قاعدة بيانات التهديد رسائل إلكترونية مزعجة Trojan.MSIL.Spammer.MA

Trojan.MSIL.Spammer.MA

بواسطة CagedTech في رسائل إلكترونية مزعجة, أحصنة طروادة
تاريخ النشر:

التهديدات بطاقة الأداء

مستوى التهديد: 80 % (عالي)
الروية الأولى: November 9, 2023
اخر ظهور: October 22, 2026
نظام (أنظمة) متأثر: Windows

Trojan.MSIL.Spammer.MA هو حصان طروادة يعمل على نظام ويندوز، مكتوب بلغة .NET (MSIL)، ويُصنف كتهديد عالي الخطورة، حيث تبلغ درجة خطورته 8 من 10. صُمم هذا البرنامج للتسلل إلى الأنظمة خلسةً، والعمل في الخلفية، وتنفيذ تعليمات خبيثة دون علم أو موافقة مالك الحاسوب. لذا، يُعد وجوده على أي نظام بمثابة حادث أمني خطير.

ما يفعله برنامج Trojan.MSIL.Spammer.MA

بمجرد تفعيلها على الجهاز، تعمل برمجية Trojan.MSIL.Spammer.MA الخبيثة بصمت في الخلفية، مُنفذةً عمليات ضارة في الخفاء. تُصمم برامج التجسس من هذه العائلة عادةً لمنح المهاجمين عن بُعد تحكمًا كبيرًا في الحاسوب المُصاب. قد يشمل ذلك القدرة على حذف الملفات سرًا، وتثبيت برامج خبيثة إضافية، وتعديل إعدادات النظام، والتلاعب بالعمليات الجارية على الجهاز. تستخدم العينة التي تم فحصها تقنيات مثل الكتابة إلى ذاكرة العمليات الأخرى وروتينات التشفير، وهي تقنيات شائعة الاستخدام في البرامج الخبيثة لإخفاء نشاطها، وتجنب الكشف عنها، وتصعيب تحليلها. كما تتحقق من وجود أدوات تصحيح الأخطاء، وهو أسلوب يُستخدم غالبًا لتجنب دراسة باحثي الأمن أو لتأخير الكشف. وكما يوحي اسمها، ترتبط هذه العائلة من برامج التجسس أيضًا بنشاط البريد العشوائي، مما يعني أنه يُمكن استخدام الجهاز المُصاب للمساعدة في توزيع رسائل غير مرغوب فيها أو خبيثة دون علم المستخدم.

كيف يصل عادةً إلى أجهزة الكمبيوتر

ينتشر فيروس Trojan.MSIL.Spammer.MA عادةً عبر أساليب خادعة أو استغلالية، بدلاً من خداع المستخدمين لحملهم على تثبيته عمدًا كبرنامج شرعي. تشمل طرق الإصابة الشائعة لهذا النوع من التهديدات استغلال ثغرات النظام غير المُعالجة، والبرامج المُنزّلة من مواقع ويب خبيثة أو مخترقة، ومرفقات البريد الإلكتروني المُرسلة من مصادر غير موثوقة أو مُزوّرة. يمكن إخفاء هذه المرفقات بامتدادات ملفات مُضللة، فتظهر كملفات تنفيذية أو ملفات فيديو أو حتى صور، لخداع المستخدم وفتحها. ولأن الملف الخبيث في هذه الحالة غير مُوقّع رقميًا ولا يحمل أي معلومات مُوثّقة عن الناشر، فقد يبدو عاديًا للوهلة الأولى، مما يُسهّل مروره دون فحص دقيق.

المخاطر التي يتعرض لها المستخدم

قد يؤدي وجود هذا الفيروس الخبيث على النظام إلى عواقب وخيمة. إذ قد يتمكن المهاجمون من السيطرة بشكل كامل على الحاسوب المصاب، مما قد يسمح لهم بسرقة البيانات الحساسة، أو تثبيت برامج خبيثة أخرى، أو تعطيل عمل النظام بشكل طبيعي، أو استخدام الجهاز كجزء من شبكة أكبر لأغراض ضارة، مثل إرسال البريد العشوائي. كما قد يواجه المستخدمون انخفاضًا في أداء النظام، أو أعطالًا غير متوقعة، أو تغييرات غير مصرح بها في الملفات والإعدادات.

