Trojan.Spy.Agent.AZ
التهديدات بطاقة الأداء
EnigmaSoft بطاقة أداء التهديد
EnigmaSoft Threat Scorecards عبارة عن تقارير تقييم لتهديدات البرامج الضارة المختلفة والتي تم جمعها وتحليلها من قبل فريق البحث لدينا. تقوم بطاقات أداء التهديد EnigmaSoft بتقييم وتصنيف التهديدات باستخدام العديد من المقاييس بما في ذلك عوامل الخطر الواقعية والمحتملة ، والاتجاهات ، والتكرار ، والانتشار ، والمثابرة. يتم تحديث بطاقات EnigmaSoft Threat Scorecards بانتظام بناءً على بيانات ومقاييس البحث لدينا وهي مفيدة لمجموعة واسعة من مستخدمي الكمبيوتر ، من المستخدمين النهائيين الذين يبحثون عن حلول لإزالة البرامج الضارة من أنظمتهم إلى خبراء الأمن الذين يقومون بتحليل التهديدات.
تعرض بطاقات أداء التهديد EnigmaSoft مجموعة متنوعة من المعلومات المفيدة ، بما في ذلك:
تصنيف الشعبية: تصنيف تهديد معين في قاعدة بيانات التهديدات الخاصة بشركة EnigmaSoft.
مستوى الخطورة: مستوى الخطورة المحدد لشيء ما ، ممثلاً عدديًا ، بناءً على عملية نمذجة المخاطر والبحث لدينا ، كما هو موضح في معايير تقييم التهديدات الخاصة بنا.
أجهزة الكمبيوتر المصابة: عدد الحالات المؤكدة والمشتبه فيها لتهديد معين تم اكتشافه على أجهزة الكمبيوتر المصابة كما تم الإبلاغ عنها بواسطة SpyHunter.
راجع أيضًا معايير تقييم التهديد .
| ترتيب الشعبية: | 22,740 |
| مستوى التهديد: | 80 % (عالي) |
| أجهزة الكمبيوتر المصابة: | 15 |
| الروية الأولى: | April 10, 2024 |
| اخر ظهور: | August 26, 2026 |
| نظام (أنظمة) متأثر: | Windows |
Trojan.Spy.Agent.AZ هو حصان طروادة لنظام ويندوز، ويُصنّف ضمن فئة برامج التجسس، ما يعني أنه مصمم للعمل بصمت وتجنب لفت الانتباه، ومنح المهاجمين إمكانية الوصول إلى جهاز الكمبيوتر. رُصد لأول مرة في 10 أبريل 2024، وآخر مرة في 26 أغسطس 2026، ما يعني أنه لا يزال نشطًا. تُشير سجلات النظام إلى رصد 15 حالة منه.
جدول المحتويات
ما يفعله التهديد
بحسب التقرير، يقوم برنامج Spy.Agent.AZ بتثبيت نفسه خلسةً ويعمل في الخلفية دون علم المُهاجمين. بعد التثبيت، قد يمنح المُهاجمين سيطرةً كاملةً على النظام. كما قد يقوم بحذف الملفات سرًا وتثبيت برامج إضافية. ينتهي نص التقرير عند هذه النقطة، لذا لا يُحدد بدقة ما يمكن أن يُثبته هذا البرنامج الخبيث أيضًا.
تشير البيانات التقنية إلى برنامج بواجهة مستخدم رسومية أصلية لنظام ويندوز 64 بت، وهو غير مضغوط. ويستخدم البرنامج العديد من القدرات التي تُعدّ نموذجية لبرامج التجسس والتحكم عن بُعد الخبيثة.
- الوصول إلى الشبكة: يستخدم وظائف الشبكات في نظام التشغيل ويندوز (WinHTTP و Winsock)، والتي يحتاجها حصان طروادة مثل هذا عادةً للتواصل مع خادم بعيد.
- التشفير: يستخدم وظيفة تشفير ويندوز. عادةً ما تستخدم البرامج الضارة هذه الخاصية لإخفاء بياناتها أو اتصالاتها.
- كتابة الذاكرة: تم وضع علامة عليها لـ WriteProcessMemory. ترتبط هذه الوظيفة عادةً بحقن التعليمات البرمجية في عمليات أخرى قيد التشغيل، على الرغم من أن المصدر لا يؤكد أن هذا ما يفعله المثال.
