Malware Today: Infostealers, Banking Trojans, RATs, Cryptojacking and Moreنەرمەواڵەی زیانبەخشی ئەمڕۆ: نەرمەواڵە زانیاریدزەکان، ئەسپەکانی ترۆیای بانکی، RAT، کریپتۆجاکینگ و زیاتر

The classic types from Malware are still around, but how criminals use them has changed. Today malware is an industry: one group writes a stealer and rents it out, another buys the stolen passwords, a third uses them to break into companies and sells that access to a ransomware gang. Each step is a product with a price. The course notes describe eight types that grew strongly by late 2024; this lesson checks every example against reliable reports and adds two more ways attackers work today: fileless attacks and supply-chain attacks.

جۆرە کلاسیکەکانی نەرمەواڵەی زیانبەخش هێشتا هەن، بەڵام شێوازی بەکارهێنانیان لە لایەن تاوانبارانەوە گۆڕاوە. ئەمڕۆ نەرمەواڵەی زیانبەخش پیشەسازییەکە: گرووپێک دزێک دەنووسێت و بە کرێی دەدات، گرووپێکی تر تێپەڕەوشە (Password) دزراوەکان دەکڕێت، سێیەمیان بەکاریان دەهێنێت بۆ دزەکردن بۆ ناو کۆمپانیاکان و ئەو دەستڕاگەیشتنە بە دەستەیەکی نەرمەواڵەی بارمتەگر (Ransomware) دەفرۆشێت. هەر هەنگاوێک بەرهەمێکە بە نرخێک. تێبینییەکانی کۆرسەکە هەشت جۆر وەسف دەکەن کە تا کۆتایی ٢٠٢٤ بە توندی گەشەیان کرد؛ ئەم وانەیە هەموو نموونەیەک لەگەڵ ڕاپۆرتە متمانەپێکراوەکان بەراورد دەکات و دوو ڕێگای تری کارکردنی هێرشبەرەکانی (Attacker) ئەمڕۆ زیاد دەکات: هێرشی بێفایل و هێرشەکانی زنجیرەی دابینکردن.

An infostealer is malware made to copy sensitive information from an infected device: passwords saved in the browser, cookies that keep you logged in, card details, crypto wallets, files. It usually arrives through malicious ads, fake or 'cracked' software and infected websites. In seconds it packs everything into a file (criminals call it a log) and sends it away. Logs are sold in bulk on criminal forums or used directly for the next attack. A stolen session cookie is especially dangerous: it can let an attacker into an account without the password or the second factor, because the website thinks the session is still yours.

نەرمەواڵەی زانیاریدز نەرمەواڵەیەکی زیانبەخشە کە بۆ کۆپیکردنی زانیاریی هەستیار لە ئامێرێکی تووشبوو دروست کراوە: تێپەڕەوشە هەڵگیراوەکان لە تۆڕگەڕدا (Web browser)، ئەو کووکییانەی لە ژوورەوە دەتهێڵنەوە، زانیاریی کارت، جزدانی پارەی کریپتۆ (Cryptocurrency)، فایلەکان (File). زۆرجار لە ڕێگەی ڕیکلامی زیانبەخش، نەرمەواڵەی (Software) ساختە یان «شکێنراو» و تۆڕگە (Website) تووشبووەکانەوە دێت. لە چەند چرکەیەکدا هەموو شتێک لە فایلێکدا دەپێچێت (تاوانباران پێی دەڵێن لۆگ) و دەینێرێت. ئەم لۆگانە بە کۆمەڵ لە مەکۆ تاوانکارییەکاندا دەفرۆشرێن یان ڕاستەوخۆ بۆ هێرشی داهاتوو بەکار دەهێنرێن. کووکیی سێشنی دزراو بە تایبەتی مەترسیدارە: دەتوانێت هێرشبەرێک بەبێ تێپەڕەوشە یان هۆکاری دووەم بخاتە ناو هەژمارێکەوە، چونکە تۆڕگەکە وا دەزانێت سێشنەکە هێشتا هی تۆیە.

A well-documented case: Snowflake customers (2024). In mid-2024 attackers logged in to the cloud data accounts of about 165 organisations that used the Snowflake platform and stole large amounts of data. Mandiant found that the platform itself had not been hacked: the attackers used usernames and passwords stolen by infostealers — some infections went back to 2020 — and the accounts had no multi-factor authentication, passwords that had never been changed, and no limits on where logins could come from.

