قاعدة بيانات التهديد أحصنة طروادة Trojan.Injector.NGC

Trojan.Injector.NGC

بواسطة CagedTech في أحصنة طروادة
تاريخ النشر:

التهديدات بطاقة الأداء

مستوى التهديد: 80 % (عالي)
أجهزة الكمبيوتر المصابة: 12
الروية الأولى: November 10, 2026
اخر ظهور: November 11, 2026

تم اكتشاف برنامج Trojan.Injector.NGC كبرنامج تجسس من نوع حصان طروادة، بمستوى خطورة 8 من 10. تتنكر برامج حصان طروادة في هيئة برامج غير ضارة أو مفيدة، بينما تقوم في الواقع بأنشطة ضارة في الخلفية. رُصد هذا البرنامج لأول مرة في 10 نوفمبر 2026، وآخر مرة في 11 نوفمبر 2026، حيث سُجلت 12 حالة اكتشاف له في سجلات النظام. لم يُحدد نظام التشغيل المستهدف في البيانات، لكن تفاصيل الملف تشير إلى أنه ملف تنفيذي لنظام ويندوز.

ما يفعله التهديد

بحسب التقرير، يقوم برنامج Injector.NGC بتثبيت نفسه خلسةً ويعمل في الخلفية دون علم المستخدم أثناء قيامه بوظائف خبيثة. وقد يمنح المهاجمين سيطرة كاملة على النظام المصاب. ويشير الوصف أيضاً إلى أنه قد يحذف الملفات سراً ويثبت برامج إضافية. لم يُذكر الوصف الكامل في التقرير، لذا فإن باقي سلوك البرنامج غير معروف.

يشير الاسم إلى "حاقن"، وهو نوع من البرامج الضارة التي تقوم عادةً بتحميل التعليمات البرمجية الخبيثة في عمليات أخرى أو في الذاكرة لإخفائها. وتتفق البيانات التقنية مع هذا:

  • تستخدم العينة استدعاءات النظام منخفضة المستوى من ntdll.dll، بما في ذلك تلك المتعلقة بتعيين أقسام الذاكرة (NtOpenSection، NtMapViewOfSection)، وتحرير الذاكرة، والاستعلام عن معلومات العملية والخيط.
  • يستدعي هذا الإجراء IsDebuggerPresent، وهو فحص نموذجي مضاد للتحليل يساعد البرامج الضارة على تجنب الباحثين.
  • يقرأ اسم الكمبيوتر ومعلومات كائن المستخدم (GetComputerName، GetUserObjectInformation).

الملف المُحلل هو ملف تنفيذي أصلي لنظام ويندوز بواجهة رسومية 64 بت. وهو غير مضغوط، ولا يحتوي على معلومات توقيع رقمي، ويُظهر مستوى عالٍ من العشوائية. تستخدم معلومات إصداره اسم "Faislefrant" (وصف الملف هو "تطبيق Faislefrant")، ما يجعله يبدو كبرنامج عادي. يُعدّ إخفاء البرامج الضارة في صورة تطبيقات شرعية أمرًا شائعًا لدى برامج التجسس. حالة التوقيع هي "بدون توقيع"، لذا لا يحمل الملف ناشرًا يمكن التحقق منه.

تشمل عمليات الكشف ذات الصلة المدرجة في الخلاصة ShellcodeRunner.FDF، والعديد من متغيرات Trojan.Injector.Gen، وTrojan.Kryptik.Gen.MNQ.

كيف تصل عادةً إلى أجهزة الكمبيوتر

تشير التقارير إلى أن حصان طروادة يصل عادةً عبر:

  • استغلال نقاط الضعف في النظام وعيوبه الأمنية.
  • تنزيل البرامج من مواقع إلكترونية خبيثة.
  • مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادةً ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.

تُعدّ الملفات ذات المعاني المزدوجة أو الامتدادات المُخفية خدعة شائعة. فقد يكون المرفق الذي يبدو كصورة أو مقطع فيديو برنامجًا تنفيذيًا في الواقع.

المخاطر التي يتعرض لها المستخدم

  • التحكم عن بعد في الكمبيوتر من قبل المهاجمين.
  • حذف الملفات دون علمك.
  • تثبيت برامج إضافية غير مرغوب فيها أو ضارة.

تؤدي برامج التجسس من هذا النوع عادةً إلى سرقة المعلومات الشخصية أو بيانات الاعتماد، لكن المصدر لا يؤكد ذلك بالنسبة لبرنامج Injector.NGC. تعامل مع هذا الأمر على أنه خطر نموذجي، وليس قدرة مؤكدة لهذا التهديد.

علامات العدوى

تشير المعلومات إلى أن برنامج حصان طروادة يعمل بصمت، لذا قد لا تظهر أي أعراض واضحة. تشمل العلامات النموذجية لهذا النوع من العدوى ما يلي:

  • تباطؤ غير مبرر أو ارتفاع في استخدام وحدة المعالجة المركزية أو الذاكرة.
  • الملفات التي تختفي أو تتغير بشكل غير متوقع.
  • برامج جديدة لم تقم بتثبيتها.
  • عمليات غير مألوفة، مثل عملية تسمى "Faislefrant-desktop"، تعمل على نظامك.
  • تعطيل أدوات الأمان أو تصرفها بشكل غريب.

