قاعدة بيانات التهديد أحصنة طروادة Trojan.Agent.NIS

Trojan.Agent.NIS

بواسطة CagedTech في أحصنة طروادة
تاريخ النشر:
ترجمة الى:

التهديدات بطاقة الأداء

مستوى التهديد: 80 % (عالي)
أجهزة الكمبيوتر المصابة: 2
الروية الأولى: October 3, 2026
اخر ظهور: October 19, 2026
نظام (أنظمة) متأثر: Windows

برنامج Trojan.Agent.NIS هو برنامج خبيث يُصنف ضمن فئة أحصنة طروادة، ويستهدف أجهزة الكمبيوتر التي تعمل بنظام ويندوز. وكما هو الحال مع معظم التهديدات في هذه الفئة، فهو مصمم للتسلل إلى النظام خلسةً، وإخفاء وجوده، وتنفيذ إجراءات ضارة في الخلفية دون علم المستخدم أو موافقته. ويعتبره باحثو الأمن السيبراني برنامجًا عالي الخطورة نظرًا لنطاق الأنشطة الضارة الواسعة التي يمكنه القيام بها بمجرد تثبيته.

ما يفعله برنامج Trojan.Agent.NIS

بمجرد تفعيل برنامج Agent.NIS على الجهاز، يعمل بصمت في الخلفية، وينفذ وظائف خبيثة دون علم المستخدم. صُمم هذا البرنامج ليتنكر في هيئة مكون شرعي لنظام ويندوز، بتفاصيل ملفات تحاكي عملية أساسية في النظام، مما يساعده على الاندماج وتجنب لفت انتباه المستخدم. يستطيع هذا البرنامج الوصول إلى بيانات المستخدم المخزنة، مثل اسم المستخدم واسم الكمبيوتر، كما يمكنه التفاعل مع حافظة ويندوز، مما قد يكشف النصوص المنسوخة والمعلومات الحساسة. يُنشئ البرنامج أيضًا اتصالات شبكية، يمكن استخدامها للتواصل مع خادم بعيد، أو تلقي تعليمات إضافية، أو تنزيل برامج ضارة أخرى على الجهاز المصاب. وللحفاظ على وجوده، لوحظ أن برنامج Agent.NIS يُنشئ مهامًا مجدولة تُعيد تشغيل ملفه التنفيذي تلقائيًا في كل مرة يسجل فيها المستخدم دخوله، مما يضمن استمراره في العمل حتى بعد إعادة تشغيل النظام. في كثير من الحالات، يمنح هذا النوع من البرامج الخبيثة المهاجمين سيطرة كبيرة على النظام المخترق، مما يسمح لهم بحذف الملفات، وتثبيت برامج ضارة أخرى، والتلاعب بالكمبيوتر بطرق لم يأذن بها المستخدم.

كيف يصل عادةً إلى أجهزة الكمبيوتر

ينتشر برنامج Agent.NIS الخبيث عادةً عبر أساليب خادعة أو انتهازية بدلاً من الهجمات المباشرة الواضحة. ويقوم بتثبيت نفسه عادةً باستغلال ثغرات أمنية في النظام لم يتم إصلاحها، مستفيدًا من البرامج القديمة. كما يمكن أن يصل مُدمجًا مع برامج تم تنزيلها من مواقع ويب غير موثوقة أو خبيثة، أو مُخبأً داخل مرفقات بريد إلكتروني مُرسلة من مُرسلين مجهولين أو غير موثوق بهم. ولا تكون هذه المرفقات دائمًا من أنواع الملفات الخطيرة بشكل واضح؛ فقد تكون مُتنكرة كملفات تنفيذية أو ملفات وسائط أو حتى صور، لخداع المستخدمين وفتحها.