دۆسیەیەکی بە باشی بەڵگەدار: کڕیارانی Snowflake (٢٠٢٤). لە ناوەڕاستی ٢٠٢٤دا هێرشبەرەکان چوونە ناو هەژمارەکانی دراوەی (Data) هەوریی نزیکەی ١٦٥ ڕێکخراو کە پلاتفۆرمی Snowflakeـیان بەکار دەهێنا و بڕێکی زۆر دراوەیان دزی. Mandiant دۆزییەوە کە خودی پلاتفۆرمەکە هاک نەکرابوو: هێرشبەرەکان ناوی بەکارهێنەر (Username) و تێپەڕەوشەکان بەکار هێنا کە نەرمەواڵە زانیاریدزەکان دزیبوویانن — هەندێک تووشبوون دەگەڕانەوە بۆ ٢٠٢٠ — و هەژمارەکان پشتڕاستکردنەوەی فرەهۆکارییان نەبوو، تێپەڕەوشەکان هەرگیز نەگۆڕدرابوون و هیچ سنوورێک نەبوو بۆ ئەوەی لە کوێوە دەتوانرێت بچیتە ژوورەوە.

Malvertising (malicious advertising) hides harmful code or links inside online adverts, often bought on real advertising networks. A typical trick: you search for a free program, and the first result is an advert that looks exactly like the official website but leads to a fake copy with malware — very often an infostealer. Some malicious ads try to redirect you to phishing pages. Because the ads appear on trusted search engines and news sites, careful people are fooled too.

ڕیکلامی زیانبەخش کۆدی زیانبەخش یان بەستەرەکان (Hyperlink) لەناو ڕیکلامە ئۆنلاینەکاندا دەشارێتەوە، کە زۆرجار لە تۆڕە ڕاستەقینەکانی ڕیکلامدا کڕدراون. فێڵێکی باو: بەدوای بەرنامەیەکی بێبەرانبەردا دەگەڕێیت و یەکەم ئەنجام ڕیکلامێکە کە ڕێک وەک تۆڕگەی فەرمی دەردەکەوێت بەڵام بەرەو کۆپییەکی ساختە بە نەرمەواڵەی زیانبەخشەوە دەتبات — زۆرجار نەرمەواڵەیەکی زانیاریدز. هەندێک ڕیکلامی زیانبەخش هەوڵ دەدەن بەرەو پەڕەکانی فیشینگ (Phishing) بتگوازنەوە. لەبەر ئەوەی ڕیکلامەکان لەسەر بزوێنەرە گەڕانە متمانەپێکراوەکان و تۆڕگەکانی هەواڵ دەردەکەون، خەڵکی وریاش فریو دەخۆن.

Malwarebytes reported that malvertising 'made a comeback' in 2023. The brands most often copied in fake download ads included Amazon, Notepad++ and TradingView, and the commonest malware it found that year were stealers such as Vidar and RedLine.

Malwarebytes ڕاپۆرتی دا کە ڕیکلامی زیانبەخش لە ٢٠٢٣دا «گەڕایەوە». ئەو براندانەی زۆرتر لە ڕیکلامی ساختەی دابەزاندندا (Download) کۆپی کران Amazon، ⁦Notepad++⁩ و TradingView بوون و باوترین نەرمەواڵەی زیانبەخش کە ئەو ساڵە دۆزییەوە دزەکانی وەک Vidar و RedLine بوون.

A mobile banking Trojan pretends to be a normal app — a browser update, a video player, a 'security' tool — and, once installed, steals banking logins or takes over the phone to move money. Most of them do not come from the official store: a message or a website persuades the victim to download an installation file and side-load it. Then the app asks for Accessibility permission. This Android feature exists to help people with disabilities, but it lets an app read the screen and tap buttons — in practice, full control of the phone.

