حصان طروادة ميتاسبلويت.جين.إي تي

Trojan.Metasploit.Gen.ET هو اكتشاف عام لبرامج حصان طروادة تستهدف أجهزة الكمبيوتر التي تعمل بنظام ويندوز. تبلغ درجة خطورته 8 من 10. رُصد لأول مرة في 23 أغسطس 2026، وآخر مرة في 28 أغسطس 2026. لا يسجل النظام سوى اكتشاف واحد حتى الآن، لذا فإن البيانات محدودة. من المهم فهم التفاصيل أدناه، خاصةً إذا قمت مؤخرًا بتثبيت أو تحديث برنامج تشغيل ألعاب.

ما يفعله التهديد

بحسب التقرير، يقوم هذا الحصان الطروادي بتثبيت نفسه خلسةً ويعمل بصمت في الخلفية، مُنفذًا وظائف خبيثة دون أن يلاحظها المستخدم. وقد يُتيح للمهاجمين السيطرة الكاملة على النظام المُصاب. تُستخدم أحصنة طروادة كهذه عادةً لتشغيل الأوامر عن بُعد، أو تنزيل برامج خبيثة إضافية، أو التجسس على المستخدم. يُشير الاسم إلى ارتباطه بإطار عمل Metasploit، وهو مجموعة أدوات لاختبار الاختراق. تُستخدم عادةً عمليات الكشف العامة التي تحمل هذا الاسم للبرامج الخبيثة المُصممة باستخدام هذه الأدوات، لكن التقرير لا يُؤكد بدقة ما يفعله هذا النموذج بعد إطلاقه.

شكل الملف الذي تم تحليله

• إنه ملف تنفيذي أصلي (ليس .NET) بواجهة مستخدم رسومية لنظام التشغيل Windows 64 بت وغير مضغوط.
• تصف معلومات الإصدار الخاص به بأنه "HoYoPlay" الإصدار 1.6.0.227 من Cognoosphere.
• تتضمن سلسلة التوقيع الرقمي الخاصة بها اسم COGNOSPHERE PTE. LTD. وجذر DigiCert، ولكن حالة التوقيع هي عدم تطابق التجزئة .
• من بين 3312 كتلة تم تحليلها، تم تصنيف 12 كتلة على أنها خبيثة محتملة، و53 كتلة غير معروفة، و3247 كتلة مدرجة في القائمة البيضاء.
• يستخدم استدعاءات النظام منخفضة المستوى من خلال ntdll.dll ويستدعي OutputDebugString، وهي واجهة برمجة تطبيقات ترتبط عادةً بفحوصات مكافحة التصحيح.

يشير عدم تطابق التجزئة إلى أن محتويات الملف لا تتطابق مع الغرض الذي أُنشئت من أجله التوقيع. يحدث هذا عادةً عند تعديل الملف بعد التوقيع أو عند تلفه. لم يوضح المصدر أيًّا من الحالتين ينطبق هنا. من المحتمل أيضًا أن يكون الكشف إيجابيًا خاطئًا، نظرًا لأن الملف يُعرّف نفسه كتطبيق معروف. تعامل مع الملف بحذر حتى تتحقق منه.

كيف تصل عادةً إلى أجهزة الكمبيوتر

تشير التقارير إلى أن هذا الفيروس عادةً ما يصل إلى النظام عبر استغلال ثغرات أمنية. كما يمكن أن يصل عبر تنزيلات البرامج من مواقع ويب خبيثة أو من خلال مرفقات البريد الإلكتروني من مصادر غير موثوقة. عادةً ما تكون المرفقات ملفات بصيغة .exe أو .pif أو .avi أو حتى .jpg. ويُعدّ التظاهر بأنه تطبيق شائع، كما يفعل هذا الملف بتفاصيل إصداره، حيلةً شائعة. يقوم المستخدمون بتنزيل ما يبدو كبرنامج تشغيل أو تحديث عادي من مصدر غير رسمي.

المخاطر التي يتعرض لها المستخدم

• تحكم كامل عن بعد في جهاز الكمبيوتر الخاص بك من قبل مهاجم.
• سرقة كلمات المرور والملفات الشخصية وبيانات الحساب (وهو أمر شائع في برامج التجسس التي تتمتع بإمكانية الوصول عن بعد).
• تثبيت برامج ضارة إضافية.
• فقدان الخصوصية والضرر المالي المحتمل في حالة الكشف عن الحسابات المصرفية أو حسابات الألعاب.

علامات العدوى

تشير التقارير إلى أن حصان طروادة يعمل بصمت، لذا قد لا تظهر أي أعراض واضحة. تشمل العلامات التحذيرية النموذجية لهذا النوع من التهديدات ما يلي:

• تباطؤ غير مبرر أو ارتفاع في نشاط وحدة المعالجة المركزية أو الشبكة.
• عمليات غير معروفة قيد التشغيل في إدارة المهام.
• تعطيل برامج الأمان أو تغيير الإعدادات من تلقاء نفسها.
• عمليات تسجيل الدخول أو عمليات الشراء التي أجريتها على حساباتك والتي لم تقم بها.
• مشغل أو تطبيق يتصرف بشكل مختلف، أو تحذير بأن توقيعه الرقمي غير صالح.