لوحظ أيضاً قيام العينة بتعديل ملفات في ذاكرة التخزين المؤقت لتنزيل شهادات ويندوز. قد يكون هذا مجرد أثر جانبي لعملية التحقق من التوقيع الرقمي في ويندوز، لذا لا ينبغي اعتباره دليلاً على وجود نشاط خبيث محدد.
كيف تصل عادةً إلى أجهزة الكمبيوتر
يُحدد الموقع ثلاثة مسارات رئيسية:
- استغلال نقاط الضعف في النظام وعيوب الأمان.
- تنزيل البرامج من مواقع إلكترونية خبيثة.
- مرفقات البريد الإلكتروني من مصادر غير موثوقة، وعادةً ما تكون ملفات بصيغة .exe و .pif و .avi وحتى .jpg.
يُخفي الملف المُحلل هويته أيضًا. إذ تدّعي معلومات إصداره أنه صادر عن شركة مايكروسوفت، ويُقدّم الملف باسم "setup.exe" لمنتج يُدعى "Notepad --"، ومُصنّفًا باسم "Notepad -- Setup Installer". يحمل الملف توقيعًا رقميًا صادرًا إلى "Greenengine OU"، لكن حالة التوقيع هي "Root Not Trusted". يُعدّ مُثبّتًا مُزيّفًا باسمٍ مألوف وتوقيعٍ غير موثوق سببًا وجيهًا لعدم تشغيله.
المخاطر التي يتعرض لها المستخدم
نظراً لأن هذا النوع من برامج التجسس الخبيثة قد يمنح المهاجم سيطرة كاملة على النظام، فإن الأضرار المحتملة واسعة النطاق. تشمل المخاطر الشائعة لبرامج التجسس الخبيثة ما يلي:
- سرقة البيانات الشخصية وكلمات المرور وغيرها من المعلومات الحساسة.
- فقدان الملفات أو حذفها.
- تثبيت برامج ضارة إضافية.
- استخدام شخص آخر للكمبيوتر دون علمك.
يؤكد التقرير حذف الملف، وإمكانية التحكم الكامل فيه، وعمليات التثبيت الإضافية. أما العناصر الأخرى فتصف ما هو معتاد في هذه الفئة.
علامات العدوى
يعمل حصان طروادة بصمت، لذا قد لا تظهر أي أعراض واضحة. تشمل العلامات النموذجية لهذا النوع من العدوى ما يلي:
- نشاط غير متوقع على الشبكة من برامج لا تعرفها.
- ملفات تختفي دون تفسير.
- برامج جديدة لم تقم بتثبيتها.
- تباطؤ الأداء أو سلوك النظام غير المبرر.
- ملف "setup.exe" أو برنامج تثبيت تم تشغيله مؤخراً ولم يقم بما زعم أنه يفعله.
كيفية الحفاظ على الحماية
- حافظ على تحديث نظام التشغيل ويندوز وجميع البرامج المثبتة، لأن هذا الحصان الطروادي يمكنه استغلال الثغرات الأمنية المعروفة.
- قم بتنزيل البرامج فقط من الموقع الرسمي للناشر، وكن حذرًا من برامج التثبيت التي تبدو كأدوات معروفة ولكنها تأتي من مصادر غير معروفة.
- لا تفتح المرفقات من مرسلين غير موثوق بهم، حتى لو بدا الملف كصورة أو مقطع فيديو. فالملفات التنفيذية المتخفية في هيئة صور أو وسائط متعددة هي خدعة شائعة.
- تحقق من التوقيع الرقمي للملف قبل تشغيله. إن وجود تحذير مثل "جذر غير موثوق به" يُعد مؤشراً خطيراً.
- استخدم حلاً أمنياً موثوقاً وحديثاً، وقم بإجراء فحص كامل للنظام إذا كنت تشك في وجود مشكلة.
- احتفظ بنسخ احتياطية منتظمة من الملفات المهمة على محرك أقراص أو خدمة غير متصلة بشكل دائم بجهاز الكمبيوتر الخاص بك.
إذا كنت تعتقد أنك قمت بتثبيت برنامج مشبوه، فافصل جهاز الكمبيوتر عن الإنترنت، وقم بإجراء فحص كامل وإزالة أي شيء تم اكتشافه. بعد ذلك، غيّر كلمات المرور المهمة من جهاز آخر نظيف.