المخاطر التي يتعرض لها المستخدم

نظراً لقدرة هذا الحصان الطروادي على منح المهاجمين سيطرة واسعة على النظام المصاب، فإن المخاطر جسيمة. تشمل العواقب المحتملة سرقة المعلومات الشخصية، والوصول غير المصرح به إلى الملفات، وتثبيت برامج ضارة إضافية مثل برامج سرقة كلمات المرور أو تعدين العملات الرقمية، وفقدان البيانات أو تلفها، وتدهور أداء النظام. أي نشاط يتعلق بالحافظة أو بيانات اعتماد المستخدم المخزنة يزيد من احتمالية التقاط بيانات حساسة، بما في ذلك كلمات المرور أو المعلومات المالية، وإرسالها إلى المهاجمين.

علامات العدوى

تم تصميم مثل هذه الإصابات لتبقى مخفية، ولكن قد يلاحظ المستخدمون علامات تحذيرية مثل ظهور ملفات جديدة غير متوقعة في مجلدات بدء التشغيل، ومهام مجدولة غير مألوفة، ونشاط شبكة غير عادي، وبطء أداء النظام، وعمليات جديدة غير مبررة تعمل في الخلفية، أو حظر أدوات الأمان أو تعطيلها.

كيفية الحفاظ على الحماية

يمكن للمستخدمين تقليل المخاطر عن طريق تحديث نظام التشغيل ويندوز وجميع البرامج المثبتة باستمرار لسد الثغرات الأمنية المعروفة. كما يُنصح بتجنب تنزيل البرامج من مواقع غير رسمية أو مشبوهة، وعدم فتح مرفقات البريد الإلكتروني من مرسلين مجهولين، وتوخي الحذر عند التعامل مع أي ملف غير متوقع، حتى لو بدا وكأنه مستند أو صورة غير ضارة. يُساعد تشغيل برامج الأمان المُحدثة، وإجراء فحوصات دورية للنظام، والاحتفاظ بنسخ احتياطية من الملفات المهمة، على اكتشاف وتقليل الأضرار الناجمة عن تهديدات مثل Trojan.Agent.NIS.

تقرير التحليل

معلومات عامة

اسم العائلة: Trojan.Agent.NIS
حالة التوقيع: No Signature

عينات معروفة

MD5: 914f93f9191327a9a454b6eb0cafdde1
SHA1: ef154e3903f84845257d1eb5b60e7260a8ee7a68
SHA256: 2E2DE2A9175351644FC9DBE395F4F813FE8E7D57B8E85A168E614ED09A424A01
حجم الملف: 2.30 MB,2297856 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have security information
  • File has TLS information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
عرض المزيد
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

معلومات إصدار Windows PE

اسم قيمة
Company Name Microsoft Corporation
File Description Windows Runtime Broker
File Version 10.0.19041.1 (WinBuild.160101.0800)
Internal Name RuntimeBroker
Legal Copyright © Microsoft Corporation. All rights reserved.
Original Filename RuntimeBroker.exe
Product Name Microsoft® Windows® Operating System
Product Version 10.0.19041.1

سمات الملف

  • CryptUnprotectData
  • x64

معلومات عن الكتلة

إجمالي الكتل: 13,634
الكتل التي يحتمل أن تكون ضارة: 1,844
الكتل المسموح بها: 11,790
كتل غير معروفة: 0

