تشفيرة تشفيره بتاريخ 1/3/2018

المصدر: تشفيره بتاريخ 1/3/2018
في منتدى : منتدى نقاشات واختبارات برامج الحماية

بسم الله الرحمن الرحيم

السلام عليكم ورحمه الله وبركاته

تشفيره جديده بتاريخ 1/3/2018

تم تنفيز فكره التشفيره من احدى برامج العينات التى تم طرحها فى المنتدى

كلمه مهمه لمجرب العينه

كل عضو مسئول عن قراره في المشاركة بتجارب هذا القسم

فهذا القسم مخصص للتجارب على ملفات ضارة مختلفة الأنواع

ويجب أن لا يشارك سوى أصحاب الخبرة ومن لدية الدراية والمعرفة بما سوف يجربه

والعضو مسئول مسؤولية كاملة عن تحميل أي ملف من القسم وتجريبه على جهازه

والإدارة تخلي مسؤوليتها بهذا الشأن

من الافضل اجراء التجربه على الوضع الافتراضى لبرنامج الحمايه لديك

لان ليس هناك اى فائده من ضبطه على اليدوى وتجربه العينه لان الوضع اليدوى انت الذى تتحكم فيه فلا جدوى من تجربه وضع انت تتحكم فيه

دع البرنامج على وضعه واختبر الملف لترى هل ستصدى للملف ام لا

لا اقيد احد باعدادات معينه وكل شخص حر فى اعداداته

ولكن افضل ان تجرب الملف على وضع الشركه للبرنامج

لانى كما ذكرت ليس هناك اى فائده من وضع نتائج على اليدوى انت الذى تتحكم بها

ولا ننسى الهدف الاساسى من اختبار العينات

وهو للتعلم وتطوير الزات فى فهم الرسائل التى تظهر برامج الحمايه فى تعاملاتها مع الملفات الخبيثه

ايضا يجب تجميد الجهاز ببرنامج shadow defender او deep freeze لضمان سلامه الجهاز او التجربه على الوهمى

مع العلم ان العينه ليست تدميريه وانما نوع من انواع ملفات التجسس

ملاحظات مهمه

- فى حاله التشغيل : العينه تعمل فقط بعد اعاده تشغيل الجهاز

- العينه ليست للتدرب على الفك وانما موجهه لاختبار برامج الحمايه بشكل خاص ( الدفاع الاستباقى + الجدار وجميع الطبقات الاخرى )

- العينه تعمل تحت بيئه X86 + تعمل تحت البيئه الوهميه بدون مشاكل

هذا المحتوى يظهر للاعضاء المسجلين فقط:

هذا المحتوى يظهر للاعضاء المسجلين فقط:

تحياتى للجميع

اخوكم ومحبكم دوما

مصطفى & Black007

 

وعليكم السلام

جاري تجربة

 

وعليكم السلام
الكاسبر سمول بفك الضغط والفحص لم يكتشف شيئآ
اعتذر على عدم المشاركة بفتح التشفيرة لانه ماعندى برنامج تجميد

 

الافيرا ولا شئ هههههههههههههههههههه

 

Comodo
تم التجربه وتم منع الاتصال البرنامج الافضل حتى الان

هذا المحتوى يظهر للاعضاء المسجلين فقط:

هذا المحتوى يظهر للاعضاء المسجلين فقط:

 

البت ديفندر اكتشف الملف بوحدة السلوك(امبراطور الحمايه يالبت ديفندر)

 

بورك فيك
ال AVG بفك الملف والفحص لاشي

لم ولا اجرب التشغيل ربما كما هو معلوم قوة avg بالتشغيل لكن نتركه لاخ اخر يقوم بذلك

 

بارك الله فيك اخي مصطفى على تشفيرة اليوم

بالتشغيل

 

بفك الضغط الملف وايضا فحصه يراه tencent سليم

 

بسهوله يمكن الخداع مره اخرى

التجربه تابع هذا الفديو من قبلى

هذا المحتوى يظهر للاعضاء المسجلين فقط:

هذا المحتوى يظهر للاعضاء المسجلين فقط:

الاكتشاف سطحى وليس عميق

وهذا ما لم نعهده من شركه Eset

 

الفكر انه النود بيقرا ملف الحاقن وهو ما تم اكتشافه من النود بيكشف تعليمات التى يتم تنفيزها داخل PowerShell

وترك الملف الاصلى الى هو السرفر المفتاح الذى تم زراعته

لذلك ستجده انه لا يوجد محرك سيكشف ملفات الرجيسترى حتى وان تم التلاعب بها بطريقه ما

لانها ليست صيغه تنفيزيها وانما يتم التعامل معها عن طريق الهكس

على الرغم ان الملفات وعلى وضعها اقصد وهى هكس يسهل جدا كتابه توقيع واضح لان زى مانت وضحت الاكواد بالكامل بتبقه مشكوفه وواضحه وضوح الشمس

اعتقد ان النود فكر فيها بذكاء حيث قال لك بما ان الحاقن هو من يقوم بالمهمه

اى Loader فاقوم بكشف اللودر وليس الملف

لان الملف يمكن ان يتم التلاعب به بسهوله

ولكن ما حدث مع هذا الملف العكس حتى وان قمت تغيير الملف الذى ساحقنه داخل PowerShell امر الاستدعاء واحد بدليل انظر الى الكود التالى

اذا فكره النود فشلت

لاحظ نفس الاستدعاء

الملف الاول المكشوف

هذا المحتوى يظهر للاعضاء المسجلين فقط:

هذا المحتوى يظهر للاعضاء المسجلين فقط:

الملف الثانى الغير مكشوف

هذا المحتوى يظهر للاعضاء المسجلين فقط:

هذا المحتوى يظهر للاعضاء المسجلين فقط:

على الرغم انه يمكن استدعاء الكود باكثر من طريقه بل والتلاعب بنقاط الادخال ايضا

ولكنى مازلت مبتداء فى التعامل مع PowerShell ويكون الامر التالى بسيط

 

مبدع كعادتك أخي مصطفى

تستحق لقب أمبرطور قاهر وحوش الحماية

:: تحياتي ::​

 

تمام

هو كان المفروض يفحص المفتاح ككل

ولكن قالك بما انه يمكن ان يتم حقن اى ملف اى كان نوعه فى فقالك اكشف اللودر وليس لى حاجه انى اكشف الملف الذى سيتم حقنه داخل الباور شل

على الرغم من الباور شل ملف موثوق

جرب تشغل الملف تانى فى جهاز به النود ستجد انه حزف الاستدعاء فقط الخاص بالبور شل ( وترك المفتاح المخزن الى فيه السرفر )

هذه هى فكرته والنود فكر بها من هذه الناحيه

طيب احنا قولنا ان المفروض بيجيب تهديد فى الممورى زى ممعروف عنه لان الملف بيشتغل فى الذاكره

وانت سالتنى بتقولى ازاى بتخطى النود الاجابه كلها هتبقه فى الفقره الى جايه

-------------------

تعالى نتكلم بقه من الاول خالص ( الكلام هيكون عن النود فقط وباقى الحمايات لها اسلوب مختلف فى التعامل باختلاف طريقه وحده وتعامل الطبقه نفسها )

هو المفروض اصلا مقولش الفكره شغاله ازاى لان تحليل مطول قليلا هو مجرد استنتاج ( هههه خدى منى وقت كويس علبال لمه بدات افهم بيعمل كده ازاى )

من طريقه التعامل مع اى وحده من برنامج الحمايه

لو قلنا ان الملف الاصلى وهو خام مكشوف بالكامل من النود عن طريق التوقيع بل وعن طريق الهيروستك ايضا بقيمه فريده من نوعها سواء كانت قيمه ثنائيه او ثلاثيه

لانهم بيكتبوا التوقيع فى اكثر من جزء فى الملف وليس جزء واحد علشان متفكرش نفسك فالح وتقول انا شفرت من النود بالهكس ( التقنيه القديمه للتشفير )

