قاعدة بيانات التهديد أحصنة طروادة Trojan.MSIL.Krypt.TDW

Trojan.MSIL.Krypt.TDW

بواسطة CagedTech في أحصنة طروادة
تاريخ النشر:
آخر تحديث:

التهديدات بطاقة الأداء

ترتيب الشعبية: 25,519
مستوى التهديد: 80 % (عالي)
الروية الأولى: August 8, 2026
اخر ظهور: August 27, 2026
نظام (أنظمة) متأثر: Windows

Trojan.MSIL.Krypt.TDW هو حصان طروادة يستهدف أجهزة الكمبيوتر التي تعمل بنظام ويندوز. يُصنّف هذا البرنامج ضمن فئة الخطر العالي بتقييم 8 من 10. يشير جزء "MSIL" من اسمه إلى برنامج مبني على منصة .NET. رُصد البرنامج لأول مرة في 8 أغسطس 2026، وآخر مرة في 27 أغسطس 2026. لا تُسجّل البيانات سوى رصد واحد حتى الآن، لذا لا تتوفر معلومات كافية حول مدى انتشاره.

ما يفعله التهديد

كغيره من برامج التجسس الخبيثة، صُمم هذا البرنامج ليعمل بصمت في الخلفية وينفذ مهامًا ضارة دون أن يلاحظها المستخدم. ووفقًا للتقارير، قد يمنح المهاجمين سيطرة كاملة على النظام المصاب، وقد يقوم بحذف الملفات سرًا، بالإضافة إلى وظائف ضارة أخرى.

تُظهر العينة التي تم تحليلها العديد من السمات التقنية:

  • إنه ملف تنفيذي لواجهة المستخدم الرسومية .NET 32 بت غير مضغوط ولا يحمل أي توقيع رقمي.
  • تستخدم معلومات الإصدار الاسم الداخلي والأصلي "Aventa2xUninstaller.exe"، مما يجعله يبدو كأداة لإزالة البرامج الضارة. غالبًا ما تستخدم برامج التجسس أسماءً تبدو بريئة كهذه، لكن المصدر لا يشير إلى أن الاسم تمويه متعمد.
  • يستخدم فحصًا مضادًا للتصحيح (IsDebuggerPresent)، والذي يُستخدم عادةً لجعل التحليل أكثر صعوبة.
  • يستدعي هذا البرنامج وظائف متعلقة بمعالجة العمليات، بما في ذلك NtUnmapViewOfSection و ReadProcessMemory. ويرتبط هذا المزيج عادةً بالتلاعب بالعمليات الأخرى، على الرغم من أن التقرير لا يؤكد ما تم فعله هنا.
  • يستخدم البرنامج وظيفة تشفير ويندوز (BCryptOpenAlgorithmProvider) وينشئ عملية جديدة. أثناء التحليل، قام بتشغيل مكون الإبلاغ عن الأخطاء الخاص بإطار عمل .NET (dw20.exe).
  • لقد أثر على ملفات معاملات سجل ويندوز في ملف تعريف المستخدم، وملف Amcache، وأنبوب مسمى.

من بين 208 كتلة نشاط تم رصدها، تم تصنيف 8 منها على أنها خبيثة محتملة، وتم إدراج 90 منها في القائمة البيضاء، بينما كانت 110 منها غير معروفة.

كيف تصل عادةً إلى أجهزة الكمبيوتر

تشير التقارير إلى أن هذا الحصان الطروادي يقوم بتثبيت نفسه خلسةً. والطرق المعتادة هي:

  • استغلال نقاط الضعف في النظام وعيوب الأمان.
  • تنزيل البرامج من مواقع إلكترونية خبيثة.
  • مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادةً ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.

تُعد الملفات التي تتظاهر بأنها صور أو مقاطع فيديو خدعة نموذجية، حيث يميل المستخدمون إلى فتحها دون شك.

المخاطر التي يتعرض لها المستخدم

  • قد يتمكن المهاجمون عن بعد من السيطرة الكاملة على جهاز الكمبيوتر.
  • قد يتم حذف الملفات دون علمك.
  • قد يتم تثبيت برامج خبيثة أخرى. هذا أمر شائع في برامج التجسس، على الرغم من أن مقتطف التغذية يُقطع قبل سرد كل وظيفة.
  • قد تتعرض البيانات الشخصية والحسابات الموجودة على الجهاز للخطر. هذا خطر شائع لبرامج التجسس التي تتمتع بقدرات التحكم عن بُعد، وليس سلوكًا مؤكدًا لهذه العينة.

