفة ضمن فئة "العملاء" بشكل خفي في الخلفية دون علم المستخدم أو موافقته. وتشمل السلوكيات النموذجية لهذا النوع من التهديدات ما يلي:

• تنزيل وتثبيت مكونات خبيثة إضافية على الجهاز المصاب
• تعديل إعدادات النظام أو ملفات التكوين للحفاظ على استمرارية النظام
• التواصل مع خادم بعيد يتحكم فيه المهاجمون لتلقي التعليمات
• جمع المعلومات من الجهاز المصاب، مثل تفاصيل النظام أو نشاط التصفح
• تعطيل أو التدخل في أدوات الأمان لتجنب الكشف والإزالة

يمكن أن تختلف القدرات الدقيقة لأي ملف فردي تم تصنيفه على أنه Trojan.Agent.Gen.GAO، لأن الكشف يعتمد على الاستدلال وقد ينطبق على ملفات ضارة متعددة غير مرتبطة تشترك في سمات مشتركة.

كيف يصل عادةً إلى أجهزة الكمبيوتر

تنتشر برامج التجسس من هذا النوع عادةً من خلال طرق شائعة في فئة برامج التجسس الأوسع، بما في ذلك:

• مرفقات البريد الإلكتروني أو الروابط في رسائل التصيد الاحتيالي التي تتنكر في هيئة مستندات أو فواتير شرعية
• برامج تثبيت مجمعة لبرامج مجانية أو مقرصنة، بما في ذلك برامج التفعيل (الكراكات) ومولدات المفاتيح (Keygens).
• تحديثات برامج وهمية أو أزرار تنزيل مضللة على مواقع ويب غير موثوقة
• إعلانات خبيثة تعيد توجيه المستخدمين إلى تنزيلات مصابة
• محركات الأقراص القابلة للإزالة المصابة أو شبكات مشاركة الملفات من نظير إلى نظير

المخاطر التي يتعرض لها المستخدم

إذا تُركت برامج التجسس من هذا النوع على النظام، فإنها تُعرّض المستخدمين لمخاطر عديدة، منها سرقة البيانات، والوصول عن بُعد غير المصرح به، والخسائر المالية، واحتمالية الإصابة ببرامج ضارة أخرى قد يتم تحميلها. ولأن برامج التجسس هذه غالبًا ما تعمل بصمت، فقد لا يلاحظ المستخدمون أي تأثير فوري، مما يتيح للمهاجمين الوصول لفترة أطول إلى النظام المخترق.

علامات العدوى

بما أن هذا الكشف عام، فإن الأعراض الظاهرة قد تختلف اختلافاً كبيراً، ولكن تشمل العلامات التحذيرية النموذجية المرتبطة ببرامج التجسس ما يلي:

• تباطؤ ملحوظ في أداء النظام أو زيادة في استخدام وحدة المعالجة المركزية/الشبكة دون سبب واضح
• ظهور نوافذ منبثقة غير متوقعة، أو رسائل خطأ، أو تغييرات في إعدادات المتصفح أو النظام
• ظهور برامج جديدة أو غير مألوفة دون تثبيت المستخدم
• تعطيل برامج الأمان أو عدم القدرة على تحديثها
• اتصالات شبكة صادرة غير عادية

كيفية الحفاظ على الحماية

لتقليل خطر الإصابة ببرامج ضارة مثل Trojan.Agent.Gen.GAO، ينبغي على المستخدمين تحديث نظام التشغيل وجميع البرامج المثبتة باستمرار، وتجنب تحميل البرامج من مصادر غير موثوقة أو مقرصنة، وتوخي الحذر من مرفقات البريد الإلكتروني والروابط الواردة من مرسلين مجهولين، واستخدام برامج أمان موثوقة لفحص النظام ومراقبته بانتظام. كما أن إجراء نسخ احتياطية منتظمة للملفات المهمة يقلل من الأضرار في حال الإصابة، بينما يقلل اتباع عادات تصفح آمنة بشكل كبير من احتمالية التعرض لمثل هذه البرامج الضارة من الأساس.