علامات العدوى

نظرًا لأن برامج التجسس من هذا النوع مصممة للعمل خلسةً، فإن علامات التحذير الواضحة لا تظهر دائمًا. مع ذلك، قد يلاحظ المستخدمون تباطؤًا غير معتاد في النظام، أو نشاطًا غير متوقع على الشبكة، أو عمليات غير مألوفة تعمل في الخلفية، أو تعطيل أدوات الأمان أو تعطلها، أو تغييرات غير مبررة في الملفات والإعدادات.

كيفية الحفاظ على الحماية

لتقليل خطر الإصابة، ينبغي على المستخدمين تحديث نظام التشغيل وجميع البرامج المثبتة لديهم باستمرار لسد الثغرات الأمنية المعروفة. تجنبوا تحميل البرامج من مواقع غير رسمية أو مشبوهة، ولا تفتحوا أبدًا مرفقات البريد الإلكتروني من مرسلين مجهولين أو غير موثوقين، وخاصة الملفات التنفيذية المُخفية تحت مسميات أخرى. كما أن إجراء نسخ احتياطية منتظمة للبيانات المهمة واستخدام برامج أمان موثوقة ومحدثة باستمرار يُساعدان في اكتشاف وإزالة التهديدات مثل Trojan.MSIL.Spammer.MA قبل أن تُسبب ضررًا دائمًا.

تقرير التحليل

معلومات عامة

اسم العائلة: Trojan.MSIL.Spammer.MA
حالة التوقيع: No Signature

عينات معروفة

MD5: 642cf9701752df1cceaff976f0607ca7
SHA1: e69be9af27faf0ee78f049b4a3ce1633eac8adb2
SHA256: 471C0DF5CEB961E16E53A5874064EA6DCF7E18E5E7F4AEDBDEB88602E9996AD1
حجم الملف: 2.85 MB,2848768 بايت

سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have security information
  • File is .NET application
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

أيقونات الملفات

معلومات إصدار Windows PE

اسم قيمة
Assembly Version 1.1.0.2
Comments AutoPK
Company Name https://Autokid.com
File Description AutoPK
File Version 1.0.0.0
Internal Name KeoXePK.exe
Legal Copyright https://Autokid.com
Original Filename KeoXePK.exe
Product Name https://Autokid.com
Product Version 1.0.0.0

سمات الملف

  • .NET
  • ntdll
  • RijndaelManaged
  • WriteProcessMemory
  • x86

معلومات عن الكتلة

إجمالي الكتل: 3,045
الكتل التي يحتمل أن تكون ضارة: 1,439
الكتل المسموح بها: 213
كتل غير معروفة: 1,393

خريطة مرئية

... تم اقتطاع البيانات
0 - كتلة آمنة محتملة
? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا

تعديلات السجل

المفتاح::القيمة بيانات اسم واجهة برمجة التطبيقات
HKLM\software\wow6432node\microsoft\.netframework\v4.0.30319::schusestrongcrypto  RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\.netframework\v4.0.30319::schusestrongcrypto  RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\client::disabledbydefault RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\client::enabled  RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\server::disabledbydefault RegNtPreCreateKey
HKLM\system\controlset001\control\securityproviders\schannel\protocols\tls 1.2\server::enabled  RegNtPreCreateKey

استخدام واجهة برمجة تطبيقات ويندوز

فئة واجهة برمجة التطبيقات (API)
User Data Access
  • GetUserDefaultLocaleName
  • GetUserObjectInformation
Anti Debug
  • IsDebuggerPresent
  • NtQuerySystemInformation
Encryption Used
  • BCryptOpenAlgorithmProvider