قاعدة بيانات التهديد أحصنة طروادة Trojan.MSIL.Agent.ACM

Trojan.MSIL.Agent.ACM

بواسطة CagedTech في أحصنة طروادة
تاريخ النشر:
آخر تحديث:

التهديدات بطاقة الأداء

ترتيب الشعبية: 23,035
مستوى التهديد: 80 % (عالي)
الروية الأولى: September 3, 2024
اخر ظهور: August 26, 2026
نظام (أنظمة) متأثر: Windows

Trojan.MSIL.Agent.ACM هو حصان طروادة يستهدف أجهزة الكمبيوتر التي تعمل بنظام ويندوز. يُصنّف هذا البرنامج بأنه خطير بدرجة 8 من 10. يعتمد نظام الكشف عنه على برنامج .NET (MSIL)، ولذلك يظهر "MSIL" في اسمه. تُشير بياناتنا إلى أنه رُصد لأول مرة في 3 سبتمبر 2024، وآخر مرة في 26 أغسطس 2026، مع تسجيل عدد قليل من عمليات الكشف عنه (2).

ما يفعله التهديد

بحسب وصف البرنامج الخبيث، يعمل حصان طروادة بصمت في الخلفية وينفذ وظائف ضارة. قد يمنح المهاجمين سيطرة كاملة على النظام المصاب، وقد يحذف الملفات سرًا ويثبت برامج إضافية. بمجرد دخول حصان طروادة إلى جهاز الكمبيوتر، قد لا تلاحظ أي مشكلة.

العينة المُحللة عبارة عن ملف تنفيذي .NET ذي 32 بت بواجهة رسومية. وهو غير مضغوط ولا يحمل توقيعًا رقميًا. تُظهر معلومات إصداره أنه تطبيق "WindowsFormsApp" عام بإصدار 1.0.0.0 وإشعار حقوق نشر لعام 2022. هذه التفاصيل العامة غير معتادة في برامج الناشرين المعروفين، ولكنها لا تُثبت وجود نية خبيثة بحد ذاتها.

تشمل السلوكيات الملحوظة في العينة ما يلي:

  • إنشاء وتغيير ملفات التكوين والملفات المؤقتة (مثل user.config والملفات التي تنتهي بـ .tmp و .newcfg) داخل مجلد يحمل اسم "windowsformsapp" في منطقة بيانات التطبيق المحلية للمستخدم.
  • تشغيل ملف باسم FreeFlashPlayer.exe من مجلد التنزيلات عبر استدعاء تنفيذ سطر الأوامر. يشير هذا إلى أن العينة تم تسليمها متخفية في صورة برنامج تشغيل مجاني.
  • باستخدام واجهات برمجة التطبيقات التي تقرأ تفاصيل النظام مثل اسم الكمبيوتر وإعدادات اللغة الافتراضية.
  • باستخدام عمليات التحقق من مكافحة التصحيح (IsDebuggerPresent و NtQuerySystemInformation)، والتي تستخدمها البرامج الضارة بشكل شائع لتجنب التحليل.
  • يستخدم هذا البرنامج وظيفة تشفير من نظام ويندوز (BCryptOpenAlgorithmProvider). ولا يوضح المصدر الغرض من استخدامه.

من بين 18 كتلة شبكة مسجلة للعينة، تم إدراج 17 منها في القائمة البيضاء وتم وضع علامة على واحدة منها على أنها خبيثة محتملة.

كيف تصل عادةً إلى أجهزة الكمبيوتر

تشير المعلومات إلى أن هذا الحصان الطروادي يقوم بتثبيت نفسه خلسةً، وغالبًا ما يكون ذلك عن طريق:

  • استغلال نقاط الضعف في النظام وعيوب الأمان.
  • تنزيل البرامج من مواقع إلكترونية خبيثة.
  • مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادةً ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.

يتوافق ملف FreeFlashPlayer.exe الذي ظهر في نشاط العينة مع نمط تنزيلات البرامج المزيفة. تُعدّ برامج "التشغيل" أو "التحديث" المجانية من المواقع غير الرسمية وسيلة شائعة لبرامج التجسس للوصول إلى المستخدمين.

المخاطر التي يتعرض لها المستخدم

  • التحكم عن بعد بجهاز الكمبيوتر الخاص بك من قبل مهاجم.
  • فقدان الملفات في حال قيام حصان طروادة بحذفها.
  • يتم تثبيت برامج إضافية غير مرغوب فيها أو ضارة دون موافقتك.
  • كشف المعلومات الشخصية. عادةً ما تقوم برامج التجسس من هذا النوع بجمع تفاصيل النظام، على الرغم من أن البيانات المسروقة لا تُدرج بيانات محددة لهذه العينة.

