Trojan.MSIL.Agent.NOB

Trojan.MSIL.Agent.NOB هو برنامج تجسس من نوع حصان طروادة لنظام ويندوز، ويُصنف ضمن فئة الخطر 8 من 10. يشير جزء "MSIL" من اسمه إلى برنامج مبني على إطار عمل .NET. وكما هو الحال مع معظم برامج حصان طروادة، فإنه يتظاهر بأنه برنامج غير ضار بينما يقوم بتنفيذ أنشطة ضارة خفية. تُظهر بياناتنا أنه رُصد لأول مرة في 6 يونيو 2026، وآخر مرة في 26 أغسطس 2026.

ما يفعله التهديد

بحسب وصف البرنامج الخبيث، يقوم هذا الحصان الطروادي بتثبيت نفسه خلسةً ويعمل في الخلفية دون علم المستخدم. وقد يمنح المهاجمين سيطرة كاملة على النظام المصاب، كما قد يقوم بحذف الملفات وتثبيت برامج أخرى سرًا. الوصف غير مكتمل، لذا لا يمكننا سرد جميع وظائفه المحتملة.

تتميز العينة التي تم تحليلها بعدة سمات بارزة:

• يُقدّم نفسه على أنه برنامج مايكروسوفت تيمز ، حيث يظهر اسم "مايكروسوفت" في خانتي الشركة والعلامة التجارية. كما أن اسم ملفه الأصلي مُعدّ ليبدو كمكوّن من مكونات تيمز. هذا تمويه. مع ذلك، يحتوي اسمه الداخلي على عبارة "عميل فئران زينو"، مما يوحي بأنه أداة وصول عن بُعد. هذه ملاحظة من بيانات تعريف العينة، وليست دليلاً قاطعاً على وظيفة كل نسخة.
• هو ملف تنفيذي بواجهة رسومية .NET 32 بت. وهو غير مضغوط ولا يحتوي على توقيع رقمي.
• قام بتعديل ملف داخل مجلد في منطقة بيانات تطبيق التجوال الخاصة بالمستخدم، باسم يشير إلى "xenomanager".
• يستخدم هذا البرنامج وظائف تقرأ معلومات المستخدم والنظام، مثل اسم الكمبيوتر واللغة. كما يستخدم فحوصات مضادة للتصحيح ( IsDebuggerPresent و NtQuerySystemInformation )، والتي تُستخدم عادةً لتجنب تحليل باحثي الأمن.

في تحليل بيئة الاختبار، تم تسجيل 114 كتلة. تم تصنيف 48 منها على أنها خبيثة محتملة وتم إدراج 66 منها في القائمة البيضاء.

كيف تصل عادةً إلى أجهزة الكمبيوتر

تشير التقارير إلى أن هذا الفيروس ينتشر غالبًا عن طريق استغلال ثغرات النظام الأمنية، أو من خلال تنزيل برامج من مواقع إلكترونية خبيثة، أو عبر مرفقات البريد الإلكتروني من مصادر غير موثوقة. عادةً ما تكون المرفقات ملفات بصيغ .exe أو .pif أو .avi أو حتى .jpg. قد تكون الملفات التي تبدو كصور أو مقاطع فيديو في الواقع برامج تنفيذية.

يشير استخدام علامة مايكروسوفت تيمز المزيفة إلى احتمال محاولة البرنامج الاحتيالي الظهور كتطبيق تعاون شرعي. عادةً ما تُوزّع برامج التجسس من هذا النوع بهذه الطريقة، لكنّ الرسالة لا تُشير إلى حملة توزيع مُحدّدة.

المخاطر التي يتعرض لها المستخدم

• فقدان السيطرة: قد يتمكن المهاجمون من السيطرة الكاملة على جهاز الكمبيوتر.
• فقدان البيانات: قد يتم حذف الملفات دون علمك.
• برامج ضارة إضافية: قد يتم تثبيت برامج أخرى غير مرغوب فيها.
• التعرض للخصوصية: تسمح أدوات الوصول عن بعد من هذا النوع عادةً بالتجسس وجمع المعلومات الشخصية، على الرغم من أن المصدر لا يؤكد بالضبط ما تجمعه هذه العينة.

علامات العدوى

لأن حصان طروادة يعمل بصمت، فقد لا تظهر أعراض واضحة. ومن الأمور التي يجب الانتباه إليها ما يلي:

• برنامج "Microsoft Teams" أو برنامج مشابه لم تقم بتثبيته، وخاصةً إذا كان يعمل من موقع غير معتاد.
• مجلد غير مألوف في بيانات تطبيق التجوال الخاص بك، مثل مجلد باسم "xenomanager".
• ملفات مفقودة أو تغييرات غير مبررة في نظامك.
• تباطؤ غير متوقع، أو نشاط غريب في الشبكة، أو برامج جديدة لا تتعرف عليها.

