قاعدة بيانات التهديد أحصنة طروادة تروجان.إكسبيرو.1

تروجان.إكسبيرو.1

بواسطة CagedTech في أحصنة طروادة
تاريخ النشر:

التهديدات بطاقة الأداء

ترتيب الشعبية: 278
مستوى التهديد: 80 % (عالي)
أجهزة الكمبيوتر المصابة: 400,030
الروية الأولى: October 8, 2021
اخر ظهور: November 13, 2026
نظام (أنظمة) متأثر: Windows

Trojan.Expiro.I هو حصان طروادة لنظام ويندوز، مصنف بدرجة خطورة 8 من 10. وقد رُصد لعدة سنوات: سُجل أول اكتشاف له في 8 أكتوبر 2021، وآخر اكتشاف في 13 نوفمبر 2026. وتشير الإحصائيات إلى أكثر من 400 ألف عملية اكتشاف، مما يدل على أنه ليس تهديدًا نادرًا أو عابرًا.

ما يفعله برنامج Trojan.Expiro.I

يُثبّت برنامج Expiro.I نفسه خلسةً ثم يعمل بهدوء في الخلفية، لذا قد لا يلاحظ المستخدم أي شيء غير عادي. بمجرد دخوله إلى النظام، قد يمنح المهاجمين سيطرة كاملة على الكمبيوتر. كما قد يحذف الملفات سرًا ويُثبّت برامج ضارة إضافية. عادةً ما تجمع برامج التجسس من هذا النوع معلومات من جهاز الكمبيوتر المصاب، لكن النص المُقدّم لا يُقدّم قائمة كاملة، لذا اعتبر ذلك سلوكًا نموذجيًا وليس معلومة مؤكدة.

الملف المُحلل هو ملف تنفيذي أصلي لنظام ويندوز 32 بت، مزود بواجهة مستخدم رسومية. وهو ليس برنامج .NET وغير مضغوط. كما يستورد الملف فحصًا لتصحيح الأخطاء ( IsDebuggerPresent )، وهي تقنية تستخدمها البرامج الضارة غالبًا لتصعيب عملية التحليل.

تُظهر معلومات إصدار الملف أنه مكون "الإبلاغ عن مشاكل ويندوز" من مايكروسوفت، وتشير سلاسل التوقيعات الخاصة به إلى مايكروسوفت. مع ذلك، يُبلغ عن حالة التوقيع على أنها "موقع ذاتيًا ". إن وجود اسم أو وصف أو سطر حقوق نشر يُشبه مكونات ويندوز لا يُثبت أصالة الملف. غالبًا ما تُقلّد البرامج الضارة مظهر ملفات النظام الموثوقة لتجنب الشبهات.

كيف تصل عادةً إلى أجهزة الكمبيوتر

بحسب المصدر، يصل موقع Expiro.I في أغلب الأحيان عبر:

  • استغلال نقاط الضعف في النظام وعيوب الأمان.
  • تنزيل البرامج من مواقع إلكترونية خبيثة.
  • مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادةً ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.

تُعدّ الملفات ذات الامتدادات التي تُشبه امتدادات الوسائط المتعددة وسيلة شائعة للتمويه. فالملف الذي يبدو كصورة أو فيديو ولكنه يتصرف كبرنامج يستحق الشك.

المخاطر التي يتعرض لها المستخدم

  • فقدان السيطرة: يمكن للمهاجم الذي يتمتع بصلاحيات وصول كاملة أن يفعل أي شيء تقريبًا يمكن للمستخدم المسجل القيام به.
  • فقدان البيانات: قد يتم حذف الملفات دون سابق إنذار.
  • المزيد من الإصابات: قد يقوم حصان طروادة بتنزيل وتثبيت برامج ضارة أخرى.
  • مخاطر الخصوصية والحساب: كما هو معتاد مع برامج التجسس، قد يتم الكشف عن البيانات الشخصية وكلمات المرور الموجودة على الجهاز.

علامات العدوى

نظراً لأن هذا التهديد مصمم ليبقى خفياً، فقد تكون الأعراض الظاهرة قليلة. هذه العلامات التحذيرية نموذجية لعدوى أحصنة طروادة، وليست مؤكدة تحديداً بالنسبة لفيروس Expiro.I.