ئەسپی ترۆیای بانکی لەسەر مۆبایل خۆی وەک ئەپێکی (App) ئاسایی پیشان دەدات — نوێکردنەوەی (Update) تۆڕگەڕ، لێدەری ڤیدیۆ، ئامرازێکی «ئاسایش (Security)» — و کاتێک دامەزرا، زانیاریی چوونەژوورەوەی بانکی دەدزێت یان مۆبایلەکە دەگرێتە دەست بۆ گواستنەوەی پارە. زۆربەیان لە فرۆشگا فەرمییەکەوە نایەن: نامەیەک یان تۆڕگەیەک قوربانییەکە قایل دەکات فایلێکی دامەزراندن دابەزێنێت و لە دەرەوەی فرۆشگا دایبمەزرێنێت. پاشان ئەپەکە داوای مۆڵەتی Accessibility دەکات. ئەم تایبەتمەندییەی Android بۆ یارمەتیدانی کەسانی خاوەن پێداویستیی تایبەت هەیە، بەڵام ڕێگە بە ئەپێک دەدات شاشەکە بخوێنێتەوە و دوگمەکان دابگرێت — لە ڕاستیدا کۆنترۆڵی تەواوی مۆبایلەکە.

Example: ToxicPanda (identified in late October 2024). Researchers at the Italian company Cleafy found this Android banking Trojan on more than 1,500 devices — over half in Italy, the rest mainly in Portugal, Spain and parts of Latin America. Victims were tricked into side-loading it. It abused Accessibility services, read the one-time codes banks send by SMS so it could get around two-factor authentication, and let criminals control the phone remotely to make transfers from the victim's own device, which makes the fraud harder for banks to notice.

نموونە: ToxicPanda (لە کۆتایی تشرینی یەکەمی ٢٠٢٤دا ناسرایەوە). توێژەرانی کۆمپانیای ئیتاڵیی Cleafy ئەم ئەسپی ترۆیای بانکیی Androidـەیان لەسەر زیاتر لە ١٬٥٠٠ ئامێر دۆزییەوە — زیاتر لە نیوەیان لە ئیتاڵیا، ئەوانی تر بە شێوەیەکی سەرەکی لە پورتوگال، ئیسپانیا و بەشێک لە ئەمریکای لاتین. قوربانییەکان فریو دران بۆ ئەوەی لە دەرەوەی فرۆشگا دایبمەزرێنن. خزمەتگوزارییەکانی Accessibilityـی خراپ بەکار هێنا، تێپەڕەوشە یەکجارییەکانی ناو نامە کورتەکانی (SMS) بانکەکانی دەخوێندەوە بۆ ئەوەی لە پشتڕاستکردنەوەی دوو قۆناغی (Two-factor authentication) تێبپەڕێت و ڕێگەی بە تاوانباران دەدا لە دوورەوە مۆبایلەکە کۆنترۆڵ بکەن بۆ گواستنەوەی پارە لە ئامێری خودی قوربانییەکەوە، کە دۆزینەوەی فێڵەکە بۆ بانکەکان قورستر دەکات.

A remote access Trojan (RAT) gives an attacker control of an infected computer from far away, as if they were sitting at it: they can browse files, run programs, record the screen and switch on the camera. RATs are a favourite tool of cyber-espionage — secretly stealing valuable information such as research, plans or private communication over computer networks.

ئەسپی ترۆیای دەستڕاگەیشتن لە دوورەوە (Remote access trojan) ⁦(RAT)⁩ کۆنترۆڵی کۆمپیوتەرێکی تووشبوو لە دوورەوە دەداتە هێرشبەرێک، وەک ئەوەی لە پێشیەوە دانیشتبێت: دەتوانێت بەناو فایلەکاندا بگەڕێت، بەرنامە کار پێبکات، شاشەکە تۆمار بکات و کامێراکە هەڵبکات. RATـەکان ئامرازی دڵخوازی سیخوڕیی سایبەرین (Cyber espionage) — دزینی زانیاریی بەنرخ بە نهێنی، وەک توێژینەوە، پلان یان پەیوەندیی تایبەتی لە ڕێگەی ڕایەڵەکانی (Network) کۆمپیوتەرەوە.

Example: SugarGh0st. SugarGh0st is a customised version of an older RAT called Gh0st RAT. Cisco Talos first described it in November 2023, when it was used against targets in Central and East Asia. In May 2024 Proofpoint reported a small campaign that sent it, inside a zip file attached to an AI-themed e-mail, to fewer than 10 people linked to one leading US artificial-intelligence organisation. Proofpoint judged that the goal was probably non-public information about generative AI, and it could not say with high confidence who was behind it.