علامات العدوى

نظراً لأن فيروس حصان طروادة يعمل بصمت، فقد تكون الأعراض الظاهرة قليلة. لكن هذه العلامات تستحق الفحص:

  • برنامج غير مألوف باسم FreeFlashPlayer.exe في مجلد التنزيلات الخاص بك، أو برنامج لا تتذكر تشغيله.
  • مجلد "WindowsFormsApp" غير معروف في مجلد بيانات التطبيق المحلي الخاص بك.
  • الملفات المفقودة أو البرامج الجديدة التي لم تقم بتثبيتها.
  • تباطؤ الأداء أو نشاط الشبكة غير المتوقع (وهو أمر شائع في برامج التجسس، ولم يتم تأكيده في هذه العينة).

كيفية الحفاظ على الحماية

  • قم بتنزيل البرامج فقط من المواقع الرسمية لمطوريها. تجنب تنزيل برامج التشغيل أو التحديثات "المجانية" من مواقع غير مألوفة.
  • لا تفتح المرفقات من مرسلين مجهولين، وخاصة ملفات .exe أو .pif. كن حذرًا عند التعامل مع ملفات الصور أو الفيديو التي تتصرف كبرامج.
  • حافظ على تحديث نظام التشغيل Windows وجميع تطبيقاتك لضمان إغلاق الثغرات الأمنية المعروفة.
  • قم بإجراء عمليات فحص كاملة منتظمة باستخدام أداة مكافحة البرامج الضارة حديثة وذات سمعة طيبة.
  • قم بعمل نسخة احتياطية من ملفاتك المهمة على محرك أقراص خارجي أو وحدة تخزين غير متصلة بالإنترنت.
  • استخدم حساب مستخدم عادي للعمل اليومي بدلاً من حساب مسؤول النظام.

إذا كنت تشك بوجود عدوى، فافصل جهاز الكمبيوتر عن الإنترنت، وقم بإجراء فحص كامل، واحذف أي شيء تم اكتشافه. ثم غيّر كلمات المرور المهمة من جهاز نظيف. إذا استمر النظام في التصرف بشكل غريب، ففكر في طلب المساعدة من متخصص.

تقرير التحليل

معلومات عامة

اسم العائلة: Trojan.MSIL.Agent.ACM
حالة التوقيع: No Signature

عينات معروفة

MD5: db3eafe3b7890a2ff315be1ffeaba30f
SHA1: 536205262fbb6cacfa39d9b0bfd66df4d885f4c1
SHA256: E6F3B534F969ADD4A98A70EB67B53CD4917B5E2BA256467A7C6D1DA3AE817C6C
حجم الملف: 64.51 KB,64512 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have security information
  • File is .NET application
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

معلومات إصدار Windows PE

اسم قيمة
Assembly Version 1.0.0.0
File Description WindowsFormsApp
File Version 1.0.0.0
Internal Name WindowsFormsApp.exe
Legal Copyright Copyright © 2022
Original Filename WindowsFormsApp.exe
Product Name WindowsFormsApp
Product Version 1.0.0.0

سمات الملف

  • .NET
  • x86

معلومات عن الكتلة

إجمالي الكتل: 18
الكتل التي يحتمل أن تكون ضارة: 1
الكتل المسموح بها: 17
كتل غير معروفة: 0

خريطة مرئية

0 - كتلة آمنة محتملة
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا

عائلات متشابهة

  • MSIL.Agent.ACM

تم تعديل الملفات

ملف صفات
c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.newcfg Generic Write,Read Attributes
c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.newcfg Synchronize,Write Attributes
c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\5maiqjj3.tmp Generic Write,Read Attributes
c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\dtsgdecw.newcfg Generic Write,Read Attributes
c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\dtsgdecw.tmp Generic Write,Read Attributes
c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\user.config Generic Write,Read Attributes
c:\users\user\appdata\local\windowsformsapp\536205262fbb6cacfa39d9b0b_url_gtvextlrsgzjjuthgfd1sqm5r1t2ktkl\1.0.0.0\user.config Synchronize,Write Data

تعديلات السجل

المفتاح::القيمة بيانات اسم واجهة برمجة التطبيقات
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect RegNtPreCreateKey

استخدام واجهة برمجة تطبيقات ويندوز

فئة واجهة برمجة التطبيقات (API)
User Data Access
  • GetComputerNameEx
  • GetUserDefaultLocaleName
  • GetUserObjectInformation
Anti Debug
  • IsDebuggerPresent
  • NtQuerySystemInformation
Encryption Used
  • BCryptOpenAlgorithmProvider
Process Shell Execute
  • ShellExecuteEx

تنفيذ أوامر شل

(NULL) c:\users\user\downloads\FreeFlashPlayer.exe