Trojan.Penguish.KB
التهديدات بطاقة الأداء
EnigmaSoft بطاقة أداء التهديد
EnigmaSoft Threat Scorecards عبارة عن تقارير تقييم لتهديدات البرامج الضارة المختلفة والتي تم جمعها وتحليلها من قبل فريق البحث لدينا. تقوم بطاقات أداء التهديد EnigmaSoft بتقييم وتصنيف التهديدات باستخدام العديد من المقاييس بما في ذلك عوامل الخطر الواقعية والمحتملة ، والاتجاهات ، والتكرار ، والانتشار ، والمثابرة. يتم تحديث بطاقات EnigmaSoft Threat Scorecards بانتظام بناءً على بيانات ومقاييس البحث لدينا وهي مفيدة لمجموعة واسعة من مستخدمي الكمبيوتر ، من المستخدمين النهائيين الذين يبحثون عن حلول لإزالة البرامج الضارة من أنظمتهم إلى خبراء الأمن الذين يقومون بتحليل التهديدات.
تعرض بطاقات أداء التهديد EnigmaSoft مجموعة متنوعة من المعلومات المفيدة ، بما في ذلك:
تصنيف الشعبية: تصنيف تهديد معين في قاعدة بيانات التهديدات الخاصة بشركة EnigmaSoft.
مستوى الخطورة: مستوى الخطورة المحدد لشيء ما ، ممثلاً عدديًا ، بناءً على عملية نمذجة المخاطر والبحث لدينا ، كما هو موضح في معايير تقييم التهديدات الخاصة بنا.
أجهزة الكمبيوتر المصابة: عدد الحالات المؤكدة والمشتبه فيها لتهديد معين تم اكتشافه على أجهزة الكمبيوتر المصابة كما تم الإبلاغ عنها بواسطة SpyHunter.
راجع أيضًا معايير تقييم التهديد .
| ترتيب الشعبية: | 23,648 |
| مستوى التهديد: | 80 % (عالي) |
| أجهزة الكمبيوتر المصابة: | 11 |
| الروية الأولى: | March 15, 2025 |
| اخر ظهور: | November 4, 2026 |
| نظام (أنظمة) متأثر: | Windows |
Trojan.Penguish.KB هو حصان طروادة لنظام ويندوز، ويُصنّف ضمن فئة الخطر 8 من 10. وكغيره من أحصنة طروادة، يتظاهر بأنه برنامج غير ضار أو مفيد، بينما يقوم بعمله الحقيقي بهدوء في الخلفية. رُصد لأول مرة في 15 مارس 2025، وآخر مرة في 4 نوفمبر 2026، مما يدل على أنه لا يزال نشطًا.
جدول المحتويات
ما يفعله التهديد
بحسب بيانات التغذية، يقوم برنامج Penguish.KB بتثبيت نفسه خلسةً ويعمل في الخلفية دون علم المستخدم، مُنفذًا وظائف خبيثة. وقد يمنح المهاجمين سيطرة كاملة على النظام المُصاب. ويشير الوصف أيضًا إلى أنه قد يحذف الملفات سرًا. عادةً ما تقوم برامج التجسس من هذا النوع بتنزيل برامج خبيثة أخرى، ولكن النص في التغذية مُقتطع عند هذه النقطة، لذا يُرجى اعتبار ذلك سلوكًا عاديًا وليس قدرة مؤكدة.
أظهرت إحدى العينات التي تم تحليلها معلومات إصدار تُشبه أداةً لتحويل عصا التحكم إلى لوحة مفاتيح تُدعى JoyToKey. يلجأ المهاجمون عادةً إلى إخفاء البرامج الضارة أو دمجها مع برامج حقيقية لإضفاء مظهر موثوق. لا يُوضح المصدر كيفية إنشاء هذا الملف، لذا فإن العلاقة الدقيقة بينه وبين البرنامج الأصلي غير واضحة. وقد أظهرت العينة نفسها الخصائص التالية:
- هو ملف تنفيذي بواجهة مستخدم رسومية لنظام ويندوز 32 بت، وهو غير مضغوط.
- لا يحتوي على توقيع رقمي.