علامات العدوى

صُمم هذا الفيروس الخبيث ليبقى مخفيًا، لذا قد لا تظهر عليه أعراض واضحة. تشمل العلامات التحذيرية الشائعة لهذا النوع من التهديدات ما يلي:

  • تباطؤ غير متوقع أو استخدام مرتفع للموارد ناتج عن عمليات غير مألوفة.
  • الملفات التي تختفي أو تتغير دون تفسير.
  • برامج غير معروفة، أو نوافذ الإبلاغ عن الأخطاء التي تظهر بدون سبب.
  • أداة أمان تنبهك إلى اسم الكشف Trojan.MSIL.Krypt.TDW.
  • ملف يحمل اسمًا مشابهًا لبرنامج إلغاء تثبيت لم تقم بتنزيله أو تشغيله عمدًا.

كيفية الحفاظ على الحماية

  • لا تفتح المرفقات من مرسلين مجهولين، وخاصة ملفات .exe أو .pif وملفات الوسائط التي تتصرف بشكل غريب.
  • قم بتنزيل البرامج فقط من مصادر رسمية وموثوقة، وتجنب استخدام برامج التثبيت المقرصنة أو غير الرسمية.
  • حافظ على تحديث نظام التشغيل ويندوز وجميع تطبيقاتك لسد الثغرات التي تستغلها برامج التجسس.
  • استخدم حلاً أمنياً موثوقاً وحديثاً مع حماية فورية وقم بإجراء عمليات فحص كاملة منتظمة.
  • احتفظ بنسخ احتياطية من الملفات المهمة على جهاز أو خدمة غير متصلة بشكل دائم بجهاز الكمبيوتر الخاص بك.

    • إذا كنت تشك بوجود إصابة، فافصل جهاز الكمبيوتر عن الإنترنت، وقم بإجراء فحص كامل، وأزل أي شيء تم اكتشافه. بعد ذلك، غيّر كلمات مرورك المهمة من جهاز نظيف، لأن حصان طروادة يتمتع بإمكانية الوصول عن بُعد قد يكون قد كشفها.

    تقرير التحليل

    معلومات عامة

    اسم العائلة: Trojan.MSIL.Krypt.TDW
    حالة التوقيع: No Signature

    عينات معروفة

    MD5: 404f46839df957a1ea63b5d9ed0117c0
    SHA1: 305135a9d1716386415a1b3571f76b2089fb81cf
    SHA256: 9D5B1BAACF327FA304C696E80F2FB04C33DD96E484DFDC729C4B387ACBD86354
    حجم الملف: 466.43 KB,466432 بايت

    سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

    • File doesn't have "Rich" header
    • File doesn't have debug information
    • File doesn't have exports table
    • File doesn't have security information
    • File is .NET application
    • File is 32-bit executable
    • File is either console or GUI application
    • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
    • File is not packed
    • IMAGE_FILE_DLL is not set inside PE header (Executable)
    Show 1 more
    • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

    أيقونات الملفات

    معلومات إصدار Windows PE

    اسم قيمة
    Assembly Version 1.0.3541.16625
    File Version 1.0.3541.16625
    Internal Name Aventa2xUninstaller.exe
    Original Filename Aventa2xUninstaller.exe
    Product Version 1.0.3541.16625

    سمات الملف

    • .NET
    • HighEntropy
    • Installer Version
    • x86

    معلومات عن الكتلة

    إجمالي الكتل: 208
    الكتل التي يحتمل أن تكون ضارة: 8
    الكتل المسموح بها: 90
    كتل غير معروفة: 110

    خريطة مرئية

    0 - كتلة آمنة محتملة
    ? - كتلة غير معروفة
    x - حظر يحتمل أن يكون خبيثًا

    تم تعديل الملفات

    ملف صفات
    \device\namedpipe\gmdasllogger Generic Write,Read Attributes
    c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.0.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
    c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
    c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms Generic Read,Write Data,Write Attributes,Write extended,Append data
    c:\windows\appcompat\programs\amcache.hve Read Data,Read Control,Write Data
    c:\windows\appcompat\programs\amcache.hve Write Attributes

    تعديلات السجل

    المفتاح::القيمة بيانات اسم واجهة برمجة التطبيقات
    HKLM\system\software\microsoft\tip\aggregateresults::data ⳛ˼耀塉»ⳛ˼耀塉 隞̃́耀꧌ڌԹ RegNtPreCreateKey