كيفية الحفاظ على الحماية

  • حافظ على تحديث نظام التشغيل ويندوز وجميع البرامج المثبتة لضمان معالجة الثغرات الأمنية المعروفة.
  • قم بتنزيل البرامج فقط من المواقع الرسمية للناشرين.
  • لا تفتح المرفقات من مرسلين مجهولين، وخاصة الملفات التي تنتهي بـ .exe أو .pif، أو ملفات الوسائط التي تتصرف بشكل غريب.
  • قم بتمكين عرض امتدادات الملفات في نظام التشغيل ويندوز لتسهيل اكتشاف الملفات المخفية.
  • قم بإجراء عمليات فحص كاملة ومنتظمة للنظام باستخدام أداة مكافحة البرامج الضارة حديثة وذات سمعة طيبة.
  • قم بعمل نسخة احتياطية من الملفات المهمة في موقع غير متصل بالإنترنت أو موقع منفصل.

    • إذا كنت تشك بوجود إصابة، فافصل جهاز الكمبيوتر عن الإنترنت، وقم بإجراء فحص كامل، وأزل أي شيء تم اكتشافه. بعد ذلك، غيّر كلمات المرور المهمة من جهاز آخر نظيف. إذا كان من المحتمل أن يكون الجهاز قد تم التحكم فيه عن بُعد، فضع في اعتبارك إجراء فحوصات إضافية أو إعادة تثبيت النظام بشكل كامل.

    تقرير التحليل

    معلومات عامة

    اسم العائلة: Trojan.Injector.NGC
    حالة التوقيع: No Signature

    عينات معروفة

    MD5: db4cc3c8a0bf07a71e198ef463142848
    SHA1: d047eaf62d55c3d1d08d510f8b1c0379845669ae
    SHA256: C91281163B518094CD6D3FDCC6B5484822DDB6EEA1CEA79E1A1F947F37485278
    حجم الملف: 821.42 KB,821416 بايت
    MD5: c8d28e1a613c1f1847aa8c2fcd26a299
    SHA1: a6d8c6d83acfcb6d3edfc57fb3f7c1873599c367
    SHA256: 34B199DBCE71CDDEE23B2C0B991DCCCA7369FE4818A1A41D0AEEDC6147966FBA
    حجم الملف: 811.57 KB,811572 بايت

    سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

    • File doesn't have "Rich" header
    • File doesn't have exports table
    • File doesn't have security information
    • File has TLS information
    • File is 64-bit executable
    • File is either console or GUI application
    • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
    • File is Native application (NOT .NET application)
    • File is not packed
    • IMAGE_FILE_DLL is not set inside PE header (Executable)
    Show 1 more
    • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

    أيقونات الملفات

    معلومات إصدار Windows PE

    اسم قيمة
    File Description Faislefrant Application
    File Version 26.9.13.264
    Internal Name Faislefrant-desktop
    Original Filename Faislefrant-desktop.exe
    Product Name Faislefrant
    Product Version 26.9.13.0

    سمات الملف

    • HighEntropy
    • ntdll
    • x64

    معلومات عن الكتلة

    إجمالي الكتل: 542
    الكتل التي يحتمل أن تكون ضارة: 42
    الكتل المسموح بها: 443
    كتل غير معروفة: 57

    خريطة مرئية

    0 - كتلة آمنة محتملة
    ? - كتلة غير معروفة
    x - حظر يحتمل أن يكون خبيثًا

    عائلات متشابهة

    • Injector.NGC
    • ShellcodeRunner.FDF
    • Trojan.Injector.Gen.KFL
    • Trojan.Injector.Gen.KFX
    • Trojan.Injector.Gen.KGB
    Show 1 more
    • Trojan.Kryptik.Gen.MNQ

    استخدام واجهة برمجة تطبيقات ويندوز

    فئة واجهة برمجة التطبيقات (API)
    Syscall Use
    • ntdll.dll!NtApphelpCacheControl
    • ntdll.dll!NtClose
    • ntdll.dll!NtConnectPort
    • ntdll.dll!NtDeviceIoControlFile
    • ntdll.dll!NtFreeVirtualMemory
    • ntdll.dll!NtMapViewOfSection
    • ntdll.dll!NtOpenFile
    • ntdll.dll!NtOpenKey
    • ntdll.dll!NtOpenKeyEx
    • ntdll.dll!NtOpenSection
    Show 20 more
    • ntdll.dll!NtProtectVirtualMemory
    • ntdll.dll!NtQueryInformationProcess
    • ntdll.dll!NtQueryInformationThread
    • ntdll.dll!NtQueryInformationToken
    • ntdll.dll!NtQueryKey
    • ntdll.dll!NtQueryPerformanceCounter
    • ntdll.dll!NtQuerySecurityAttributesToken
    • ntdll.dll!NtQuerySecurityObject
    • ntdll.dll!NtQueryValueKey
    • ntdll.dll!NtReleaseWorkerFactoryWorker
    • ntdll.dll!NtRequestWaitReplyPort
    • ntdll.dll!NtSetEvent
    • ntdll.dll!NtSetInformationVirtualMemory
    • ntdll.dll!NtSetInformationWorkerFactory
    • ntdll.dll!NtTestAlert
    • ntdll.dll!NtTraceControl
    • ntdll.dll!NtWaitForSingleObject
    • ntdll.dll!NtWaitLowEventPair
    • ntdll.dll!NtWriteFile
    • UNKNOWN
    User Data Access
    • GetComputerName
    • GetUserObjectInformation
    Anti Debug
    • IsDebuggerPresent