Trojan.ShellcodeRunner.Gen.MB

Trojan.ShellcodeRunner.Gen.MB هو حصان طروادة لنظام ويندوز تم اكتشافه تحت اسم عام. يُصنف هذا النوع من البرامج الخبيثة بدرجة خطورة 8 من 10. عادةً ما تشير هذه الاكتشافات إلى برنامج يقوم بتحميل وتشغيل شيفرة مخفية (شيل كود) في الذاكرة، لذا قد لا يكون المحتوى الضار الحقيقي مرئيًا على القرص. رُصدت العينة لأول مرة في 27 مارس 2026، ولا يتوفر تاريخ آخر ظهور لها.

ما يفعله التهديد

بحسب التقرير، يقوم هذا الحصان الطروادي بتثبيت نفسه خلسةً، ويعمل بصمت في الخلفية، وينفذ وظائف خبيثة. وقد يمنح المهاجمين سيطرة كاملة على النظام المصاب بعد تثبيته.

تُظهر العينة التي تم تحليلها العديد من السمات التقنية:

• هو ملف تنفيذي أصلي غير موقّع لنظام ويندوز، ذو واجهة رسومية، 32 بت، غير مضغوط، وليس تطبيق .NET. يحتوي على بيانات إضافية كبيرة (ملحقة بالملف) ومستوى عالٍ من العشوائية، وهو أمر شائع في البيانات المضمنة أو المشفرة.
• تُظهر معلومات الإصدار الخاصة به أنه "أداة مساعدة للنظام" من شركة تُدعى "Unified Networks Inc". غالبًا ما تستخدم البرامج الضارة تفاصيل تبدو غير ضارة مثل هذه لتبدو شرعية.
• يستخدم استدعاءات النظام منخفضة المستوى من خلال ntdll.dll، بما في ذلك استدعاءات لكتابة الملفات، وتحرير الذاكرة والاستعلام عنها، والاستعلام عن معلومات العملية.
• يشير إلى NtUnmapViewOfSection، المرتبط بالتلاعب بالعمليات والتهرب منها، وNtQuerySystemInformation، المرتبط بفحوصات مكافحة التصحيح.
• يُنشئ هذا الأمر عملية جديدة. وقد قام الأمر المُلاحَظ بتشغيل rundll32.exe لتشغيل ملف من مجلد التنزيلات الخاص بالمستخدم باستخدام نقطة دخول مُسماة.

لا يوضح التقرير محتوى الحمولة النهائية. تتضمن العائلات المشابهة المدرجة برامج سرقة البيانات وبرامج حصان طروادة عامة أخرى، لكن هذا لا يؤكد ما يفعله هذا النموذج بعد تشغيله.

كيف تصل عادةً إلى أجهزة الكمبيوتر

تشير التقارير إلى أن هذا الحصان الطروادي ينتشر عبر:

• استغلال نقاط الضعف في النظام وعيوب الأمان.
• تنزيل البرامج من مواقع إلكترونية خبيثة.
• مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادةً ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.

إن عملية الإطلاق التي لوحظت من مجلد التنزيلات تتوافق مع ملف تم تنزيله ثم تشغيله، لكن التغذية لا تؤكد مسار التسليم الدقيق لهذه العينة.

المخاطر التي يتعرض لها المستخدم

يُعدّ التحكم الكامل عن بُعد الخطر الرئيسي. ففي العادة، يستطيع المهاجم الذي يتمتع بهذا المستوى من الوصول سرقة كلمات المرور والملفات الشخصية، وتثبيت المزيد من البرامج الضارة، ومراقبة النشاط، أو استخدام الحاسوب لشنّ هجمات أخرى. ونظرًا لأنّ الشيفرة الخبيثة تعمل في الذاكرة وقد تقترن بالتلاعب بالعمليات، فقد يصعب على الأدوات الأساسية اكتشافها.

علامات العدوى

لا يُظهر التقرير أي أعراض ظاهرة. عادةً ما تعمل برامج التجسس من هذا النوع بصمت، لذا قد لا تظهر أي أعراض. من بين الدلائل المحتملة:

• برنامج غير مألوف يسمى "أداة النظام" أو عملية rundll32.exe تقوم بتشغيل ملف من مجلد التنزيلات.
• تباطؤ غير متوقع، أو أعطال، أو ارتفاع في استخدام وحدة المعالجة المركزية أو الشبكة.
• تم تعطيل برامج الأمان أو تغيير الإعدادات دون تدخل منك.
• عمليات تسجيل دخول غير معروفة أو نشاط حساب غير معروف، مما قد يشير إلى بيانات اعتماد مسروقة.

كيفية الحفاظ على الحماية

• حافظ على تحديث نظام التشغيل ويندوز وجميع البرامج المثبتة لضمان إغلاق الثغرات الأمنية المعروفة.
• قم بتنزيل البرامج فقط من مصادر رسمية وموثوقة.

إذا كنت تشك بوجود إصابة، فافصل اتصالك بالإنترنت، وقم بإجراء فحص كامل باستخدام أداة أمان محدّثة، ثم احذف أي شيء يكتشفه الفحص. بعد ذلك، غيّر كلمات مرورك المهمة من جهاز نظيف. إذا استمر النظام في التصرف بشكل غريب، ففكّر في طلب مساعدة فنية أو إعادة تثبيت نظام ويندوز بشكل كامل.