- يستخدم هذا البرنامج وظائف ويندوز المتعلقة بالخطافات وحالة لوحة المفاتيح (SetWindowsHookEx و GetKeyState). تستخدم أدوات إعادة تعيين المدخلات المشروعة هذه الوظائف أيضًا، ولكنها شائعة أيضًا في البرامج التي تراقب ضغطات المفاتيح.
- قام البرنامج بتعديل ملف سجل في مجلد JoyToKey داخل مجلد المستندات الخاص بالمستخدم.
نظرًا لتشابه هذه السلوكيات مع البرامج العادية، فإن أيًا منها بمفرده لا يثبت أن الملف خبيث. ويُعدّ غياب التوقيع وعدم تطابق الاسم الذي يبدو موثوقًا مع ما تم رصده من علامات تحذيرية من أسباب تدعو إلى الحذر.
كيف تصل عادةً إلى أجهزة الكمبيوتر
تتضمن قائمة التغذية مسارات التوزيع هذه:
- استغلال نقاط الضعف في النظام وعيوب الأمان.
- تنزيل البرامج من مواقع إلكترونية خبيثة.
- مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادة ما تكون بامتدادات .exe أو .pif أو .avi أو حتى .jpg.
بما أن هذه العينة تحاكي برنامجًا مساعدًا، فإن تنزيل الأدوات من مواقع غير رسمية أو نسخ مُعاد تجميعها أو مُترجمة يُعدّ خطرًا محتملاً. هذا نمط شائع لبرامج التجسس الخبيثة، وليس حقيقة مؤكدة بشأن هذا البرنامج تحديدًا.
المخاطر التي يتعرض لها المستخدم
- التحكم عن بعد بجهاز الكمبيوتر الخاص بك من قبل مهاجم.
- فقدان الملفات أو حذفها.
- تثبيت برامج إضافية غير مرغوب فيها أو ضارة، وهو أمر شائع في برامج التجسس.
- قد يؤدي إساءة استخدام وظائف لوحة المفاتيح إلى كشف البيانات المدخلة، مثل كلمات المرور. هذا احتمال قائم على الوظائف المستخدمة في العينة، وليس مؤكدًا من خلال البيانات المُستقاة من المصدر.
علامات العدوى
لا يُدرج التقرير أعراضًا ظاهرة، وقد صُمم حصان طروادة ليعمل بصمت. عمومًا، انتبه لما يلي:
- برنامج قمت بتنزيله يتصرف بشكل غريب أو يقوم بإنشاء ملفات غير متوقعة.
- تباطؤ غير مبرر أو نشاط في الخلفية.
- ملفات تختفي دون تفسير.
- برامج غير مألوفة تظهر من تلقاء نفسها.
- الحسابات التي تعرض عمليات تسجيل دخول أو تغييرات لم تقم أنت بإجرائها.
لأن العدوى قد تكون صامتة، فإن المظهر النظيف للجهاز العصبي لا ينفي احتمالية الإصابة بها.
كيفية الحفاظ على الحماية
- حافظ على تحديث نظام التشغيل ويندوز وجميع البرامج المثبتة، لأن الثغرات الأمنية هي نقطة دخول رئيسية.
إذا كنت تعتقد أنك شغّلت ملفًا مرتبطًا بهذا الكشف، فافصل اتصالك بالإنترنت، وافحص جهاز الكمبيوتر، واحذف أي شيء تم الإبلاغ عنه. بعد ذلك، غيّر كلمات مرورك من جهاز نظيف، وتحقق من حساباتك المهمة بحثًا عن أي نشاط مشبوه.
تقرير التحليل
معلومات عامة
| اسم العائلة: | Trojan.Penguish.KB |
|---|---|
| حالة التوقيع: | No Signature |
عينات معروفة
عينات معروفة
يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.|
MD5:
2984ad93d4c813379fa25fa2bc4e97dd
SHA1:
693c69f04e82bfa53ab323c06d7ec06ddf753c37
SHA256:
67CA30B9C3A42CE4A71CAEACE25F52BA349FA0FE32D8AEFC1D9F59F59C258888
حجم الملف:
4.95 MB,4946288 بايت
|
سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Show 2 more
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
أيقونات الملفات
أيقونات الملفات
يعرض هذا القسم موارد الأيقونات الموجودة ضمن عينات البرامج الضارة. غالبًا ما تُقلّد البرامج الضارة الأيقونات المرتبطة عادةً بالبرامج الشرعية لتضليل المستخدمين وإيهامهم بأن هذه البرامج الضارة آمنة.
