عـيـنة 19-8-17 ملفات8 (spora,cerber, injector..)

[اليوناني]

تنبيه هام جداً صادر عن إدارة المنتدى

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

والإدارة تخلي مسؤوليتها بهذا الشأن

[hide]


19-8-17 ملفات8 (spora,cerber, injector..)

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]​

[hide]
infected

​

[/hide]

​

 

[فتى محاسن]

eset internet security 10

بعد فك العينة اكتشف 7 من 8

المتبقي 1

 

[ALmehob]

السمول بفك الضغط اكتشف7من8

ترك ملف بالتشغيل يظهر خطاء

 

[vallecano]

السلام عليكم

Nod32 Antivirus

حذف جميع الملفات بمجرد فك الضغك​

 

[mha1m]

[hide]

[/hide]

[hide]

[/hide]

 

[ALmehob]

[hide]

[/hide]

[hide]

[/hide]

اتعرف اخى لماذا الباندا اكتشف ملف واحد ...لان الملفات لم ترفع على التوتال الى الان
هذا الذى اقوله ..ياريت تعمل تجارب على الباندا فى عينات جديدة

 

[ahmedibrahim]

اف سيكيور حذف6 بفك الضغط وتبقى 2 لم اجرب التشغيل

 

[اليوناني]

اتعرف اخى لماذا الباندا اكتشف ملف واحد ...لان الملفات لم ترفع على التوتال الى الان
هذا الذى اقوله ..ياريت تعمل تجارب على الباندا فى عينات جديدة

الملفات مرفوعين و اعتقد لو يعيد التجربة سيكتشف اكثر

 

[vallecano]

السلام عليكم

بعد تحليل الملف التنفيذي
الملف مبرمج بالدوت نت و مضغوط بالPowered by Smart Assembly
بعد فك الضغظ و محاولة التحليل بالreflector

مسار الملفات temp
الملفات :newrunn.txt
thnewins.vbs

​

 

[MagicianMiDo32]

احد ملفات الـ vps يشغل ملف البات

الآخر داونلودر


[hide]

mm7758.com/89yhFA?

74jhdrommdtyis.net/af/89yhFA



[/hide]

الملف الـ js الآخر ايضا داونلودر


[hide]
aitree.com/89yhFA?
74jhdrommdtyis.net/af/89yhFA

[/hide]

الروسي هذا ينشئ ملف exe(عجبتني الطريقة)

عبارة عن ملف native

لذلك ساحلله بالتشغيل

,وبتشغيله بدأت هذة الرسالة تظهر من الساندبوكس

وصار لدي شك أنه رانسوم وير لاقدر الله

فرفعته على التوتال والنتيجة


evasive #ransomware

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[hide]
domains:"5pr6hirtlfan3j76.onion"
hosts:"31.192.105.180:8123"
[/hide]

هذة أطول سترنجات في الذاكرة
أخمن أنها مفاتيح تشفير أو نص مشفر ما

Base64


الملف هذا عبارة عن سكربت باور شيل بصيغة link والامر مكتوب في target

فكرة حلوة

الملف

README_sTlLoTpq.hta

لايعمل شيئ





الملف

22428.exe

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

دوت نت

نلعب معه شوية

يحتوي على هذا الرابط

[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]

يحوي ملفين exe

خوارزم الفك

Imports System.Text
Public Class Form1
    Private Sub Form1_Load(sender As System.Object, e As System.EventArgs) Handles MyBase.Load
        IO.File.WriteAllBytes("D:\one.exe", sm("gdsgsgsdgsdss", Convert.FromBase64String(IO.File.ReadAllText("D:\1.txt"))))
        IO.File.WriteAllBytes("D:\two.exe", sm("gdsgsgsdgsdss", Convert.FromBase64String(IO.File.ReadAllText("D:\2.txt"))))
    End Sub
    Shared Function sm(ByVal string_0 As String, ByVal byte_0 As Byte()) As Byte()
        Dim bytes As Byte() = Encoding.Default.GetBytes(string_0)
        Dim num2 As Integer = (byte_0((byte_0.Length - 1)) Xor &H70)
        Dim buffer3 As Byte() = New Byte((byte_0.Length + 1) - 1) {}
        Dim num4 As Integer = (byte_0.Length - 1)
        Dim i As Integer = 0
        Do While (i <= num4)
            Dim num As Integer
            buffer3(i) = CByte(((byte_0(i) Xor num2) Xor bytes(num)))
            If (num = (string_0.Length - 1)) Then
                num = 0
            Else
                num += 1
            End If
            i += 1
        Loop
        Return DirectCast(Microsoft.VisualBasic.CompilerServices.Utils.CopyArray(DirectCast(buffer3, Array), New Byte(((byte_0.Length - 2) + 1) - 1) {}), Byte())
    End Function
End Class

كذلك يتم كتابة ملفات vbs و bat و txt لغرض التشغيل ليس ألا لن أهتم بها كثيرا

الملف الـ txt هو نفس الملف الأصلي

لكن سنجد في الملف دوال كثيرة مختصة بهذي الملفات

الولد لاعب في هذا الملف لعب


المشكلة ان الملفات المستخرجة واحد نيتف والتاني عليه حماية قوية

لتحميلهم


[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

infected
[/hide]



@black007

 

[MagicianMiDo32]

الهوست



[hide]216.38.2.197[/hide]


تابع ل
GigeNET

الملف يحقن في الانترنت اكسبلورر

 

[MagicianMiDo32]

الملف عبارة عن كيلوجر يسجل الشاشة والصوت

#ياخراشي سجلي وهو في الساندبوكس ازاي !! #\

ويرفعه الى تلك الاستضافة

الملف يعمل كمسؤول ويحقن في الاكسبلورر اعتقد انه تخطى الساندبوكس هكذا