تقرير التحليل

معلومات عامة

اسم العائلة:	Trojan.Agent.Gen.GAO
حالة التوقيع:	No Signature

عينات معروفة

i

عينات معروفة

يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.

MD5: 3f8fa75718b6d1b443b788a68cfdaf1e SHA1: 099349795fbbf59074b55926818ee554273f3ca9 SHA256: 94069806A751BEADB67663DA37D0CB0697AB3D19A6E27F1E2118875BA17EAAC5 حجم الملف: 55.30 KB,55296 بايت

MD5: 1def2ec226d667dece04162bdf7b9b69 SHA1: 1b1aae6f2f2c4373b6d8be7d22422f8787fa28a1 SHA256: 72FF3D5068252BD439E2E79570EAE5257B0D3E07E37FC72D62435B9D502514A2 حجم الملف: 5.17 MB,5168536 بايت

MD5: 3bd531b321f08ef5501d1ec55038de8c SHA1: b030529a53a28dc7ef446504d922f8c776d815ca SHA256: 5F697E07061A96F8992E99159DE97E1BC138721C1392883AA5539055823F3388 حجم الملف: 94.21 KB,94208 بايت

MD5: 227605ff386c71a5d69d9432c8f949e6 SHA1: 4f7dddf2ee63504ed184dea93a06b79fda07ca3c SHA256: E924AAA1BAB4778ABDBF57E8221CF9DB18541B3938B62CD889687A0966FEB23B حجم الملف: 5.17 MB,5168024 بايت

MD5: ec7a05ef89ff68f112bf923118260f5c SHA1: 23ca76f90e851dc835f83549e90e1eee384bb80f SHA256: 1B8151524C8301EBC8AE0A7A8014565B91F02D73D28155239F7426729A3128C9 حجم الملف: 56.83 KB,56832 بايت

Show 17 more

MD5: 33517d4315b7f11ba5ae31bb670cf347 SHA1: 11b3fa207dd73a227938d24aa1512d6075de7a5e SHA256: E777B6AC97F30DC299D7048FCF6D43924877E903B86C022119948FB481F70304 حجم الملف: 111.62 KB,111616 بايت

MD5: 324d27885f3e6b90ddba16af5d9d84ff SHA1: 64b852faf97f5c495dea36bede169df35eec3f21 SHA256: E09CBE04EFA621460FB4B762B59BB0D8690C19E861C7D746DFB17413F5F85533 حجم الملف: 55.30 KB,55296 بايت

MD5: e875ab3729a3e82185887c5d34f7dc9c SHA1: 8c92ca417ac660782fc079c795435cbaf8b0fc2a SHA256: BEAA4375C1037AF7BCFB4BEF0430534E7208B4019192D7044E3D10D6E11E8B41 حجم الملف: 154.11 KB,154112 بايت

MD5: 4177457b86e1640e719ff76d13aa23fb SHA1: f1c6a0d8600e38a0fa022c352b4392b0575dbe05 SHA256: 7A4E35E69B61AF5FB929C5D60A8C8A999D45580A2D41FCD1B2B396232BF49E54 حجم الملف: 115.20 KB,115200 بايت

MD5: eeacf061f6cce9f75329c8e8c7d241a7 SHA1: 99ce4a71062649d6667bdab4a738f52ec638b80f SHA256: C324C439D7345E5C40EB125E9C225BADF51D6B80EB21C2388EABFCEF20E6AD02 حجم الملف: 138.75 KB,138752 بايت

MD5: 4bed748141def96a49ea843ad2c0e358 SHA1: e1c401a320b2936009d4c95181453a11228fc847 SHA256: 536CE4F6E104089EF01EBBFE222E88DA0D3E9A5E603CD7A2B4A36E5FEAA967CD حجم الملف: 158.72 KB,158720 بايت

MD5: 1b155cf172ad45e1f738ca004cc2740a SHA1: b41df9ef43c06219f4dcb60a23d35ad948306c95 SHA256: 1CAD85D7785CD5E2D9CE874EF3D994D84671A23EAABE5B5C3134341F6F3454E6 حجم الملف: 109.57 KB,109568 بايت