كيفية الحفاظ على الحماية

1. قم بتنزيل البرامج فقط من الموقع الرسمي للناشر أو من متجر موثوق، ولا تقم بتنزيلها مطلقًا من مواقع النسخ الاحتياطية التابعة لجهات خارجية أو من الروابط الموجودة في الرسائل.
2. لا تفتح المرفقات غير المتوقعة، حتى لو بدت كصور أو مقاطع فيديو.
3. حافظ على تحديث نظام التشغيل ويندوز وجميع البرامج لسد الثغرات التي تستغلها هذه البرامج الخبيثة.
4. تحقق من التوقيع الرقمي للملف في خصائصه. إذا أبلغ نظام ويندوز عن توقيع غير صالح أو غير متطابق، فلا تقم بتشغيله.
5. إذا ظهر لك هذا الكشف، فافصل الاتصال بالإنترنت، وقم بإجراء فحص كامل باستخدام أداة أمان حديثة وذات سمعة طيبة، ثم قم بعزل أو إزالة ما تجده.
6. إذا كان من المحتمل أن يكون الملف قد تم تشغيله على جهاز الكمبيوتر الخاص بك، فقم بتغيير كلمات المرور المهمة من جهاز نظيف وقم بتمكين المصادقة الثنائية.
7. إذا كنت تشك في أن الملف برنامج شرعي تم الإبلاغ عنه عن طريق الخطأ، فأعد تثبيت التطبيق من المصدر الرسمي وأعد الفحص.

نظراً لمستوى الخطر العالي وعدم تطابق التوقيع، فمن الأسلم افتراض أن الملف غير جدير بالثقة حتى يتم التحقق منه.

تقرير التحليل

معلومات عامة

اسم العائلة:	Trojan.Metasploit.Gen.ET
حالة التوقيع:	Hash Mismatch

عينات معروفة

i

عينات معروفة

يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.

MD5: 6c444d2977717c00b3dc14b43c35fb2c SHA1: 29082374d2ee64f310252634a07c0399e7685494 SHA256: 72DD52C220607D2C98E53142AA234D3661AAAF672CECA68492ADF868545F1B79 حجم الملف: 971.46 KB,971456 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

i

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

يسرد هذا القسم سمات الملفات الموجودة ضمن عينات من عائلة البرامج الضارة. تُستخرج هذه السمات من مواصفات ملفات Windows PE (الملفات التنفيذية المحمولة) وعلامات النظام المختلفة. تُتيح سمات الملفات التنفيذية المحمولة لباحثي البرامج الضارة فهمًا أعمق لوظائف الملف، وتفاصيل تنفيذه، ونظام التشغيل، وبيئة التشغيل.

• File doesn't have "Rich" header
• File doesn't have exports table
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

معلومات إصدار Windows PE

i

معلومات إصدار Windows PE

يعرض هذا القسم القيم والخصائص التي تم ضبطها في بنية بيانات معلومات إصدار ملفات ويندوز لعينات ضمن هذه المجموعة. ولخداع المستخدمين، غالبًا ما يضيف مبتكرو البرامج الضارة معلومات إصدار مزيفة تحاكي البرامج الشرعية.

اسم	قيمة
Company Name	Cognosphere
File Description	HoYoPlay
File Version	1.6.0.227
Legal Copyright	Copyright © COGNOSPHERE. All Rights Reserved.
Product Name	HoYoPlay
Product Version	1.6.0.227

التوقيعات الرقمية

i

التوقيعات الرقمية

يسرد هذا القسم التوقيعات الرقمية المرفقة بعينات ضمن هذه المجموعة. عند تحليل التوقيعات الرقمية والتحقق منها، من المهم التأكد من أن الجهة المصدرة للتوقيع كيان معروف وموثوق، وأن حالة التوقيع سليمة. غالبًا ما تُوقّع البرامج الضارة بتوقيعات رقمية "ذاتية التوقيع" غير موثوقة (والتي يُمكن لمطور البرامج الضارة إنشاؤها بسهولة دون أي تحقق). قد تُوقّع البرامج الضارة أيضًا بتوقيعات شرعية ذات حالة غير صالحة، وبتوقيعات من جهات مصدرية مشكوك فيها بأسماء "موقّعين" مزيفة أو مضللة.

الموقع	جذر	حالة
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch
COGNOSPHERE PTE. LTD.	DigiCert Trusted Root G4	Hash Mismatch

سمات الملف

• x64

معلومات عن الكتلة

i

معلومات عن الكتلة

أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.

إجمالي الكتل:	3,312
الكتل التي يحتمل أن تكون ضارة:	12
الكتل المسموح بها:	3,247
كتل غير معروفة:	53

خريطة مرئية

... تم اقتطاع البيانات

0 - كتلة آمنة محتملة
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا

عائلات متشابهة

i

عائلات متشابهة

يسرد هذا القسم عائلات أخرى تتشابه مع هذه العائلة، استنادًا إلى تحليل شركة إنيغما سوفت. تُصنع العديد من عائلات البرامج الضارة من نفس أدوات البرمجة الخبيثة، وتستخدم نفس تقنيات التغليف والتشفير، ولكنها تتميز بوظائف إضافية فريدة. قد تشترك العائلات المتشابهة أيضًا في شفرة المصدر، والخصائص، والأيقونات، والمكونات الفرعية، والتوقيعات الرقمية المخترقة أو غير الصالحة، وخصائص الشبكة. يستفيد الباحثون من هذه التشابهات لفرز عينات الملفات بسرعة وفعالية، وتوسيع نطاق قواعد الكشف عن البرامج الضارة.

• Trojan.Metasploit.Gen.ET

استخدام واجهة برمجة تطبيقات ويندوز

i

استخدام واجهة برمجة تطبيقات ويندوز

يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.

فئة	واجهة برمجة التطبيقات (API)
Syscall Use	ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtWriteFile UNKNOWN
Anti Debug	OutputDebugString