انتشرت البرمجيات الخبيثة للعامل تسلا عبر مايكروسوفت وورد وثائق العام الماضي ، والآن عادت لتطاردنا. تطلب أحدث نسخة من برنامج التجسس من الضحايا النقر نقرًا مزدوجًا فوق رمز أزرق لتمكين عرض أوضح في مستند Word.
إذا كان المستخدم مهملاً بدرجة كافية للنقر عليه ، فسيؤدي ذلك إلى استخراج ملف exe. من الكائن المضمن في المجلد المؤقت للنظام ثم قم بتشغيله. هذا مجرد مثال على كيفية عمل هذه البرامج الضارة.
تمت كتابة البرامج الضارة في MS Visual Basic
ال البرمجيات الخبيثة مكتوب بلغة MS Visual Basic ، وقد تم تحليله بواسطة Xiaopeng Zhang الذي نشر التحليل التفصيلي على مدونته في الخامس من أبريل.
الملف القابل للتنفيذ الذي وجده كان يسمى POM.exe ، وهو نوع من برامج التثبيت. عند تشغيل ذلك ، أسقط ملفين باسم filename.exe و filename.vbs في المجلد الفرعي٪ temp٪. لتشغيله تلقائيًا عند بدء التشغيل ، يضيف الملف نفسه إلى سجل النظام كبرنامج بدء التشغيل ، ويتم تشغيله٪ temp٪ filename.exe.
تخلق البرامج الضارة عملية طفل معلقة
عند بدء تشغيل filename.exe ، سيؤدي ذلك إلى إنشاء عملية تابعة معلقة بنفس الطريقة لحماية نفسها.
بعد ذلك ، سيقوم باستخراج ملف PE جديد من مورده الخاص للكتابة فوق ذاكرة العملية التابعة. ثم يأتي استئناف تنفيذ العملية الفرعية.
- ذات صلة: أفضل 7 أدوات لمكافحة البرامج الضارة لنظام التشغيل Windows 10 لمنع التهديدات في عام 2018
تسقط البرامج الضارة برنامجًا خفيًا
تقوم البرامج الضارة أيضًا بإسقاط برنامج Daemon من مورد برنامج .Net المسمى Player في المجلد٪ temp٪ وتشغيله لحماية filename.exe. يتكون اسم برنامج الخفي من ثلاثة أحرف عشوائية ، والغرض منه واضح وبسيط.
تتلقى الوظيفة الأساسية وسيطة سطر أوامر ، وتحفظها في متغير سلسلة يسمى filePath. بعد ذلك ، ستنشئ وظيفة مؤشر ترابط تتحقق من خلالها لمعرفة ما إذا كان filename.exe يعمل كل 900 مللي ثانية. إذا تم قتل filename.exe ، فسيتم تشغيله مرة أخرى.
قال تشانغ إن FortiGuard AntiVirus اكتشف البرامج الضارة وأزالها. نوصي أن تذهب من خلال ملاحظات تشانغ المفصلة لمعرفة المزيد حول برامج التجسس وكيفية عملها.
القصص ذات الصلة التي يجب التحقق منها:
- ما المقصود بمصطلح "اكتشف Windows إصابة ببرنامج تجسس!" وكيفية إزالته؟
- لا يمكن تحديث الحماية من برامج التجسس على جهاز الكمبيوتر الخاص بك؟
- افتح ملفات WMV في نظام التشغيل Windows 10 باستخدام هذه الحلول البرمجية الخمسة