معلومات إصدار Windows PE
معلومات إصدار Windows PE
يعرض هذا القسم القيم والخصائص التي تم ضبطها في بنية بيانات معلومات إصدار ملفات ويندوز لعينات ضمن هذه المجموعة. ولخداع المستخدمين، غالبًا ما يضيف مبتكرو البرامج الضارة معلومات إصدار مزيفة تحاكي البرامج الشرعية.| اسم | قيمة |
|---|---|
| Comments | https://joytokey.net/ |
| Company Name | JTK software |
| File Description | JoyToKey - Convert Joystick to Keyboard/Mouse Input |
| File Version | 7.0.0.565 |
| Internal Name | JoyToKey |
| Legal Copyright | Copyright(C) JTK, 1999-2024 |
| Original Filename | JoyToKey |
| Product Name | 一羞汉化 |
| Product Version | 7.0 |
| Program I D | 一羞汉化 |
سمات الملف
- HighEntropy
- VirtualQueryEx
- x86
معلومات عن الكتلة
معلومات عن الكتلة
أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.| إجمالي الكتل: | 11,644 |
|---|---|
| الكتل التي يحتمل أن تكون ضارة: | 450 |
| الكتل المسموح بها: | 11,194 |
| كتل غير معروفة: | 0 |
خريطة مرئية
... تم اقتطاع البيانات? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا
عائلات متشابهة
عائلات متشابهة
يسرد هذا القسم عائلات أخرى تتشابه مع هذه العائلة، استنادًا إلى تحليل شركة إنيغما سوفت. تُصنع العديد من عائلات البرامج الضارة من نفس أدوات البرمجة الخبيثة، وتستخدم نفس تقنيات التغليف والتشفير، ولكنها تتميز بوظائف إضافية فريدة. قد تشترك العائلات المتشابهة أيضًا في شفرة المصدر، والخصائص، والأيقونات، والمكونات الفرعية، والتوقيعات الرقمية المخترقة أو غير الصالحة، وخصائص الشبكة. يستفيد الباحثون من هذه التشابهات لفرز عينات الملفات بسرعة وفعالية، وتوسيع نطاق قواعد الكشف عن البرامج الضارة.- Ousaban.C
- Penguish.KB
- Se7enkills.A
تم تعديل الملفات
تم تعديل الملفات
يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.| ملف | صفات |
|---|---|
| c:\users\user\documents\joytokey\joytokey.log | Generic Write,Read Attributes |
تعديلات السجل
تعديلات السجل
يسرد هذا القسم مفاتيح وقيم سجل النظام التي أنشأتها أو عدّلتها أو حذفتها عينات من هذه العائلة. يمكن أن يوفر نشاط سجل نظام ويندوز معلومات قيّمة حول وظائف البرامج الضارة. بالإضافة إلى ذلك، غالبًا ما تُنشئ البرامج الضارة قيمًا في سجل النظام لتمكينها من بدء التشغيل تلقائيًا والاستمرار إلى أجل غير مسمى بعد اختراق النظام في البداية.| المفتاح::القيمة | بيانات | اسم واجهة برمجة التطبيقات |
|---|---|---|
| HKCU\system\currentcontrolset\control\mediaproperties\privateproperties\directinput\vid_0627&pid_0001\calibration\0::guid | P.�F����DEST | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\693c69f04e82bfa53ab323c06d7ec06ddf753c37_00049462886634d1dc004b7970::usesmapper | RegNtPreCreateKey | |
| HKCU\software\microsoft\directinput\mostrecentapplication::name | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_0004946288 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::id | 693C69F04E82BFA53AB323C06D7EC06DDF753C37_00049462886634D1DC004B7970 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::version | ࠀ | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::mostrecentstart | 릙ᜐ泣ǝ | RegNtPreCreateKey |
استخدام واجهة برمجة تطبيقات ويندوز
استخدام واجهة برمجة تطبيقات ويندوز
يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.| فئة | واجهة برمجة التطبيقات (API) |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Keyboard Access |
|