Trojan.Kryptik.BJB

Kryptik.BJB هو حصان طروادة يستهدف أجهزة الكمبيوتر التي تعمل بنظام ويندوز. يُصنّف هذا البرنامج الخبيث بدرجة خطورة 8 من 10. تتظاهر برامج حصان طروادة بأنها ملفات غير ضارة أو مفيدة، بينما تقوم في الواقع بأعمال ضارة في الخلفية. تُظهر بيانات الرصد 9 حالات اكتشاف، حيث كان أول رصد في 15 مايو 2025 وآخر رصد في 3 نوفمبر 2026.

ما يفعله التهديد

بحسب الوصف، يقوم برنامج Kryptik.BJB الخبيث بتثبيت نفسه خلسةً ويعمل في الخلفية دون علم المستخدم. بعد التثبيت، قد يمنح المهاجمين سيطرة كاملة على النظام. كما قد يقوم بحذف الملفات سرًا وتثبيت برامج ضارة أخرى. الوصف غير مكتمل، لذا لا يمكن معرفة قائمة الإجراءات الكاملة. عادةً ما تعمل برامج التجسس من هذا النوع كبوابة لبرامج ضارة أخرى أو للوصول عن بُعد.

العينة التي تم تحليلها هي مكتبة ارتباط ديناميكي (DLL) لنظام ويندوز 32 بت، وهي غير مضغوطة. وقد تضمن سلوكها عدة أمور جديرة بالملاحظة:

• التشغيل عبر rundll32: تم تشغيل العينة باستخدام أداة rundll32 الخاصة بنظام ويندوز من مجلد التنزيلات الخاص بالمستخدم، حيث تم استدعاء إحدى وظائفها المُصدَّرة. تستخدم ملفات DLL الخبيثة هذه الحيلة عادةً لأنها لا تستطيع التشغيل بشكل مستقل.
• التلاعب بالعمليات: يستخدم هذا الأسلوب دالة NtUnmapViewOfSection، المدرجة ضمن التلاعب بالعمليات والتهرب منها. يرتبط هذا الاستدعاء عادةً بالتلاعب بذاكرة البرامج الأخرى.
• مكافحة التصحيح: يستخدم هذا الأسلوب NtQuerySystemInformation، المصنف ضمن تقنيات مكافحة التصحيح. عادةً ما تستخدم البرامج الضارة مثل هذه الاستدعاءات للكشف عن بيئات التحليل.
• استدعاءات النظام المباشرة: يقوم بإجراء العديد من الاستدعاءات منخفضة المستوى من خلال ntdll.dll لكتابة الملفات ومعالجة الذاكرة، ويمكنه بدء عمليات جديدة.

تنكر يستحق المعرفة

تحتوي العينة على معلومات إصدار تُشير إلى أنها مُكوّن أساسي في برنامج لتحرير الصور، بالإضافة إلى اسم المُطوّر وإشعار حقوق النشر. كما تحتوي على توقيع رقمي حالته "عدم تطابق التجزئة". هذا يعني أن محتوى الملف لا يتطابق مع الغرض الذي أُنشئ من أجله التوقيع. لا يُوضح التقرير السبب. عادةً، يُشير عدم التطابق هذا إلى تعديل الملف بعد التوقيع أو نسخ تفاصيل التوقيع إلى ملف آخر. في كلتا الحالتين، لا يُثبت الاسم والوصف المألوفان سلامة الملف. ولا تُشير البيانات إلى أن البرنامج الأصلي خبيث.

أظهر تحليل العينة أيضاً تقسيم كتل التعليمات البرمجية إلى مجموعات: 904 من أصل 1828 تم تصنيفها على أنها قد تكون ضارة، و922 تم إدراجها في القائمة البيضاء، و2 غير معروفة. وهذا يمثل نسبة كبيرة من التعليمات البرمجية المشبوهة.

كيف تصل عادةً إلى أجهزة الكمبيوتر

يذكر الوصف ثلاثة مسارات رئيسية:

• استغلال نقاط الضعف في النظام وعيوب الأمان.
• تنزيل البرامج من مواقع إلكترونية خبيثة.
• مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادةً ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.

تم تشغيل العينة من مجلد التنزيلات، وهو ما يتوافق مع سيناريو التنزيل. تُعد الملفات ذات المعاني المزدوجة، مثل "صورة" أو "فيديو" التي هي في الواقع برنامج، خدعة كلاسيكية.

المخاطر التي يتعرض لها المستخدم

• فقدان السيطرة على الكمبيوتر لصالح مهاجم عن بعد.
• يتم حذف الملفات دون علمك.
• يتم تثبيت برامج ضارة إضافية فوق الإصابة الأصلية.
• كشف البيانات الشخصية. هذا خطر شائع عند التحكم عن بُعد في النظام، على الرغم من أن التقرير لا يذكر سرقة بيانات محددة.

علامات العدوى

صُمم برنامج Kryptik.BJB الخبيث ليعمل في الخفاء، لذا قد لا تظهر عليه أعراض واضحة. تشمل العلامات التحذيرية النموذجية لحصان طروادة من هذا النوع ما يلي:

• عمليات rundll32 غير متوقعة أو برامج غير مألوفة تعمل في الخلفية.
• اختفاء الملفات أو تغييرها دون تفسير.
• أداء بطيء أو نشاط غير مبرر للشبكة.
• برامج أو إعدادات جديدة لم تقم بتثبيتها أو تغييرها.
• تعطيل أدوات الأمان أو فشل تشغيلها.

نظراً لاحتمالية غياب الأعراض، فإن الفحص هو الطريقة الأكثر موثوقية للتحقق.

كيفية الحفاظ على الحماية

• قم بتثبيت تحديثات نظام التشغيل ويندوز والبرامج على الفور لسد الثغرات الأمنية التي يمكن أن يستغلها هذا الحصان الطروادي.
• قم بتنزيل البرامج فقط من الموقع الرسمي للمطور.
• لا تفتح المرفقات من مرسلين مجهولين، وخاصة ملفات .exe أو .pif أو "الصور" و"مقاطع الفيديو" ذات السلوك الغريب.
• تحقق من مجلد التنزيلات بانتظام واحذف الملفات التي لا تتعرف عليها.
• حافظ على أداة مكافحة البرامج الضارة الموثوقة والمحدثة نشطة وقم بإجراء فحص كامل للنظام إذا كنت تشك في وجود إصابة.
• احتفظ بنسخ احتياطية من الملفات المهمة على محرك أقراص غير متصل أو وحدة تخزين منفصلة.

في حال ظهور أي مؤشر على وجود برنامج ضار، افصل جهاز الكمبيوتر عن الإنترنت، وقم بإجراء فحص شامل، ثم احذف جميع الملفات التي يشير إليها الفحص. بعد ذلك، غيّر كلمات المرور المهمة من جهاز آخر نظيف. إذا كان النظام خاضعًا للتحكم عن بُعد، ففكّر في إعادة تثبيت نظام التشغيل ويندوز بالكامل.