MD5: b772899e81d6709a5f56718120a32e1b SHA1: 0c995ebc393b361c4448777008b3c12bc314a544 SHA256: 8CBD2D2AF9BAA32B5001ED6D642CD4F9A68B68085D6DB586DDCEA39F049CE450 حجم الملف: 482.30 KB,482304 بايت

MD5: 50e5d80604f58f84e5654b59582df118 SHA1: bb18d10709f2b89dd9aa84e2e1657211e4011aa6 SHA256: D450385DAC9E278A47544037FCE9F01ADFBF708B4523183C4DCC67EDB9D1CDB3 حجم الملف: 142.85 KB,142848 بايت

MD5: 33bcf54bc6494980b58bee49bcfff325 SHA1: c68a90afca80b72d42ca18fec128b3789cf2bdcd SHA256: 67655D001A573D98ED83AFF5622DB11DE0C81771D409349F5B73F0CEA7BE9EFC حجم الملف: 387.58 KB,387584 بايت

MD5: f95c6f411fc46513a1e72e30f8ae6da2 SHA1: 6ce778155492cb3a6cbc9266bb80004ae8d760d7 SHA256: BF4C7CDA02D11A343169EC361A663570DA70D46AB28DFBB6BB60FE05602612DF حجم الملف: 443.90 KB,443904 بايت

MD5: 6352bcec69a9f6125724452ebf4214b6 SHA1: 2cc4e7882bf4a1f663108cba92ae81b646d3b0cb SHA256: 32B6651CF6E377FC2066259C6EA7FD27A2A95D0EB6E75B0DE5277B5998C523C5 حجم الملف: 113.15 KB,113152 بايت

MD5: 98df656b6602e89276b57b6a934af6da SHA1: 5dc520c401a53557d64198df5a57074fbf9f8f74 SHA256: 4390BB3647D6D132FC3BC0FDD18A5D73078A08AF712CCF0E7D65F031EF806D04 حجم الملف: 112.64 KB,112640 بايت

MD5: f2585c3aeba383cd60a66d993db8cc00 SHA1: ef180c5efb10dc9449a6975283245174b31ca8a8 SHA256: D3DD10AE5CE43A55B6DEBA4855B77E746B11E326C380DFAC43C75D8D7E91E81F حجم الملف: 113.66 KB,113664 بايت

MD5: 1dfad23df1f317c7bb2d83cefebb16b3 SHA1: 4713c634fab4e8c7153df349f7cd024d3c2c6b3a SHA256: 18A91B44B692827F97E0E6984B0C1BB55AFA326A1ED5500A19969104EBA7C8BB حجم الملف: 471.55 KB,471552 بايت

MD5: 583a7428831cb933781069f5e000489e SHA1: 738f416c8b310d5c06924b48b449ede152ef3bb7 SHA256: 62D0481B39EE2586D7E092B3AD3D9917202F5C0592E35098CFADE75B716DA460 حجم الملف: 134.66 KB,134656 بايت

MD5: 99c815808dc8eae6b32ff6fee673090e SHA1: 1de99a08ac9e1fb9462f3d0d47b165ea0ea9a1cf SHA256: 15A0FE6FB4512A39394D9898BB3EC1469CDBCBC4D4B45208D0927061E50D56FD حجم الملف: 465.41 KB,465408 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

i

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

يسرد هذا القسم سمات الملفات الموجودة ضمن عينات من عائلة البرامج الضارة. تُستخرج هذه السمات من مواصفات ملفات Windows PE (الملفات التنفيذية المحمولة) وعلامات النظام المختلفة. تُتيح سمات الملفات التنفيذية المحمولة لباحثي البرامج الضارة فهمًا أعمق لوظائف الملف، وتفاصيل تنفيذه، ونظام التشغيل، وبيئة التشغيل.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 64-bit executable
• File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)

Show 4 more

• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

أيقونات الملفات

i

أيقونات الملفات

يعرض هذا القسم موارد الأيقونات الموجودة ضمن عينات البرامج الضارة. غالبًا ما تُقلّد البرامج الضارة الأيقونات المرتبطة عادةً بالبرامج الشرعية لتضليل المستخدمين وإيهامهم بأن هذه البرامج الضارة آمنة.

