Trojan.CobaltStrike.GT

Trojan.CobaltStrike.GT هو حصان طروادة لنظام ويندوز، ويُصنّف ضمن فئة الخطر 8 من 10. وفقًا لبيانات المصدر، يقوم هذا البرنامج بتثبيت نفسه خلسةً ويعمل في الخلفية دون علم المُهاجمين. يُشير اسمه إلى ارتباطه ببرنامج Cobalt Strike، وهو أداة يُساء استخدامها على نطاق واسع من قِبل المُهاجمين. لا تُوضّح بيانات المصدر كيفية استخدام هذه العينة عمليًا، لذا فإن التفاصيل الإضافية المذكورة أدناه تُبيّن السلوك النموذجي لبرامج حصان طروادة.

ما يفعله التهديد

يذكر الوصف أن حصان طروادة يعمل بصمت في الخلفية وينفذ وظائف خبيثة، مما قد يمنح المخترقين سيطرة كاملة على النظام المصاب. ويشير الوصف أيضاً إلى أنه قد يحذف الملفات سراً، لكن النص يتوقف عند هذا الحد، لذا فإن قائمة الإجراءات الكاملة غير معروفة.

تتميز العينة التي تم تحليلها بهذه الخصائص التقنية:

• ملف DLL أصلي لنظام التشغيل Windows 64 بت يقوم بتصدير الوظائف (ليس تطبيق .NET).
• تم إنشاؤه كملف نظام فرعي لوحدة التحكم، وليس مضغوطًا.
• لا يوجد توقيع رقمي، ولا معلومات تصحيح الأخطاء، ولا معلومات نقل الموقع.
• يستدعي وظائف النظام منخفضة المستوى في ntdll.dll مباشرة، بما في ذلك تلك الخاصة بكتابة الملفات والاستعلام عن الذاكرة الظاهرية وتحريرها والاستعلام عن معلومات العملية.

يُلاحظ استخدام استدعاءات النظام منخفضة المستوى بشكل مباشر في البرامج التي تحاول تجنب أدوات المراقبة، مع أن التقرير لا يوضح الغرض من ذلك. من بين 16 كتلة برمجية تم تحليلها، صُنّفت 11 كتلة على أنها خبيثة محتملة، بينما أُدرجت 5 كتل في القائمة البيضاء. ولم تكن أي منها مجهولة المصدر.

كيف تصل عادةً إلى أجهزة الكمبيوتر

تشير التقارير إلى أن هذا الحصان الطروادي يصل في أغلب الأحيان بإحدى هذه الطرق:

• من خلال استغلال نقاط الضعف في النظام وعيوبه الأمنية.
• عن طريق تنزيل البرامج من مواقع ويب خبيثة.
• من خلال مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادة ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.

إن إخفاء ملف خبيث على هيئة صورة أو مقطع فيديو هو حيلة شائعة لجعل الناس يفتحونه.

المخاطر التي يتعرض لها المستخدم

يكمن الخطر الرئيسي في فقدان السيطرة على الحاسوب. إذا تمكن المهاجم من الوصول الكامل، فإن العواقب النموذجية لمثل هذه البرامج الخبيثة تشمل ما يلي:

• سرقة البيانات الشخصية وكلمات المرور والمعلومات المالية.
• حذف الملفات أو التلاعب بها.
• تثبيت برامج ضارة إضافية.
• استخدام جهاز الكمبيوتر كنقطة انطلاق لمهاجمة أجهزة أخرى على نفس الشبكة.

هذه النتائج نموذجية لتهديدات الوصول عن بعد، ولم يتم تأكيدها لهذه العينة المحددة، باستثناء التحكم وحذف الملفات المذكورين في الوصف.

علامات العدوى

صُمم حصان طروادة ليبقى مخفيًا، لذا قد لا تظهر عليه أعراض واضحة. تشمل العلامات التحذيرية النموذجية لهذا النوع من التهديدات ما يلي:

• تباطؤ غير مبرر أو ارتفاع في نشاط وحدة المعالجة المركزية أو الشبكة.
• الملفات التي تختفي أو تتغير دون تفسير.
• عمليات أو ملفات DLL غير معروفة قيد التشغيل.
• يتم تغيير إعدادات الأمان دون تدخل منك.
• اتصالات صادرة غير متوقعة.

نظراً لغياب الأعراض في كثير من الأحيان، فإن إجراء فحص كامل باستخدام أداة مكافحة البرامج الضارة الحديثة وذات السمعة الطيبة هو الطريقة الأكثر موثوقية للتحقق.

كيفية الحفاظ على الحماية

1. حافظ على تحديث نظام التشغيل ويندوز وجميع البرامج المثبتة، لأن حصان طروادة قد يستغل الثغرات المعروفة.
2. قم بتنزيل البرامج فقط من المصادر الرسمية وتجنب المواقع الإلكترونية غير المعروفة.

إذا كنت تشك بوجود إصابة، فافصل جهاز الكمبيوتر عن الإنترنت، وقم بإجراء فحص كامل، وغيّر كلمات المرور المهمة من جهاز آخر نظيف. إذا كان جهاز الكمبيوتر يحتوي على بيانات حساسة، فاستشر متخصصًا، فقد يكون المهاجم قد منحه تحكمًا كاملًا عن بُعد.