Trojan.Agent.IUW
التهديدات بطاقة الأداء
EnigmaSoft بطاقة أداء التهديد
EnigmaSoft Threat Scorecards عبارة عن تقارير تقييم لتهديدات البرامج الضارة المختلفة والتي تم جمعها وتحليلها من قبل فريق البحث لدينا. تقوم بطاقات أداء التهديد EnigmaSoft بتقييم وتصنيف التهديدات باستخدام العديد من المقاييس بما في ذلك عوامل الخطر الواقعية والمحتملة ، والاتجاهات ، والتكرار ، والانتشار ، والمثابرة. يتم تحديث بطاقات EnigmaSoft Threat Scorecards بانتظام بناءً على بيانات ومقاييس البحث لدينا وهي مفيدة لمجموعة واسعة من مستخدمي الكمبيوتر ، من المستخدمين النهائيين الذين يبحثون عن حلول لإزالة البرامج الضارة من أنظمتهم إلى خبراء الأمن الذين يقومون بتحليل التهديدات.
تعرض بطاقات أداء التهديد EnigmaSoft مجموعة متنوعة من المعلومات المفيدة ، بما في ذلك:
تصنيف الشعبية: تصنيف تهديد معين في قاعدة بيانات التهديدات الخاصة بشركة EnigmaSoft.
مستوى الخطورة: مستوى الخطورة المحدد لشيء ما ، ممثلاً عدديًا ، بناءً على عملية نمذجة المخاطر والبحث لدينا ، كما هو موضح في معايير تقييم التهديدات الخاصة بنا.
أجهزة الكمبيوتر المصابة: عدد الحالات المؤكدة والمشتبه فيها لتهديد معين تم اكتشافه على أجهزة الكمبيوتر المصابة كما تم الإبلاغ عنها بواسطة SpyHunter.
راجع أيضًا معايير تقييم التهديد .
| ترتيب الشعبية: | 23,696 |
| مستوى التهديد: | 80 % (عالي) |
| الروية الأولى: | April 7, 2025 |
| اخر ظهور: | November 4, 2026 |
| نظام (أنظمة) متأثر: | Windows |
Trojan.Agent.IUW هو برنامج خبيث من نوع تروجان، مصمم لكشف برامج التجسس في نظام ويندوز، ويُصنف بدرجة خطورة 8 من 10. تتنكر برامج التروجان في هيئة ملفات غير ضارة أو مفيدة، بينما تقوم بأعمال ضارة في الخلفية. تشير بيانات النظام إلى أن هذا البرنامج الخبيث رُصد لأول مرة في 7 أبريل 2025، وآخر مرة في 4 نوفمبر 2026. على الرغم من قلة عدد حالات الكشف المسجلة، إلا أن السلوك الموصوف أدناه يستدعي أخذه على محمل الجد.
جدول المحتويات
ما يفعله التهديد
بحسب الوصف، يقوم برنامج Agent.IUW بتثبيت نفسه خلسةً ويعمل في الخلفية دون علم المستخدم. بعد التثبيت، قد يمنح المهاجمين سيطرة كاملة على النظام المصاب. كما قد يقوم بحذف الملفات سرًا وتثبيت برامج ضارة إضافية.
العينة المُحللة عبارة عن ملف تنفيذي أصلي لنظام ويندوز بواجهة رسومية 64 بت. وهي غير مضغوطة، ولا تحتوي على توقيع رقمي، وتحمل بيانات إضافية كبيرة (بيانات إضافية مُلحقة بالملف). كما أنها لا تحتوي على أي معلومات أمنية في رأسها. ويشير سلوكها إلى عدة إمكانيات:
- الاتصال الشبكي: يستخدم هذا البرنامج وظائف Winsock وWinHTTP لفتح الاتصالات، وإرسال واستقبال البيانات، وحلّ أسماء المضيفين. وهذا أمر شائع في البرامج الضارة التي تتصل بخادم بعيد لتلقي الأوامر أو إرسال البيانات.
- تحليل النظام: يستعلم عن اسم الكمبيوتر، واللغة الافتراضية، ومعلومات محول الشبكة. عادةً ما تجمع البرامج الضارة هذه التفاصيل لتحديد الجهاز المصاب.
- التلاعب بالعمليات: يستدعي هذا الأسلوب دالةً تقوم بإلغاء ربط أقسام الذاكرة من عمليةٍ ما. ويرتبط هذا عادةً بمحاولات إخفاء برمجيات خبيثة داخل عمليات أخرى.
- تغييرات الامتيازات: يقوم بتعديل امتيازات الرمز المميز، وهو ما تفعله البرامج الضارة غالبًا للحصول على وصول أوسع إلى النظام.
- التشفير واستدعاءات النظام المباشرة: يستخدم هذا البرنامج موفر تشفير ويندوز واستدعاءات نظام منخفضة المستوى. وكلاهما من السمات المميزة للتهديدات التي تسعى لحماية بياناتها أو تجنب المراقبة.
يقوم النموذج أيضًا بتعديل ملف في مجلد المستخدم المؤقت. من بين 102 كتلة برمجية تم تحليلها، تم تصنيف واحدة منها على أنها ضارة محتملة، بينما تم إدراج البقية في القائمة البيضاء، لذا قد يكون الجزء الضار صغيرًا ويسهل التغاضي عنه.
كيف تصل عادةً إلى أجهزة الكمبيوتر
تتضمن بيانات التغذية هذه المسارات النموذجية:
- استغلال نقاط الضعف في النظام وعيوب الأمان.