تقرير التحليل
معلومات عامة
| اسم العائلة: | Trojan.Spy.Agent.AZ |
|---|---|
| حالة التوقيع: | Root Not Trusted |
عينات معروفة
عينات معروفة
يسرد هذا القسم عينات ملفات أخرى يُعتقد أنها مرتبطة بهذه العائلة.|
MD5:
95f79bb0f335e61e9141dd51bc91d395
SHA1:
9d4e073bc4d9f200e854f341032271cd92d08410
SHA256:
43ED1D8E0E162CD1B982B8BFA514A78BB0D7304CA773B31350966587E658A211
حجم الملف:
7.06 MB,7059528 بايت
|
سمات الملفات التنفيذية المحمولة لنظام التشغيل Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File has exports table
- File has TLS information
- File is 64-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Show 1 more
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
أيقونات الملفات
أيقونات الملفات
يعرض هذا القسم موارد الأيقونات الموجودة ضمن عينات البرامج الضارة. غالبًا ما تُقلّد البرامج الضارة الأيقونات المرتبطة عادةً بالبرامج الشرعية لتضليل المستخدمين وإيهامهم بأن هذه البرامج الضارة آمنة.
معلومات إصدار Windows PE
معلومات إصدار Windows PE
يعرض هذا القسم القيم والخصائص التي تم ضبطها في بنية بيانات معلومات إصدار ملفات ويندوز لعينات ضمن هذه المجموعة. ولخداع المستخدمين، غالبًا ما يضيف مبتكرو البرامج الضارة معلومات إصدار مزيفة تحاكي البرامج الشرعية.| اسم | قيمة |
|---|---|
| Company Name | Microsoft Corporation |
| File Description | setup.exe |
| File Version | 1.2.0.400 |
| Original Filename | setup.exe |
| Product Name | Notepad -- |
| Product Version | 1.2.0.400 |
| Program I D | Notepad -- Setup Installer |
التوقيعات الرقمية
التوقيعات الرقمية
يسرد هذا القسم التوقيعات الرقمية المرفقة بعينات ضمن هذه المجموعة. عند تحليل التوقيعات الرقمية والتحقق منها، من المهم التأكد من أن الجهة المصدرة للتوقيع كيان معروف وموثوق، وأن حالة التوقيع سليمة. غالبًا ما تُوقّع البرامج الضارة بتوقيعات رقمية "ذاتية التوقيع" غير موثوقة (والتي يُمكن لمطور البرامج الضارة إنشاؤها بسهولة دون أي تحقق). قد تُوقّع البرامج الضارة أيضًا بتوقيعات شرعية ذات حالة غير صالحة، وبتوقيعات من جهات مصدرية مشكوك فيها بأسماء "موقّعين" مزيفة أو مضللة.| الموقع | جذر | حالة |
|---|---|---|
| Greenengine OU | SSL.com EV Root Certification Authority RSA R2 | Root Not Trusted |
سمات الملف
- Installer Version
- WriteProcessMemory
- x64
معلومات عن الكتلة
معلومات عن الكتلة
أثناء التحليل، يقوم برنامج EnigmaSoft بتقسيم عينات الملفات إلى كتل منطقية لتصنيفها ومقارنتها بعينات أخرى. يمكن استخدام هذه الكتل لإنشاء قواعد للكشف عن البرامج الضارة، ولتجميع عينات الملفات في مجموعات بناءً على شفرة المصدر المشتركة، والوظائف، وغيرها من السمات والخصائص المميزة. يعرض هذا القسم ملخصًا لبيانات هذه الكتل، بالإضافة إلى تصنيفها بواسطة EnigmaSoft. كما يتم عرض تمثيل مرئي لبيانات الكتل، إن وُجد.| إجمالي الكتل: | 28,258 |
|---|---|
| الكتل التي يحتمل أن تكون ضارة: | 56 |
| الكتل المسموح بها: | 28,180 |
| كتل غير معروفة: | 22 |
خريطة مرئية
... تم اقتطاع البيانات? - كتلة غير معروفة
x - حظر يحتمل أن يكون خبيثًا
عائلات متشابهة
عائلات متشابهة