معلومات إصدار Windows PE

i

معلومات إصدار Windows PE

يعرض هذا القسم القيم والخصائص التي تم ضبطها في بنية بيانات معلومات إصدار ملفات ويندوز لعينات ضمن هذه المجموعة. ولخداع المستخدمين، غالبًا ما يضيف مبتكرو البرامج الضارة معلومات إصدار مزيفة تحاكي البرامج الشرعية.

اسم	قيمة
Company Name	Google LLC
File Description	Chrome Component (x86) Chrome Crash Handler (x86) Chrome Helper Component (x86) Google Installer (x86) Google Update Updater
File Version	152.0.8197.20 152.0.8161.96 152.0.8136.47 152.0.8132.69 152.0.8085.58 152.0.8030.82 152.0.7990.90 152.0.7945.34 152.0.7878.44 152.0.7850.98 Show 11 more 152.0.7829.23 152.0.7768.82 152.0.7751.12 152.0.7727.73 152.0.7667.19 152.0.7624.72 152.0.7610.68 152.0.7600.85 152.0.7583.64 152.0.7536.66 46.1.8905.0
Internal Name	chrome.exe ChromeCrashReporter.exe ChromeUpdatePolicy.dll chrome_breakpad.dll chrome_crashpad.dll chrome_crash_daemon.exe chrome_elf_host.exe chrome_extension.dll chrome_metrics_core.dll chrome_policy_core.dll Show 5 more Google Installer (x86) Google Update Updater guanchor64.dll gucore_host.dll gupdate_core.dll
Legal Copyright	Copyright 2026 Google LLC. All rights reserved.
Original Filename	Chrome.exe chrome.exe ChromeCrashReporter.exe ChromeUpdatePolicy.dll chrome_breakpad.dll chrome_crashpad.dll chrome_crash_daemon.exe chrome_elf_host.exe chrome_extension.dll chrome_metrics_core.dll Show 5 more chrome_policy_core.dll google.exe guanchor64.dll gucore_host.dll gupdate_core.dll
Product Name	chrome.exe ChromeCrashReporter.exe ChromeUpdatePolicy.dll chrome_breakpad.dll chrome_crashpad.dll chrome_crash_daemon.exe chrome_elf_host.exe chrome_extension.dll chrome_metrics_core.dll chrome_policy_core.dll Show 5 more Google Installer (x86) Google Update Updater guanchor64.dll gucore_host.dll gupdate_core.dll
Product Version	152.0.8197.20 152.0.8161.96 152.0.8136.47 152.0.8132.69 152.0.8085.58 152.0.8030.82 152.0.7990.90 152.0.7945.34 152.0.7878.44 152.0.7850.98 Show 11 more 152.0.7829.23 152.0.7768.82 152.0.7751.12 152.0.7727.73 152.0.7667.19 152.0.7624.72 152.0.7610.68 152.0.7600.85 152.0.7583.64 152.0.7536.66 46.1.8905.0

التوقيعات الرقمية

i

التوقيعات الرقمية

يسرد هذا القسم التوقيعات الرقمية المرفقة بعينات ضمن هذه المجموعة. عند تحليل التوقيعات الرقمية والتحقق منها، من المهم التأكد من أن الجهة المصدرة للتوقيع كيان معروف وموثوق، وأن حالة التوقيع سليمة. غالبًا ما تُوقّع البرامج الضارة بتوقيعات رقمية "ذاتية التوقيع" غير موثوقة (والتي يُمكن لمطور البرامج الضارة إنشاؤها بسهولة دون أي تحقق). قد تُوقّع البرامج الضارة أيضًا بتوقيعات شرعية ذات حالة غير صالحة، وبتوقيعات من جهات مصدرية مشكوك فيها بأسماء "موقّعين" مزيفة أو مضللة.

الموقع	جذر	حالة
Google LLC	Google LLC	Self Signed

سمات الملف

• dll
• GetConsoleWindow
• HighEntropy
• Installer Version
• WriteProcessMemory
• x64

معلومات عن الكتلة

i

معلومات عن الكتلة

أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.