- تنزيل البرامج من مواقع إلكترونية خبيثة.
- مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادةً ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.
تُعدّ المرفقات ذات الامتدادات المضللة خدعة شائعة. فقد يكون الملف الذي يبدو كصورة أو فيديو برنامجًا في الواقع.
المخاطر التي يتعرض لها المستخدم
إذا تم تشغيل حصان طروادة، فقد يتمكن شخص آخر من السيطرة على جهاز الكمبيوتر الخاص بك. تشمل العواقب الشائعة لهذا النوع من الوصول فقدان الملفات أو حذفها، وتثبيت برامج ضارة إضافية، وكشف المعلومات الشخصية والحسابات. ولأن البرنامج الخبيث يتصل عبر الشبكة، فقد يستخدم المهاجمون الجهاز المصاب دون علم مالكه.
علامات العدوى
صُممت برامج التجسس من هذا النوع لتظل خفية، لذا قد لا تظهر عليها أعراض واضحة. لا تُدرج بيانات التغذية أعراضًا محددة. تشمل العلامات التحذيرية النموذجية لهذه الفئة ما يلي:
- تشغيل برامج أو عمليات غير مألوفة، وخاصة من مجلدات مؤقتة.
- نشاط غير متوقع على الشبكة عندما لا تستخدم الإنترنت.
- ملفات تختفي أو تتغير دون تفسير.
- نظام أبطأ أو إعدادات تتغير من تلقاء نفسها.
كيفية الحفاظ على الحماية
- حافظ على تحديث نظام التشغيل ويندوز وجميع البرامج المثبتة لضمان معالجة الثغرات الأمنية المعروفة.
- قم بتنزيل البرامج فقط من المصادر الرسمية للبائع.
- لا تفتح المرفقات من مرسلين مجهولين. كن حذراً من أي "صورة" أو "فيديو" يطلب تشغيله، أو يحمل امتداداً مزدوجاً.
- قم بعرض امتدادات الملفات في مستكشف الملفات لتسهيل اكتشاف الملفات التنفيذية المخفية.
- استخدم برنامج أمان موثوقًا به ومحدثًا مع حماية في الوقت الفعلي، وقم بإجراء عمليات فحص كاملة للنظام بانتظام.
- قم بعمل نسخة احتياطية من الملفات المهمة في موقع غير متصل بشكل دائم بجهاز الكمبيوتر الخاص بك.
إذا كنت تشك بوجود إصابة، فافصل جهاز الكمبيوتر عن الإنترنت، وقم بإجراء فحص كامل باستخدام أداة أمان محدّثة، ثم احذف أي شيء يكتشفه الفحص. بعد ذلك، غيّر كلمات المرور من جهاز نظيف. إذا استمر النظام في العمل بشكل غير طبيعي، ففكّر في طلب مساعدة فنية أو إعادة تثبيت نظام ويندوز بشكل كامل.
تقرير التحليل
معلومات عامة
| اسم العائلة: | Trojan.Agent.IUW |
|---|---|
| حالة التوقيع: | No Signature |
عينات معروفة
عينات معروفة
يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.|
MD5:
788b9ff20bb5d2c85db1438cde21dc59
SHA1:
f57a376a2d0b9eefef1b156bf37c1d4326344056
SHA256:
521211BE268938C8F9E7E705386D2F20ADC6584515D57254D225CDD825B33519
حجم الملف:
629.14 KB,629145 بايت
|
سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have security information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
سمات الملف
- big overlay
- dll
- x64
معلومات عن الكتلة
معلومات عن الكتلة
أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.| إجمالي الكتل: | 102 |
|---|---|
| الكتل التي يحتمل أن تكون ضارة: | 1 |
| الكتل المسموح بها: | 101 |
| كتل غير معروفة: | 0 |
خريطة مرئية
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا
تم تعديل الملفات
تم تعديل الملفات
يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.| ملف | صفات |
|---|---|
| c:\users\user\appdata\local\temp\fontdrvhost.exe | Generic Write,Read Attributes |
تعديلات السجل
تعديلات السجل
يسرد هذا القسم مفاتيح وقيم سجل النظام التي أنشأتها أو عدّلتها أو حذفتها عينات من هذه العائلة. يمكن أن يوفر نشاط سجل نظام ويندوز معلومات قيّمة حول وظائف البرامج الضارة. بالإضافة إلى ذلك، غالبًا ما تُنشئ البرامج الضارة قيمًا في سجل النظام لتمكينها من بدء التشغيل تلقائيًا والاستمرار إلى أجل غير مسمى بعد اختراق النظام في البداية.| المفتاح::القيمة | بيانات | اسم واجهة برمجة التطبيقات |
|---|---|---|
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | �n * �v �Z����Bx #��(�1`1�1HO @V� A��H[uH�pN$_�zb"hk`k�ql(�{b��P� ��!���� � ��3�� ��� �������.�m� Ù� �gi�V ����$�8წ���l� �&M A�~ �=�SB1_ B�� T�Vw���%�������� �AE��D��&�� | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey |
Show 5 more
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
استخدام واجهة برمجة تطبيقات ويندوز
استخدام واجهة برمجة تطبيقات ويندوز
يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.| فئة | واجهة برمجة التطبيقات (API) |
|---|---|
| Syscall Use |
Show 90 more
لم يتم عرض 9 عنصرًا إضافيًا أعلاه. |
| Process Manipulation Evasion |
|
| User Data Access |
|
| Encryption Used |
|
| Other Suspicious |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|