Trojan.MSIL.Agent.MOA

Trojan.MSIL.Agent.MOA هو حصان طروادة لنظام ويندوز، ويُصنّفه نظام التغذية بمستوى خطورة 8 من 10. يشير جزء "MSIL" من الاسم إلى برنامج مبني على منصة .NET. تتظاهر أحصنة طروادة كهذا البرنامج بأنه برنامج غير ضار، بينما تُنفّذ أنشطة ضارة خفية. لا تُسجّل بيانات التغذية سوى اكتشاف واحد، لذا فإن المعلومات المتاحة محدودة. في حال عدم وجود بيانات، تُوضّح هذه المقالة السلوك النموذجي لأحصنة طروادة.

ما يفعله التهديد

بحسب التقرير، يعمل حصان طروادة بصمت في الخلفية وينفذ وظائف خبيثة. وقد يمنح المهاجمين سيطرة كاملة على النظام المصاب، وقد يقوم بحذف الملفات سراً، بالإضافة إلى إجراءات أخرى.

تتميز العينة التي تم تحليلها بالخصائص التالية:

• هو تطبيق بواجهة رسومية .NET 64 بت. وهو غير مضغوط ولا يحتوي على توقيع رقمي.
• تُظهر معلومات الإصدار أنه "LXBASE" مع وصف "بوابة FFI في الوقت المناسب". يبدو هذا كأداة تطوير شرعية، وهو تمويه شائع للبرامج الضارة.
• يحتوي على إشارات إلى فئة التشفير Rijndael وإلى الدالتين VirtualQueryEx و WriteProcessMemory . يُعدّ الكود الذي يكتب في ذاكرة العمليات الأخرى سمةً مميزةً للبرامج الضارة التي تحقن التعليمات البرمجية أو تختبئ داخل برامج أخرى.
• يستخدم هذا البرنامج تعديل الصلاحيات ( AdjustTokenPrivileges ) وربط لوحة المفاتيح أو الفأرة ( SetWindowsHookEx ). وقد تم تصنيف هذه العمليات على أنها مشبوهة. تُستخدم هذه الأنواع من عمليات الربط عادةً لمراقبة مدخلات المستخدم، على الرغم من أن التقرير لا يؤكد هذا الغرض هنا.
• يستخدم هذا النظام وظائف الشبكات مثل المقابس وعمليات البحث عن العناوين، مما يُمكّنه من التواصل عبر الشبكة. ولا يُشير البث إلى أي خادم.
• يقوم هذا الأمر بتشغيل أمر wmic لقراءة سطر الأوامر الخاص بعملية قيد التشغيل. هذه طريقة لجمع معلومات حول النظام.
• يقوم البرنامج بكتابة ملفات باسم self_exe.dat في موقعين ضمن ملف تعريف المستخدم: مجلد ذاكرة التخزين المؤقت لنظام ويندوز ومجلد ذاكرة التخزين المؤقت المؤقت "brightinfo". يشير هذا إلى أنه يخزن نسخًا من نفسه أو بيانات ذات صلة هناك.

كيف تصل عادةً إلى أجهزة الكمبيوتر

تشير التقارير إلى أن هذا الحصان الطروادي يقوم بتثبيت نفسه خلسةً. والطرق المعتادة هي:

• استغلال نقاط الضعف في النظام وعيوب الأمان.
• تنزيل البرامج من مواقع إلكترونية خبيثة.
• مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادة ما تكون ملفات بصيغة .exe أو .pif أو .avi أو حتى .jpg.

غالباً ما يقوم المهاجمون بإخفاء الملفات القابلة للتنفيذ على شكل صور أو مقاطع فيديو حتى يتمكن المستخدمون من فتحها دون إثارة الشكوك.

المخاطر التي يتعرض لها المستخدم

مع إمكانية التحكم الكامل عن بُعد، يستطيع المهاجم القيام بالعديد من الأمور. ويؤكد التقرير إمكانية حذف الملفات. تشمل أنشطة حصان طروادة المعتادة سرقة كلمات المرور والبيانات الشخصية، وتثبيت برامج ضارة أخرى، واستخدام الحاسوب لشنّ هجمات أخرى. ولأنّ العينة قادرة على التواصل عبر الشبكة ومراقبة المدخلات، فقد تكون المعلومات الشخصية والمالية مُعرّضة للخطر. هذا سلوك نموذجي لهذه الفئة، وليس نتيجة مؤكدة لهذه العينة.

علامات العدوى

صُمم هذا النوع من برامج التجسس الخبيثة ليبقى مخفيًا، لذا قد لا تظهر عليه أعراض واضحة. تشمل العلامات التحذيرية المحتملة ما يلي:

• برنامج أو عملية غير مألوفة تسمى LXBASE، أو برنامج أو عملية موصوفة بأنها "بوابة FFI في الوقت المناسب".
• ملفات self_exe.dat غير متوقعة في ذاكرة التخزين المؤقت أو المجلدات المؤقتة لملف تعريف المستخدم.
• نشاط غير مبرر للشبكة، أو تباطؤ في الأداء، أو ملفات مفقودة.

كيفية الحفاظ على الحماية

• حافظ على تحديث نظام التشغيل ويندوز وجميع برامجك لسد الثغرات التي يستغلها المهاجمون.
• لا تفتح المرفقات من مرسلين مجهولين، حتى تلك التي تبدو كصور أو مقاطع فيديو. كن حذرًا من الملفات ذات الامتدادات غير المتوقعة.
• قم بتنزيل البرامج فقط من الموقع الرسمي للناشر.
• استخدم أداة أمان موثوقة وحديثة وقم بإجراء فحص كامل للنظام إذا كنت تشك في وجود إصابة.
• احتفظ بنسخ احتياطية منتظمة غير متصلة بالإنترنت للملفات المهمة حتى يمكن استعادة البيانات المحذوفة أو التالفة.
• إذا كنت تعتقد أن جهازك مصاب، فافصل الاتصال بالإنترنت، وقم بإزالة التهديد عن طريق إجراء فحص كامل، وقم بتغيير كلمات المرور الخاصة بك من جهاز نظيف.