إجمالي الكتل:	2,978
الكتل التي يحتمل أن تكون ضارة:	630
الكتل المسموح بها:	753
كتل غير معروفة:	1,595

خريطة مرئية

... تم اقتطاع البيانات

0 - كتلة آمنة محتملة
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا

عائلات متشابهة

i

عائلات متشابهة

يسرد هذا القسم عائلات أخرى تتشابه مع هذه العائلة، استنادًا إلى تحليل شركة إنيغما سوفت. تُصنع العديد من عائلات البرامج الضارة من نفس أدوات البرمجة الخبيثة، وتستخدم نفس تقنيات التغليف والتشفير، ولكنها تتميز بوظائف إضافية فريدة. قد تشترك العائلات المتشابهة أيضًا في شفرة المصدر، والخصائص، والأيقونات، والمكونات الفرعية، والتوقيعات الرقمية المخترقة أو غير الصالحة، وخصائص الشبكة. يستفيد الباحثون من هذه التشابهات لفرز عينات الملفات بسرعة وفعالية، وتوسيع نطاق قواعد الكشف عن البرامج الضارة.

• Trojan.Agent.Gen.FQJ
• Trojan.Agent.Gen.GAO
• Trojan.Agent.Gen.GPQ
• Trojan.Kryptik.Gen.KLV
• Trojan.Kryptik.Gen.KYR

تم تعديل الملفات

i

تم تعديل الملفات

يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.

ملف	صفات
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\chrome140.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\chrome140.exe	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\google.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\google.dll	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\gupdt.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\gupdt.exe	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\gupw.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\9j6f3k4wwj\gupw.exe	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\bwhkcggxry\chrome140.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\bwhkcggxry\chrome140.exe	Read Attributes,Synchronize,Write Attributes

Show 10 more

c:\users\user\appdata\local\google\chrome\bwhkcggxry\google.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\google\chrome\bwhkcggxry\google.dll	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\bwhkcggxry\gupdt.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\bwhkcggxry\gupdt.exe	Read Attributes,Synchronize,Write Attributes
c:\users\user\appdata\local\google\chrome\bwhkcggxry\gupw.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\local\google\chrome\bwhkcggxry\gupw.exe	Read Attributes,Synchronize,Write Attributes
c:\users\user\ntuser.dat{53b39e87-18c4-11ea-a811-000d3aa4692b}.txr.3.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\ntuser.dat{53b39e87-18c4-11ea-a811-000d3aa4692b}.txr.4.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\ntuser.dat{53b39e87-18c4-11ea-a811-000d3aa4692b}.txr.5.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\ntuser.dat{53b39e87-18c4-11ea-a811-000d3aa4692b}.txr.6.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data

تعديلات السجل

i

تعديلات السجل

يسرد هذا القسم مفاتيح وقيم سجل النظام التي أنشأتها أو عدّلتها أو حذفتها عينات من هذه العائلة. يمكن أن يوفر نشاط سجل نظام ويندوز معلومات قيّمة حول وظائف البرامج الضارة. بالإضافة إلى ذلك، غالبًا ما تُنشئ البرامج الضارة قيمًا في سجل النظام لتمكينها من بدء التشغيل تلقائيًا والاستمرار إلى أجل غير مسمى بعد اختراق النظام في البداية.