نموونە: ⁦SugarGh0st⁩. ⁦SugarGh0st⁩ وەشانێکی گۆڕدراوی RATێکی کۆنترە بە ناوی ⁦Gh0st RAT. Cisco Talos⁩ یەکەم جار لە تشرینی دووەمی ٢٠٢٣دا وەسفی کرد، کاتێک دژی ئامانجەکان لە ئاسیای ناوەڕاست و ڕۆژهەڵات بەکار دەهات. لە ئایاری ٢٠٢٤دا Proofpoint ڕاپۆرتی هەڵمەتێکی بچووکی دا کە ئەوی، لەناو فایلێکی zip کە بە ئیمەیڵێکەوە (Email) دەربارەی ژیریی دەستکرد هاوپێچ کرابوو، بۆ کەمتر لە ١٠ کەس نارد کە پەیوەندییان بە ڕێکخراوێکی پێشەنگی ژیریی دەستکردی ئەمریکاوە هەبوو. Proofpoint بڕیاری دا کە ئامانجەکە ڕەنگە زانیاریی بڵاونەکراوە بووبێت دەربارەی ژیریی دەستکردی بەرهەمهێنەر (Generative AI) و نەیتوانی بە دڵنیاییەکی بەرز بڵێت کێ لە پشتیەوە بوو.

Cryptojacking malware secretly uses someone else's computer, phone or cloud server to mine cryptocurrency — to do the heavy calculations that are rewarded with new coins. The attacker keeps the coins; the victim pays with slow devices, hot processors, high electricity or cloud bills and worn-out hardware. It can hide in a program, in a hacked server, or as a script on a website that mines while the page is open.

نەرمەواڵەی زیانبەخشی کریپتۆجاکینگ بە نهێنی کۆمپیوتەر، مۆبایل یان ڕاژەکاری (Server) هەوریی کەسێکی تر بەکار دەهێنێت بۆ دەرهێنانی پارەی کریپتۆ — بۆ ئەنجامدانی ئەو هەژمارە قورسانەی کە بە پارەی نوێ پاداشت دەدرێنەوە. هێرشبەرەکە پارەکان بۆ خۆی دەبات؛ قوربانییەکە بە ئامێری خاو، پرۆسێسەری گەرم، پسوولەی کارەبا یان هەوری بەرز و ڕەقەواڵەی (Hardware) فەرسوود باجەکەی دەدات. دەتوانێت لە بەرنامەیەکدا، لە ڕاژەکارێکی هاککراودا یان وەک دەسنووسێک (Script) لەسەر تۆڕگەیەک خۆی بشارێتەوە کە تا پەڕەکە کراوە بێت دەردەهێنێت.

The security company SonicWall counted 1.1 billion cryptojacking attempts in 2023 — a record, up 659% on the year before. So the notes' 'over 1 billion by the end of 2023' is right. But the trend is not simply 'rising with Bitcoin': in the first half of 2024 SonicWall saw cryptojacking fall by 60%, as criminals moved to other ways of making money.

کۆمپانیای ئاسایشی SonicWall لە ٢٠٢٣دا ١٫١ ملیار هەوڵی کریپتۆجاکینگی ژمارد — ڕیکۆردێک، ٦٥٩٪ زیاتر لە ساڵی پێشوو. کەواتە «زیاتر لە ١ ملیار تا کۆتایی ٢٠٢٣»ی تێبینییەکان ڕاستە. بەڵام ڕەوتەکە تەنها «بەرزبوونەوە لەگەڵ Bitcoin» نییە: لە نیوەی یەکەمی ٢٠٢٤دا SonicWall بینی کریپتۆجاکینگ ٦٠٪ کەم بووەوە، چونکە تاوانباران ڕوویان کردە ڕێگای تری پارە پەیداکردن.

Attackers use AI just as defenders do. The course describes AI-powered malware that can change its behaviour to avoid detection, and AI-generated content that makes phishing and social engineering more convincing. Today the clearest effect is on phishing: AI writes fluent, personal messages in any language with no spelling mistakes, so the old advice 'look for bad grammar' no longer works. Deepfake voices and videos are the same idea applied to calls (see AI ethics).

