Trojan.Kryptik.EDHCW

Trojan.Kryptik.EDHCW هو حصان طروادة يستهدف أجهزة الكمبيوتر التي تعمل بنظام ويندوز. يُصنّف مستوى خطورته بـ 8 من 10، لذا يجب التعامل معه كتهديد خطير. تُظهر بيانات التغذية أنه رُصد لأول مرة في 18 يوليو 2026، وآخر مرة رُصد فيها في 17 سبتمبر 2026، مع عدد قليل من حالات الكشف عنه بلغ حالتين حتى الآن. تُعرف أحصنة طروادة من مجموعة Kryptik عمومًا بإخفاء غرضها الحقيقي وتحميل برمجيات خبيثة أخرى، إلا أن هذه العينة تحديدًا لا تتوفر عنها معلومات كافية للعامة.

ما يفعله التهديد

بحسب الوصف، يقوم برنامج Kryptik.EDHCW الخبيث بتثبيت نفسه خلسةً ويعمل في الخلفية دون علم المستخدم أثناء قيامه بوظائف ضارة. وقد يمنح المهاجمين سيطرة كاملة على النظام المصاب. ويشير الوصف أيضاً إلى أنه قد يقوم بحذف الملفات سراً وتثبيت برامج إضافية، إلا أن النص الكامل لهذه القائمة غير متوفر في التقرير.

تُقدّم التفاصيل الفنية من الملف الذي تم تحليله بعض الأدلة الإضافية:

• إنه ملف تنفيذي أصلي لنظام التشغيل Windows 64 بت (وليس تطبيق .NET) يعمل كتطبيق وحدة تحكم.
• لا يحتوي على توقيع رقمي، ولا معلومات عن الإصدار، ولا معلومات عن تصحيح الأخطاء، ولا معلومات أمنية.
• تم تصنيفها على أنها ذات إنتروبيا عالية، والتي غالباً ما ترتبط (ولكن ليس دائماً) بالمحتوى المشفر أو المخفي.
• يحتوي على قسمين أو أكثر قابلين للتنفيذ وهو غير مضغوط.
• يستخدم WriteProcessMemory، وهي واجهة برمجة تطبيقات شائعة الاستخدام لكتابة البيانات في ذاكرة عملية أخرى.
• يقوم باستدعاء وظائف النظام منخفضة المستوى (syscalls) في ntdll.dll، بما في ذلك NtWriteFile و NtDeviceIoControlFile و NtOpenThread، واستدعاء واحد غير محدد.
• يستخدم NtUnmapViewOfSection، والذي يصنفه التحليل ضمن التلاعب بالعمليات والتهرب منها.

تُعدّ الكتابة إلى ذاكرة المعالجة وإلغاء تعيين الأقسام من التقنيات الشائعة في هجمات حقن التعليمات البرمجية. لا يُؤكد المصدر تحديدًا كيفية استخدام هذه التقنية في هذا المثال، لذا يجب اعتبار ذلك سلوكًا نموذجيًا لهذه الفئة، وليس حقيقة مؤكدة بشأن هذا الملف.

في تحليل السلوك، تم تصنيف 26 من أصل 2031 كتلة تمت ملاحظتها على أنها خبيثة محتملة، وتم إدراج 140 منها في القائمة البيضاء، بينما كانت 1865 كتلة غير معروفة.

كيف تصل عادةً إلى أجهزة الكمبيوتر

يذكر الوصف أن هذا الحصان الطروادي يصل في أغلب الأحيان بهذه الطرق:

• من خلال استغلال نقاط الضعف في النظام وعيوب الأمان.
• عن طريق تنزيل البرامج من مواقع ويب خبيثة.
• من خلال مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادة ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.

تُعدّ الملفات ذات المعاني المزدوجة، مثل الملفات التنفيذية المُخفية تحت اسم وسائط أو صورة، خدعة شائعة. قد يفتحها المستخدمون معتقدين أنها غير ضارة.

المخاطر التي يتعرض لها المستخدم

• قد يتمكن المهاجمون من السيطرة الكاملة على نظامك.
• قد يتم حذف الملفات دون علمك.
• قد يتم تثبيت برامج إضافية غير مرغوب فيها أو ضارة.
• عادةً، يمكن لبرامج التجسس التي تتمتع بإمكانية الوصول عن بعد أن تكشف أيضًا عن البيانات الشخصية وكلمات المرور المحفوظة والحسابات عبر الإنترنت، على الرغم من أن المصدر لا يؤكد ذلك بالنسبة لهذه العينة.

علامات العدوى

صُمم هذا الحصان الطروادي ليعمل بصمت، لذا قد لا تظهر عليه أعراض واضحة. ولا يُقدم أي مؤشرات محددة. تشمل العلامات الشائعة للإصابة بالحصان الطروادي ما يلي:

• تباطؤ غير مبرر أو ارتفاع في نشاط وحدة المعالجة المركزية أو القرص أو الشبكة.
• الملفات المفقودة أو المتغيرة.
• برامج جديدة لم تقم بتثبيتها.
• تعطيل أدوات الأمان أو فشل تشغيلها.
• عمليات غير مألوفة تعمل في مدير المهام.

نظراً لاحتمالية غياب الأعراض، فإن إجراء فحص كامل للنظام باستخدام أداة أمان حديثة هو الطريقة الأكثر موثوقية للتحقق.

كيفية الحفاظ على الحماية

1. حافظ على تحديث نظام التشغيل ويندوز وجميع البرامج المثبتة لسد الثغرات الأمنية التي يستغلها هذا النوع من برامج التجسس.
2. قم بتنزيل البرامج فقط من مصادر رسمية وموثوقة.
3. لا تفتح مرفقات البريد الإلكتروني من مرسلين مجهولين، وكن حذراً من الصور أو مقاطع الفيديو التي تتصرف مثل البرامج أو تطلب منك تشغيلها.
4. قم بتمكين عرض امتدادات الملفات في نظام التشغيل Windows بحيث يسهل اكتشاف الملفات التنفيذية المخفية.
5. قم بإجراء عمليات فحص كاملة منتظمة وحافظ على تشغيل الحماية في الوقت الفعلي.
6. احتفظ بنسخ احتياطية غير متصلة بالإنترنت أو على السحابة للملفات المهمة حتى يمكن استعادة البيانات المحذوفة أو التالفة.

إذا كنت تشك بوجود إصابة، فافصل جهاز الكمبيوتر عن الإنترنت، وقم بإجراء فحص كامل باستخدام أداة أمان موثوقة ومحدثة، ثم احذف أي شيء يكتشفه الفحص. غيّر كلمات مرورك المهمة من جهاز نظيف بعد ذلك. إذا كان النظام خاضعًا للتحكم عن بُعد، ففكّر في استعادة النظام بالكامل أو إعادة تثبيت نظام التشغيل ويندوز.