المفتاح::القيمة	بيانات	اسم واجهة برمجة التطبيقات
HKCU\software\google\chrome\bwhkcggxry::ldr	x �}xW�����$���(�C�6qd�Q;m�eI���mՒ'M;�m��%�G�\C�jp?��p,���fYh��rhR���XJ[����i!��ͦK��s�G�]�Z �}�;��s�9��s�}�h�}�1B �%�aG3����r�c���%�]u���*�p(a�ţC�?�D�־�5��XC���g��**Jk^!X"d�aΓwXˌ�d�.��HH�e�V!R�F"\��x� ���	RegNtPreCreateKey
HKCU\software\google\chrome\bwhkcggxry::lsz	雒	RegNtPreCreateKey
HKCU\software\google\chrome\bwhkcggxry::isz	�p	RegNtPreCreateKey
HKCU\software\google\chrome\bwhkcggxry::udir	C:\Users\Lldqpajw\AppData\Local\Google\Chrome\bwhkcggxry	RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::googleupdate140	"C:\Users\Lldqpajw\AppData\Local\Google\Chrome\bwhkcggxry\chrome140.exe" /user	RegNtPreCreateKey
HKCU\software\google\chrome\9j6f3k4wwj::ldr	x �}xW�����$���(�C�6qd�Q;m�eI���mՒ'M;�m��%�G�\C�jp?��p,���fYh��rhR���XJ[����i!��ͦK��s�G�]�Z �}�;��s�9��s�}�h�}�1B �%�aG3����r�c���%�]u���*�p(a�ţC�?�D�־�5��XC���g��**Jk^!X"d�aΓwXˌ�d�.��HH�e�V!R�F"\��x� ���	RegNtPreCreateKey
HKCU\software\google\chrome\9j6f3k4wwj::lsz	雒	RegNtPreCreateKey
HKCU\software\google\chrome\9j6f3k4wwj::isz	�p	RegNtPreCreateKey
HKCU\software\google\chrome\9j6f3k4wwj::udir	C:\Users\Rmegitxe\AppData\Local\Google\Chrome\9j6f3k4wwj	RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::googleupdate140	"C:\Users\Rmegitxe\AppData\Local\Google\Chrome\9j6f3k4wwj\chrome140.exe" /user	RegNtPreCreateKey

Show 4 more

HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n % �v����Bx(�1`1�1HO@V�A��H[uN$ _�zb"hk`k�ql(�{b��P���! ��� ����3 �����������m�Ù��V����$ �8წ���l��&M�~� �=�SB1_T�Vw�`�V �R���%�� �������AE��D��&��$���L A	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	n  �vT���Bx(�(X�1`1�1HO@V�H[ub"hk`k�ql(�{b��P���� ����������.�m�Ù�����$ წ��� �=�SB1_T�Vw�`�V �R���%�������AE��D��&��$���L	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n $ �vT�����&� (�(X�1`1�1HO@V�A��H[u_�zb"hk`k�qtǤ{b��P���� ��7 ����������.�m�Ù��IV����$ �8წ���Κ�&M�=�SB1_T�Vw�`�V ��%�������AE�zH ��D��&��$���L	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n * �v�Z����Bx#�� (�1`1�1HO@V�H[uH�pN$ _�zb"hk`k�ql(�{b��P���! �/��Hu��� ����3 ���������X����m�Ù��gi �V����$ �8წ���l�A �~�=�SB1_B��T�Vw���%�� �������AE��D��&��	RegNtPreCreateKey

استخدام واجهة برمجة تطبيقات ويندوز

i

استخدام واجهة برمجة تطبيقات ويندوز

يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.

فئة	واجهة برمجة التطبيقات (API)
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPort ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtAssociateWaitCompletionPacket ntdll.dll!NtCancelWaitCompletionPacket ntdll.dll!NtClose Show 73 more ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateKey ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateTimer2 ntdll.dll!NtCreateWaitCompletionPacket ntdll.dll!NtCreateWorkerFactory ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtPowerInformation ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryTimerResolution ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReadVirtualMemory ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationObject ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTerminateProcess ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Service Control	OpenSCManager OpenService
Encryption Used	BCryptOpenAlgorithmProvider
Keyboard Access	GetAsyncKeyState GetKeyState
Network Winsock	getaddrinfo
Network Winhttp	WinHttpOpen
User Data Access	GetUserName
Process Shell Execute	CreateProcess

تنفيذ أوامر شل

i

تنفيذ أوامر شل

يسرد هذا القسم أوامر نظام التشغيل ويندوز التي تُشغّلها العينات في هذه المجموعة. غالبًا ما تستغل البرامج الضارة أوامر نظام التشغيل ويندوز لأغراض خبيثة، ويمكن استخدامها لرفع مستوى صلاحيات الأمان، وتنزيل برامج ضارة أخرى وتشغيلها، واستغلال الثغرات الأمنية، وجمع البيانات واستخراجها، وإخفاء الأنشطة الضارة.

"C:\ProgramData\Google\Client State\qa89w4pa\ChromeInstaller.exe"

"C:\ProgramData\Google\Client State\45ku5mbl\chrome_installer_setup.exe"