هێرشبەرەکان وەک بەرگریکاران ژیریی دەستکرد بەکار دەهێنن. کۆرسەکە نەرمەواڵەیەکی زیانبەخش بە هێزی ژیریی دەستکرد وەسف دەکات کە دەتوانێت ڕەفتاری بگۆڕێت بۆ ئەوەی نەدۆزرێتەوە، هەروەها ناوەڕۆکی دروستکراو بە ژیریی دەستکرد کە فیشینگ و ئەندازیاریی کۆمەڵایەتی (Social engineering) باوەڕپێکراوتر دەکات. ئەمڕۆ ڕوونترین کاریگەری لەسەر فیشینگ دەبینرێت: ژیریی دەستکرد نامەی ڕەوان و کەسی بە هەر زمانێک بێ هەڵەی ڕێنووس دەنووسێت، بۆیە ئامۆژگاریی کۆن «بەدوای ڕێزمانی خراپدا بگەڕێ» ئیتر کار ناکات. دەنگ و ڤیدیۆی دیپفەیک (Deepfake) هەمان بیرۆکەیە کە بۆ پەیوەندییەکان بەکار دێت (بڕوانە ئەخلاقی ژیریی دەستکرد).

Evidence for malware that uses AI while running is newer. In November 2025 Google's threat-intelligence team reported the first malware families it had seen asking an AI model, during an attack, to write new commands or to rewrite their own code to avoid detection. Most were still experimental. ENISA's Threat Landscape 2026 expects AI models to be used more and more to support attacks. The defences have not changed: patching, EDR that watches behaviour, MFA, and people who verify unusual requests.

بەڵگە بۆ نەرمەواڵەیەکی زیانبەخش کە لە کاتی کارکردندا ژیریی دەستکرد بەکار دەهێنێت نوێترە. لە تشرینی دووەمی ٢٠٢٥دا تیمی زانیاریی هەڕەشەی (Threat) Google ڕاپۆرتی یەکەم خێزانەکانی نەرمەواڵەی زیانبەخشی دا کە بینیبوونی لە کاتی هێرشێکدا داوا لە مۆدێلێکی ژیریی دەستکرد دەکەن فەرمانی نوێ بنووسێت یان کۆدەکەی خۆیان دووبارە بنووسێتەوە بۆ ئەوەی نەدۆزرێنەوە. زۆربەیان هێشتا لە قۆناغی تاقیکردنەوەدا بوون. ڕاپۆرتی دیمەنی هەڕەشەکانی ENISA ٢٠٢٦ چاوەڕێ دەکات مۆدێلەکانی ژیریی دەستکرد زیاتر و زیاتر بۆ پشتگیریکردنی هێرشەکان بەکار بهێنرێن. بەرگرییەکان نەگۆڕاون: پینەکردن، EDR کە چاودێریی ڕەفتار دەکات، پشتڕاستکردنەوەی فرەهۆکاری و خەڵکێک کە داواکارییە نائاساییەکان پشتڕاست دەکەنەوە.

Fleeceware is an app that charges far too much for very little — a QR-code reader, a calculator, a photo filter. It offers a short 'free trial' that quietly turns into an expensive weekly or yearly subscription. Many users delete the app and think the trial is over, but deleting an app does not cancel a subscription. The name comes from to fleece: to shear a sheep's wool, and in everyday English to take someone's money by overcharging them.

fleeceware ئەپێکە کە پارەیەکی زۆر لە بەرامبەر شتێکی زۆر کەمدا وەردەگرێت — خوێنەرەوەی کۆدی QR (QR code)، حاسیبە (Calculator)، فلتەری وێنە. «تاقیکردنەوەیەکی بێبەرانبەر»ـی کورت پێشکەش دەکات کە بە بێدەنگی دەبێتە بەشداربوونێکی گرانی هەفتانە یان ساڵانە. زۆر بەکارهێنەر ئەپەکە دەسڕنەوە و وا دەزانن تاقیکردنەوەکە تەواو بووە، بەڵام سڕینەوەی ئەپێک بەشداربوون هەڵناوەشێنێتەوە. ناوەکە لە ⁦to fleece⁩ـەوە هاتووە: بڕینی خوری مەڕ و لە ئینگلیزیی ڕۆژانەدا بردنی پارەی کەسێک بە نرخی زیادە.

Internet of Things (IoT) devices — cameras, routers, smart TVs, video recorders, even door bells — are small computers that are often forgotten. Many ship with a default password that the owner never changes, and many never get updates. Attackers scan the Internet for them, log in with lists of factory passwords, and take them over to spy, to reach the rest of the home or office network, or to build a botnet.