    استخدام واجهة برمجة تطبيقات ويندوز

    فئة واجهة برمجة التطبيقات (API)
    Syscall Use
    • ntdll.dll!NtAccessCheck
    • ntdll.dll!NtAdjustPrivilegesToken
    • ntdll.dll!NtAlertThreadByThreadId
    • ntdll.dll!NtAlpcConnectPort
    • ntdll.dll!NtAlpcSendWaitReceivePort
    • ntdll.dll!NtApphelpCacheControl
    • ntdll.dll!NtAssociateWaitCompletionPacket
    • ntdll.dll!NtClearEvent
    • ntdll.dll!NtClose
    • ntdll.dll!NtConnectPort
    Show 78 more
    • ntdll.dll!NtCreateEvent
    • ntdll.dll!NtCreateIoCompletion
    • ntdll.dll!NtCreateKey
    • ntdll.dll!NtCreateMutant
    • ntdll.dll!NtCreateSection
    • ntdll.dll!NtCreateSemaphore
    • ntdll.dll!NtCreateTimer2
    • ntdll.dll!NtCreateWaitCompletionPacket
    • ntdll.dll!NtCreateWorkerFactory
    • ntdll.dll!NtDelayExecution
    • ntdll.dll!NtDeleteValueKey
    • ntdll.dll!NtDeviceIoControlFile
    • ntdll.dll!NtDuplicateObject
    • ntdll.dll!NtDuplicateToken
    • ntdll.dll!NtEnumerateKey
    • ntdll.dll!NtEnumerateValueKey
    • ntdll.dll!NtFreeVirtualMemory
    • ntdll.dll!NtFsControlFile
    • ntdll.dll!NtLoadKeyEx
    • ntdll.dll!NtMapViewOfSection
    • ntdll.dll!NtNotifyChangeKey
    • ntdll.dll!NtOpenDirectoryObject
    • ntdll.dll!NtOpenEvent
    • ntdll.dll!NtOpenFile
    • ntdll.dll!NtOpenKey
    • ntdll.dll!NtOpenKeyEx
    • ntdll.dll!NtOpenProcessToken
    • ntdll.dll!NtOpenProcessTokenEx
    • ntdll.dll!NtOpenSection
    • ntdll.dll!NtOpenSemaphore
    • ntdll.dll!NtOpenSymbolicLinkObject
    • ntdll.dll!NtOpenThread
    • ntdll.dll!NtOpenThreadToken
    • ntdll.dll!NtOpenThreadTokenEx
    • ntdll.dll!NtProtectVirtualMemory
    • ntdll.dll!NtQueryAttributesFile
    • ntdll.dll!NtQueryDefaultLocale
    • ntdll.dll!NtQueryDirectoryFileEx
    • ntdll.dll!NtQueryInformationFile
    • ntdll.dll!NtQueryInformationProcess
    • ntdll.dll!NtQueryInformationThread
    • ntdll.dll!NtQueryInformationToken
    • ntdll.dll!NtQueryKey
    • ntdll.dll!NtQueryLicenseValue
    • ntdll.dll!NtQueryPerformanceCounter
    • ntdll.dll!NtQuerySecurityAttributesToken
    • ntdll.dll!NtQuerySecurityObject
    • ntdll.dll!NtQuerySymbolicLinkObject
    • ntdll.dll!NtQuerySystemInformation
    • ntdll.dll!NtQuerySystemInformationEx
    • ntdll.dll!NtQueryValueKey
    • ntdll.dll!NtQueryVirtualMemory
    • ntdll.dll!NtQueryWnfStateData
    • ntdll.dll!NtReadRequestData
    • ntdll.dll!NtReadVirtualMemory
    • ntdll.dll!NtReleaseMutant
    • ntdll.dll!NtReleaseSemaphore
    • ntdll.dll!NtReleaseWorkerFactoryWorker
    • ntdll.dll!NtRequestWaitReplyPort
    • ntdll.dll!NtSetEvent
    • ntdll.dll!NtSetInformationKey
    • ntdll.dll!NtSetInformationProcess
    • ntdll.dll!NtSetInformationThread
    • ntdll.dll!NtSetInformationVirtualMemory
    • ntdll.dll!NtSetInformationWorkerFactory
    • ntdll.dll!NtSubscribeWnfStateChange
    • ntdll.dll!NtTestAlert
    • ntdll.dll!NtTraceControl
    • ntdll.dll!NtTraceEvent
    • ntdll.dll!NtUnmapViewOfSection
    • ntdll.dll!NtUnmapViewOfSectionEx
    • ntdll.dll!NtWaitForAlertByThreadId
    • ntdll.dll!NtWaitForSingleObject
    • ntdll.dll!NtWaitForWorkViaWorkerFactory
    • ntdll.dll!NtWaitLowEventPair
    • ntdll.dll!NtWorkerFactoryWorkerReady
    • ntdll.dll!NtWriteFile
    • UNKNOWN
    User Data Access
    • GetUserObjectInformation
    Anti Debug
    • IsDebuggerPresent
    Process Manipulation Evasion
    • NtUnmapViewOfSection
    • ReadProcessMemory
    Process Shell Execute
    • CreateProcess
    Encryption Used
    • BCryptOpenAlgorithmProvider

    تنفيذ أوامر شل

    C:\Windows\Microsoft.NET\Framework64\v2.0.50727\\dw20.exe dw20.exe -x -s 836