  • عملية نظام تظهر في موقع غير متوقع أو تتصرف بشكل غريب، وخاصة تلك التي تدعي أنها مكون من مكونات نظام التشغيل ويندوز.
  • تباطؤ غير مبرر، أو أعطال، أو استخدام مرتفع للموارد.
  • الملفات المفقودة أو البرامج التي لم تقم بتثبيتها.
  • نشاط الشبكة غير المتوقع أو إعدادات الأمان التي تتغير من تلقاء نفسها.

كيفية الحفاظ على الحماية

  1. حافظ على تحديث نظام التشغيل ويندوز وبرامجك لضمان إغلاق الثغرات الأمنية المعروفة.
  2. كن حذرًا من مرفقات البريد الإلكتروني من مرسلين مجهولين، وخاصة ملفات .exe أو .pif، أو أي "صورة" أو "فيديو" يطلب تشغيله.
  3. قم بتنزيل البرامج فقط من المصادر الرسمية وتجنب المواقع الإلكترونية غير المألوفة.
  • استخدم حلاً أمنياً موثوقاً وحديثاً مع حماية فورية وقم بإجراء عمليات فحص كاملة للنظام بانتظام.
  • لا تثق بملف لمجرد اسمه أو وصفه. تحقق من مكان تخزينه وما إذا كان توقيعه الرقمي صالحاً.
  • احتفظ بنسخ احتياطية من الملفات المهمة على محرك أقراص غير متصل أو وحدة تخزين منفصلة.

    • إذا كنت تشك بوجود إصابة، فافصل جهاز الكمبيوتر عن الإنترنت، وقم بإجراء فحص كامل باستخدام أداة مكافحة برامج ضارة محدّثة، وغيّر كلمات المرور المهمة من جهاز آخر نظيف. إذا استمر النظام في العمل بشكل غريب بعد ذلك، ففكّر في طلب مساعدة فنية أو إعادة تثبيت نظام ويندوز بشكل كامل.

    تقرير التحليل

    معلومات عامة

    اسم العائلة: Trojan.Expiro.I
    حالة التوقيع: Self Signed

    عينات معروفة

    MD5: c7191ac917ba703648750fc98c749c99
    SHA1: 2a0fb4af8e099d342250d3fbd49134d9b3a9d4d2
    SHA256: 4772FFAFCBB7B4EB5830AC608D029722104DF8851C0CCDEF58042835BEBA9326
    حجم الملف: 506.22 KB,506216 بايت

    سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

    • File doesn't have "Rich" header
    • File doesn't have exports table
    • File is 32-bit executable
    • File is either console or GUI application
    • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
    • File is Native application (NOT .NET application)
    • File is not packed
    • IMAGE_FILE_DLL is not set inside PE header (Executable)
    • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

    أيقونات الملفات

    معلومات إصدار Windows PE

    اسم قيمة
    Company Name Microsoft Corporation
    File Description Windows Problem Reporting
    File Version 10.0.19041.7811 (WinBuild.160101.0800)
    Internal Name WerFault
    Legal Copyright © Microsoft Corporation. All rights reserved.
    Original Filename WerFault.exe
    Product Name Microsoft® Windows® Operating System
    Product Version 10.0.19041.7811

    التوقيعات الرقمية

    الموقع جذر حالة
    Microsoft Windows Microsoft Windows Production PCA 2026 RSA2048-SHA256 Self Signed
    Microsoft Windows Windows Production PCA 2023 Self Signed

    سمات الملف

    • HighEntropy
    • ntdll
    • x86

    معلومات عن الكتلة

    إجمالي الكتل: 1,090
    الكتل التي يحتمل أن تكون ضارة: 1
    الكتل المسموح بها: 572
    كتل غير معروفة: 517

    خريطة مرئية

    0 - كتلة آمنة محتملة
    ? - كتلة غير معروفة
    x - حظر يحتمل أن يكون خبيثًا

    استخدام واجهة برمجة تطبيقات ويندوز

    فئة واجهة برمجة التطبيقات (API)
    Anti Debug
    • IsDebuggerPresent