ئامێرەکانی ئینتەرنێتی شتەکان — کامێرا، ڕێدۆزەکان (Router)، تیڤییە هۆشمەندەکان (Smart TV)، تۆمارکەری ڤیدیۆ، تەنانەت زەنگی دەرگا — کۆمپیوتەری بچووکن کە زۆرجار لەبیر دەکرێن. زۆریان لەگەڵ تێپەڕەوشەیەکی بنەڕەتیدا (Default password) دێن کە خاوەنەکەی هەرگیز نایگۆڕێت و زۆریان هەرگیز نوێکردنەوە وەرناگرن. هێرشبەرەکان بەدوایاندا لە ئینتەرنێتدا (Internet) دەگەڕێن، بە لیستی تێپەڕەوشەی کارگە دەچنە ژوورەوە و دەیانگرنە دەست بۆ سیخوڕی، بۆ گەیشتن بە بەشەکانی تری ڕایەڵەی ماڵ یان نووسینگە، یان بۆ دروستکردنی بۆتنێتێک.

Where these devices are used — in homes, schools and whole smart cities — and how to set them up safely is taught in The risks of a smart city and IoT security basics.

ئەم ئامێرانە لە کوێ بەکار دێن — لە ماڵ، قوتابخانە و تەنانەت لە شارە هۆشمەندەکاندا (Smart city) — و چۆن بە سەلامەتی ڕێک دەخرێن لە مەترسییەکانی شارێکی هۆشمەند و بنەماکانی ئاسایشی ئینتەرنێتی شتەکاندا فێر دەکرێت.

Example: Mirai and its variants. Mirai appeared in 2016. It searched the Internet for cameras, routers and video recorders and tried a short list of 62 default username-and-password pairs. With these devices it ran some of the largest DDoS attacks seen at that time: more than 620 Gbit/s against a security journalist's website and at least 1.1 Tbit/s against the French hosting company OVH. Its source code was published at the end of September 2016, so criminals have built many variants since — which is why 'Mirai' still appears in reports years later. Mirai lived only in memory: restarting a device removed it, but the device was infected again within minutes unless its password was changed.

نموونە: Mirai و جۆرە گۆڕدراوەکانی. Mirai لە ٢٠١٦دا دەرکەوت. لە ئینتەرنێتدا بەدوای کامێرا، ڕێدۆز و تۆمارکەری ڤیدیۆدا دەگەڕا و لیستێکی کورتی ٦٢ جووت ناوی بەکارهێنەر و تێپەڕەوشەی بنەڕەتی تاقی دەکردەوە. بەم ئامێرانە هەندێک لە گەورەترین هێرشەکانی ڕێگەگرتنی دابەشکراو لە خزمەتگوزاریی (DDoS) ئەو کاتەی ئەنجام دا: زیاتر لە ٦٢٠ گیگابیت لە چرکەیەکدا دژی تۆڕگەی ڕۆژنامەنووسێکی ئاسایش و بەلایەنی کەمەوە ١٫١ تێرابیت لە چرکەیەکدا دژی کۆمپانیای میوانداریی فەرەنسیی OVH. کۆدی سەرچاوەکەی (Source code) لە کۆتایی ئەیلوولی ٢٠١٦دا بڵاو کرایەوە، بۆیە تاوانباران لەو کاتەوە زۆر جۆری گۆڕدراویان دروست کردووە — بۆیە «Mirai» ساڵانێک دواتریش لە ڕاپۆرتەکاندا دەردەکەوێت. Mirai تەنها لە بیرگەدا (Memory) دەژیا: دووبارە هەڵکردنەوەی ئامێرەکە لای دەبرد، بەڵام ئامێرەکە لە ماوەی چەند خولەکێکدا دووبارە تووش دەبووەوە مەگەر تێپەڕەوشەکەی بگۆڕدرابا.

Most antivirus looks for bad files. Fileless malware avoids leaving a normal program file on the disk. It runs in memory, or it uses tools that are already part of the operating system — on Windows, for example PowerShell and WMI. Security people call this living off the land: the attacker 'lives' on what the land already offers, so the activity looks like normal administration. Microsoft describes three levels: some threats write no file at all (code sent over the network straight into memory, as with the exploit used by WannaCry); some hide commands in places such as the Windows WMI store; some use a file only as a trigger for scripts.