خريطة مرئية

0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 x x x 0 x x x x x x x x 0 0 x 0 x x x x 0 0 x 0 x x 0 0 x 0 0 0 x 0 0 x 0 0 x 0 0 0 x x x x 0 x 0 x x 0 x x x x 0 x 0 x x x x 0 x x x 0 x 0 x 0 0 x 0 0 0 0 x 0 0 0 x x 0 0 x x 0 0 x 0 0 0 0 x 0 x x x x 0 0 0 x 0 x x x 0 x x 0 x x 0 x x x x 0 0 x 0 x 0 x x 0 0 0 x x 0 x 0 x 0 0 x x x 0 0 x 0 x x x 0 0 0 x 0 0 x 0 0 x x x 0 0 0 0 0 0 x 0 x x x x 0 0 0 x 0 x 0 x x x x x x x x x 0 x 0 0 x 0 x x 0 x x 0 x x x x x x x x x x x 0 0 x x 0 x x 0 0 x x x x x x 0 0 0 x x 0 x x x 0 x 0 x x x 0 0 x x x x 0 0 0 0 x x 0 x 0 x x 0 0 0 x x 0 x 0 x x x x x x x x x x x x x 0 0 x x 0 x 0 x 0 x x 0 x x 0 x x x x x 0 x x x x 0 0 0 0 0 0 0 0 0 0 x x x x x x x x 0 x x x x 0 0 x 0 0 x x 0 x x x x x x x 0 x 0 x x x x 0 x x 0 x 0 0 0 x x x x 0 0 x 0 x 0 0 x x x x 0 x x 0 x x x 0 x 0 0 x x 0 x 0 x 0 x 0 x x 0 0 0 0 0 0 0 0 0 x 0 0 x 0 0 x 0 x x 0 x x x x 0 x 0 x 0 x 0 x 0 0 0 0 x x x x 0 0 0 0 0 0 0 x x 0 0 0 x 0 0 x 0 0 x 0 0 0 x x 0 x 0 0 0 x 0 x 0 0 x 0 x x x x x 0 0 0 0 x 0 0 0 0 0 x 0 x x 0 x x x x x x 0 0 0 0 0 x x x x x x 0 x x x 0 x 0 0 x 0 x x x x 0 0 x x x x x 0 0 x x 0 x x 0 0 0 x x x x 0 x x 0 x 0 0 x x x x x x 0 x x x x x x x x x x x 0 x x x x x x x x 0 x x x x x x 0 x x x x x 0 x x x 0 x x x x 0 0 0 x x x 0 0 x 0 x 0 0 x x x 0 x x x x x x x x x x x x x x x x 0 x x 0 0 x 0 0 0 0 1 0 x 0 x 0 x x x 0 x x x x x 0 x x x 0 0 x 0 x x x 0 x x x x x x 0 0 x 0 x x x x 0 0 x x x x x x x x x 0 x x x x 0 x x x 0 x x x x x x x x 0 x 0 x x x x x 0 x x 0 x x x x x 0 x x x x x x x x 0 x x x x x 0 x x x x x 0 0 x x x 0 x x x 0 0 x x x x x x x x x x x x 0 x 0 x x x x x x 0 x x x x x x x 0 x x 0 0 0 x x 0 x x 0 x 0 x x 0 0 x 0 0 x 0 x x x x x x x x x 0 0 0 x x x 0 x 0 x x x x x 0 x x 0 x x 0 x x x x x x x x x x x 0 x x x x x x x x x x x x x 0 0 0 x x x x x x 0 x x 0 x 0 x x x 0 x x x x x x x x x x x x x x x x x x x x x 0 x x x x x x x x x x x x x x x x 0 x x x x 0 x 0 x x x x x 0 x x x 0 x x 0 x x x 0 x x 0 0 0 x x x x x 0 x x x 0 x x x x 0 x x x x 0 x x 0 0 x x x 0 0 x x x x x 0 x x x x x x x x x x x x x 0 x x 0 x x x 0 0 x x x x x x 0 x x 0 x 0 x 0 x 0 0 x 0 x 0 x 0 x 0 x x 0 x x x x x x 0 x x x x x x 0 x 0 x x x x x 0 x x x x x x 0 0 0 x x 0 0 x x 0 x x 0 x x 0 x x x x x x 0 0 x x x x x x x x x 0 x 0 x x x x x x x x x 0 0 x 0 x 0 x x x x x x x x x x x x x x x x 0 0 0 x x 0 0 x x 0 x 0 0 0 x x x x 0 0 0 x x 0 0 x 0 x 0 0 x x 0 0 x x 0 0 x x x 0 x 0 x 0 x x x x x x x x x x x 0 0 x x x 0 x 0 x x 0 0 x 0 x 0 x 0 0 0 x x x x x 0 x 0 0 x x x x x x 0 x 0 0 0 0 0 0 0 0 x 0 0 0 0 0 x x x 0 x 0 x x 0 0 0 x 0 0 0 0 0 x x 0 x x 0 x x 0 0 0 x x x x 0 x 0 x 0 x x 0 x x x x x x x x 0 x x 0 0 x x x x x x 0 x 0 x x x x x 0 x x x 0 x 0 x x x x 0 x x x x 0 x 0 0 x x x x x 0 x x 0 0 x x 0 x x x 0 0 0 0 0 0 0 x x x x x x x x 0 0 0 x x x x x x x x x 0 0 x x x x x x 0 0 x x x x x 0 0 x 0 0 x x 0 x x x 0 x x x 0 x 0 x x x x x x x 0 x 0 0 x x x x x x 0 x x x x x x x x x x x x x x x x x x x x x x x x 0 0 x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x 0 x x x x x x x x x x 0 x x 0 x 0 x 0 x 0 x 0 0 0 x x x x x x 0 x x 0 x x x x 0 0 x 0 x x x x x x x 0 x x x 0 x x x x x x 0 x 0 0 0 0 0 0 x x x 0 x x 0 x x 0 0 x 0 x 0 0 0 0 0 x x x x x x x x x x x x x x x 0 x 0 0 x x x 0 x 0 x x x x 0 x 0 x x x x x x x x x x x 0 0 x x x x x x 0 x x x x 0 x x x x x x 0 0 x x x x x x x x 0 0 0 x 0 0 0 x x x 0 0 0 x 0 x x 0 0 x 0 0 x x x x x x x x x 0 x x x x x x x x x x x x x x x x 0 0 0 0 x x x x x x x x x x x x x x 0 0 x x 0 0 x x x 0 0 x 0 0 0 x 0 0 0 x x x x 0 x x 0 x x x x x 0 0 0 x 0 0 x x x x x x x x 0 0 x 0 0 x x x x 0 0 x x x x x 0 0 x x x x x 0 x x x x x x x 0 x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x 0 x x x x x x x x x x x x x x x x x x 0 x 0 x x 0 x x 0 x 0 x x x x x x 0 x x x 0 x 0 x x 0 x x x 0 x 0 x x 0 x x x x x x x x x 0 x x 0 x 0 x x 0 0 x x 0 0 0 x 0 0 x x 0 0 0 x x 0 0 x x 0 0 0 0 x 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
... تم اقتطاع البيانات
0 - كتلة آمنة محتملة
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا

عائلات متشابهة

  • Agent.NIS
  • Coinminer.BDH
  • Coinminer.OGD
  • PSW.Agent.LDG
  • PSW.Agent.TUI
عرض المزيد
  • PSW.Agent.TUK

تم تعديل الملفات

ملف صفات
c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144
c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\svcruntimemtx.exe Synchronize,Write Attributes
c:\users\user\appdata\roaming\programs\svcruntimemtx\svcruntimemtx.exe Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

تعديلات السجل

المفتاح::القيمة بيانات اسم واجهة برمجة التطبيقات
HKCU\software\microsoft\windows\currentversion\run::svcruntimemtx "C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe" RegNtPreCreateKey

استخدام واجهة برمجة تطبيقات ويندوز

فئة واجهة برمجة التطبيقات (API)
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtCancelWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
عرض المزيد
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateToken
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryObject
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationObject
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWaitLowEventPair
  • ntdll.dll!NtWorkerFactoryWorkerReady
  • ntdll.dll!NtWriteFile
  • ntdll.dll!NtYieldExecution
  • UNKNOWN
Anti Debug
  • IsDebuggerPresent
User Data Access
  • GetComputerName
  • GetUserName
  • OpenClipboard
Process Shell Execute
  • CreateProcess
Other Suspicious
  • SetWindowsHookEx
Network Winhttp
  • WinHttpConnect
  • WinHttpOpen
  • WinHttpOpenRequest

تنفيذ أوامر شل

schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /rl highest /f
schtasks /create /tn "SvcRuntimeMtxTask" /tr "\"C:\Users\Pyaatmuk\AppData\Roaming\Programs\SvcRuntimeMtx\SvcRuntimeMtx.exe\"" /sc onlogon /f