يسرد هذا القسم عائلات أخرى تتشابه مع هذه العائلة، استنادًا إلى تحليل شركة إنيغما سوفت. تُصنع العديد من عائلات البرامج الضارة من نفس أدوات البرمجة الخبيثة، وتستخدم نفس تقنيات التغليف والتشفير، ولكنها تتميز بوظائف إضافية فريدة. قد تشترك العائلات المتشابهة أيضًا في شفرة المصدر، والخصائص، والأيقونات، والمكونات الفرعية، والتوقيعات الرقمية المخترقة أو غير الصالحة، وخصائص الشبكة. يستفيد الباحثون من هذه التشابهات لفرز عينات الملفات بسرعة وفعالية، وتوسيع نطاق قواعد الكشف عن البرامج الضارة.- Delf.Spy.D
- Downloader.Delf.L
- Ousaban.J
- Rugmi.L
- SecureDuck.A
Show 1 more
- Spy.Agent.AZ
تم تعديل الملفات
تم تعديل الملفات
يسرد هذا القسم الملفات التي أنشأتها أو عدّلتها أو نقلتها أو حذفتها عينات من هذه العائلة. ويمكن أن يوفر نشاط نظام الملفات معلومات قيّمة حول كيفية عمل البرامج الضارة على نظام التشغيل.| ملف | صفات |
|---|---|
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\3c42bc945025a34066dab76ef3f80a05 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\fe17bec2a573bc9ae36869d0274ffa19_6da81f04c5f9ead2cd0268808fce61e1 | Generic Read,Write Data,Write Attributes,Write extended,Append data |
تعديلات السجل
تعديلات السجل
يسرد هذا القسم مفاتيح وقيم سجل النظام التي أنشأتها أو عدّلتها أو حذفتها عينات من هذه العائلة. يمكن أن يوفر نشاط سجل نظام ويندوز معلومات قيّمة حول وظائف البرامج الضارة. بالإضافة إلى ذلك، غالبًا ما تُنشئ البرامج الضارة قيمًا في سجل النظام لتمكينها من بدء التشغيل تلقائيًا والاستمرار إلى أجل غير مسمى بعد اختراق النظام في البداية.| المفتاح::القيمة | بيانات | اسم واجهة برمجة التطبيقات |
|---|---|---|
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | �RĿ���Ӂ� f�K�Q� 9dI��:��d S � 0��0" +��000 +�7< �0" +��000 +�7< �0g� 00 +�7< �0g� 00 +�7< � ^ S S L . c o m E V R o o t C e r t i f i c a t i o | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\743af0529bd032a0f44a83cdd4baa97b7c2ec49a::blob | h?X�R�!���2� S_ t:�R��2��J��Ժ�{|.Ě~ ��%� 0 + V=XΌ {PV�G5� b �`����4����%�s�Fi��b .{�l�$���⪆�ua��9�;/���mN�4�B\ L 0J++ +�7 | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | 䂁ᣅﱩⱆ疉ར碪 嚨출얜米ቺ惟Ⲍ咼S e 挰ℰଆ萪Ũɷą、〒ؐ⬊ĆĄ㞂ļ́ダء⨋梄蘁矶Ԃ܁ሰူਆثЁ舁㰷āȃ쀀ᬰԆ腧Č〃〒ؐ⬊ĆĄ㞂ļ́ী Ā 吀 ْ⬈Ćԅ̇⬈Ćԅ̇⬊ĆĄ㞂̊⬈Ćԅ̇⬈Ćԅ̇؆⬈Ćԅ̇؇⬈Ćԅ | RegNtPreCreateKey |
| HKLM\software\microsoft\systemcertificates\authroot\certificates\07e032e020b72c3f192f0628a2593a19a70f069e::blob | \ ࠀ 縟୵歖訒룀埖⩭ꕰ 뜠㼬⼙⠆妢᤺ྦྷ鸆 泥閯洬ꫲឤ꜆䑺ς 瘈쯍＇췅믭벐蓢䘷b 塜赆䦎瑾船뗒က톶㝥콊ꞃꏔ뜭쑨蹀 4 Certum Trusted Network CA T | RegNtPreCreateKey |
استخدام واجهة برمجة تطبيقات ويندوز
استخدام واجهة برمجة تطبيقات ويندوز
يسرد هذا القسم استدعاءات واجهة برمجة تطبيقات ويندوز (Windows API) المستخدمة في العينات ضمن هذه المجموعة. يُعد تحليل استخدام واجهة برمجة تطبيقات ويندوز أداة قيّمة تُساعد في تحديد الأنشطة الضارة، مثل تسجيل ضغطات المفاتيح، ورفع مستوى صلاحيات الأمان، وتشفير البيانات، وتسريب البيانات، والتداخل مع برامج مكافحة الفيروسات، والتلاعب بطلبات الشبكة.| فئة | واجهة برمجة التطبيقات (API) |
|---|---|
| Syscall Use |
Show 90 more
لم يتم عرض 12 عنصرًا إضافيًا أعلاه. |
| Network Winsock2 |
|
| Encryption Used |
|
| Network Winhttp |
|