زۆربەی بەرنامەی دژەڤایرۆس (Antivirus software) بەدوای فایلەکانی خراپدا دەگەڕێت. نەرمەواڵەی زیانبەخشی بێفایل (Fileless malware) خۆی لە بەجێهێشتنی فایلێکی ئاسایی بەرنامە لەسەر دیسک دەپارێزێت. لە بیرگەدا کار دەکات، یان ئەو ئامرازانە بەکار دەهێنێت کە پێشتر بەشێکن لە سیستەمی وەگەڕخەر (Operating system) — لەسەر Windows، بۆ نموونە PowerShell و WMI. کەسانی بواری ئاسایش پێی دەڵێن ژیان بە ئامرازی ناوخۆ: هێرشبەرەکە بەو شتانە «دەژی» کە سیستەمەکە خۆی پێشکەشی دەکات، بۆیە چالاکییەکە وەک بەڕێوەبردنی ئاسایی دەردەکەوێت. Microsoft سێ ئاست وەسف دەکات: هەندێک هەڕەشە هیچ فایلێک نانووسن (کۆد کە بە ڕایەڵەدا ڕاستەوخۆ بۆ ناو بیرگە دەنێردرێت، وەک ئەو ئێکسپلۆیتەی (Exploit) WannaCry بەکاری هێنا)؛ هەندێکیان فەرمانەکان لە شوێنی وەک کۆگای WMIـی Windowsـدا دەشارنەوە؛ هەندێکیان فایلێک تەنها وەک دەستپێکەری دەسنووسەکان بەکار دەهێنن.

In a supply-chain attack the attacker does not attack you directly. They compromise something you already trust — a software company, an update server, an open-source library, a service provider — so that the malware arrives through a normal, signed update. One break-in reaches thousands of customers at once.

لە هێرشێکی زنجیرەی دابینکردندا هێرشبەرەکە ڕاستەوخۆ هێرش ناکاتە سەر تۆ. شتێک تێک دەدات کە پێشتر متمانەت پێی هەیە — کۆمپانیایەکی نەرمەواڵە، ڕاژەکارێکی نوێکردنەوە، کتێبخانەیەکی کۆدکراوە (Open source)، دابینکەرێکی خزمەتگوزاری — بۆ ئەوەی نەرمەواڵە زیانبەخشەکە لە ڕێگەی نوێکردنەوەیەکی ئاسایی و واژووکراوەوە بگات. یەک دزەکردن لە یەک کاتدا دەگاتە هەزاران کڕیار.

XZ Utils (March 2024): someone spent more than two years becoming a trusted helper of a small open-source compression tool used in Linux, then hid a backdoor in versions 5.6.0 and 5.6.1 (rated 10 out of 10 for severity). A developer noticed that remote logins had become slightly slower and used more processor time, investigated, and raised the alarm — mostly before the poisoned versions reached normal, stable systems. US agency CISA told users to go back to a clean version.

⁦XZ Utils⁩ (ئاداری ٢٠٢٤): کەسێک زیاتر لە دوو ساڵی تەرخان کرد بۆ ئەوەی ببێتە یارمەتیدەرێکی متمانەپێکراوی ئامرازێکی بچووکی کۆدکراوەی پەستاوتن کە لە Linuxـدا بەکار دێت، پاشان پشتەدەرگایەک (Backdoor) لە وەشانەکانی ⁦5.6.0⁩ و ⁦5.6.1⁩دا شاردەوە (لە ڕووی مەترسییەوە ١٠ لە ١٠ هەڵسەنگێنرا). پەرەپێدەرێک تێبینی کرد کە چوونەژوورەوەی دوور کەمێک خاوتر بووە و کاتی پرۆسێسەری زیاتر بەکار دەهێنێت، لێکۆڵینەوەی کرد و ئاگادارکردنەوەی دا — زۆربەی جار پێش ئەوەی وەشانە ژەهراوییەکان بگەنە سیستەمە ئاسایی و جێگیرەکان. دەزگای ئەمریکیی CISA بە بەکارهێنەرانی گوت بگەڕێنەوە بۆ وەشانێکی پاک.

The course ends this part with a summary table. Here it is rebuilt with the corrected facts from this lesson, on two screens.

کۆرسەکە ئەم بەشە بە خشتەیەکی پوختە کۆتایی پێدەهێنێت. لێرەدا بە ڕاستییە ڕاستکراوەکانی ئەم وانەیە دووبارە دروست کراوەتەوە، لە دوو پەڕەدا.