كيفية الحفاظ على الحماية

1. حافظ على تحديث نظام التشغيل ويندوز وجميع البرامج المثبتة لضمان إغلاق الثغرات الأمنية المعروفة.
2. قم بتنزيل البرامج من المصادر الرسمية فقط. برنامج مايكروسوفت تيمز الأصلي يأتي من مايكروسوفت مباشرةً.
3. لا تفتح المرفقات من مرسلين مجهولين، حتى لو بدت كصور أو مقاطع فيديو. تحقق من امتدادات الملفات، وفعّل عرض الامتدادات في نظام ويندوز.
4. استخدم حلاً أمنياً موثوقاً وحديثاً، وقم بإجراء عمليات فحص كاملة للنظام بانتظام.
5. قم بإجراء نسخ احتياطية منتظمة للملفات المهمة، سواءً كانت غير متصلة بالإنترنت أو على السحابة.
6. إذا كنت تشك في وجود عدوى، فافصل الاتصال بالإنترنت، وقم بإجراء فحص كامل باستخدام برنامج الأمان الخاص بك، وقم بإزالة أي شيء يكتشفه، ثم قم بتغيير كلمات المرور الخاصة بك من جهاز نظيف.

لم يكن لهذه العينة أي توقيع رقمي، وتم اكتشافها مرة واحدة فقط في بياناتنا، لكن تمويهها وإمكانية التحكم بها عن بعد تبرر التعامل معها بجدية.

تقرير التحليل

معلومات عامة

اسم العائلة:	Trojan.MSIL.Agent.NOB
حالة التوقيع:	No Signature

عينات معروفة

i

عينات معروفة

يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.

MD5: 912f2c5acae8599fc7e46a34a9640fbd SHA1: c67df4d42a114548268a375b7dbb1cc3714d1caf SHA256: 45CF29EA4DFD41064E41CAAA03B393C2F13C19DC578EFA3DDB2DF33505C59680 حجم الملف: 46.59 KB,46592 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

i

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

يسرد هذا القسم سمات الملفات الموجودة ضمن عينات من عائلة البرامج الضارة. تُستخرج هذه السمات من مواصفات ملفات Windows PE (الملفات التنفيذية المحمولة) وعلامات النظام المختلفة. تُتيح سمات الملفات التنفيذية المحمولة لباحثي البرامج الضارة فهمًا أعمق لوظائف الملف، وتفاصيل تنفيذه، ونظام التشغيل، وبيئة التشغيل.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

معلومات إصدار Windows PE

i

معلومات إصدار Windows PE

يعرض هذا القسم القيم والخصائص التي تم ضبطها في بنية بيانات معلومات إصدار ملفات ويندوز لعينات ضمن هذه المجموعة. ولخداع المستخدمين، غالبًا ما يضيف مبتكرو البرامج الضارة معلومات إصدار مزيفة تحاكي البرامج الشرعية.

اسم	قيمة
Assembly Version	1.8.2.0
Company Name	Microsoft
File Description	Microsoft Teams
File Version	1.9.5.0
Internal Name	xeno rat client.exe
Legal Copyright	Copyright © 2023
Legal Trademarks	Microsoft
Original Filename	MsoftTeams.exe
Product Name	Microsoft Teams
Product Version	1.8.2.0

سمات الملف

• .NET
• ntdll
• Run
• x86

معلومات عن الكتلة

i

معلومات عن الكتلة

أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.

إجمالي الكتل:	114
الكتل التي يحتمل أن تكون ضارة:	48
الكتل المسموح بها:	66
كتل غير معروفة:	0

خريطة مرئية

0 - كتلة آمنة محتملة
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا

تم تعديل الملفات

i

تم تعديل الملفات

يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.

ملف	صفات
c:\users\user\appdata\roaming\xenomanager\c67df4d42a114548268a375b7dbb1cc3714d1caf_0000046592	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete,LEFT 262144

استخدام واجهة برمجة تطبيقات ويندوز

i

استخدام واجهة برمجة تطبيقات ويندوز

يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.

فئة	واجهة برمجة التطبيقات (API)
User Data Access	GetComputerNameEx GetUserDefaultLocaleName GetUserObjectInformation
Anti Debug	IsDebuggerPresent NtQuerySystemInformation