الى احنا بنعمله بالتشفير البرمجى

تعال نقسم التشفير البرمجى ده الى اكثر من جزء

الاجزء الاول والى بيكون الملف النفسه ( وبيعتبر اهم جزء فى التشفيره ) لانك بتحول الملف الى نص استرنج على هيئه بيتات بيتم قرائتها داخل الذاكره بطريقه ما مهما كانت الطريقه

قولنا ان الملف وهو خام هيتم كشفه طيب انا هعمل ايه بقه فى الحاله دى لو حولت الملف هو خام وحطيت خورزميات والحاجات التانيه وغيرها برضه هيكشفه اثناء التشغيل

طب ازاى ياعم هيكشفه لانه الملف بمجرد تشغيل هشتغل فى الذاكره والى هو فى هذه الحاله الملف بيرجع لاصله خام ( واحنا قولنا فى الاول ان الملف وهو خام مكشوف من الهيروستك )

يبقها مهما شفرت برمجه والملف خام برضه هيكشفه

طيب الجزء التانى والى هو بيكون الخوارزميات

الى هى بتتكون من 3 اجزاء

فانكشن التشفير - مفتاح التشفير - فانكشن فك التشفير

طبعا فى خوارزميات مبيبقاش ليها مفتاح تشفير وده بيبقه راجع على حسب نوع الخوارزميه الى انت بتستخدمها ( طبعا انت ممكن تكتب خوازرميه بنفسك والموضوع بسيط بالاعتماد على الدوال الاساسيه منها واشهرها base64 ) سواء بعكسها او بالتلاعب بها

او حتى استخدام ascii او حتى الهكس

المفروض ان خوازميات التشفير بتبقه شى اساسى لانه بتشفر بتات الملف علشان وقت تشغيل يكون غير موجود او مبهم

نيجى بقه للجزء الثالث والاخير ( ويعتبر ثانى اهم شى فى التشفيره ) المشغل اللودر ( الى احنا بنسميه سواء نقاط ادخال او رن بى )

لو رجعنا الاجزاء الى فاتت وحطنا كل جزء منها على حدى وحاولنا نقسم كل واحد فيهم لوحده داخل السورس

هنلاقى ان النود لو عملنا خوارزميات التشفير فقط لوحدها فى السورس ( والتى تكون متمثله فى فانكشن فك التشفير + الاستدعاء والاستنرج للملف )

هتلاقيه ( غير مكشوف )

اذا حاولنا استخدام اللودر نقاط الادخال لوحدها فى السورس هتلقيها مكشوفه بالكامل وده طبعا راجع لدوال الانفوكينج الى بتبقه واضحه جدا مع انى مفيش اصلا حاجه علشان تستدعيها بس مكشوفه

طيب من الكلام الكتير والرغى ده استنتجت ايه

الخلاصه يعنى

1- الملف الاساسى الخام ( يجب تشفيره - باى طريقه بقه كانت عايز مثلا ( عايز تعيد كتابه الكلانيت / عايز تشفر الملف نفسه وبعدين تحول الى خوارزميات وغيرها ) الى انت عيزه تعمله اعمله

المهم يكون الملف الاساسى الخام يعنى يكون متشفر ( ههههههه يعنى بنشفر قبل التشفير شفت الى احنا فيه ) علشان كده احياننا فى تشفيرات بستخرج السورس للسرفر

لاقوم بالتعديل فيه بطريقه ما ولا استخدمه على وضعه

2- اللودر ( نقاط الادخال ( طريقه تشغيل - دخول الملف فى الذاكره ) والى المفروض برضه بنشفرها باكتر من طريقه سواء بتكتب الكود بشكل مختلف والاستدعائات بشكل مختلف بل وبتستخدم احياننا دوال مختلف )

اذا نستنتج ان اهم شيئين هما الملف الاساسى واللودر خوارزميات التشفير ليست مهمه بالقدر الكافى لانها عباره عن دوال مكتوبه تقوم بتغيير بتات الملف بطريقه ما لا يمكن الاستفاده منها الا من خلال الكود اللودر

بمعنى ليس لها داعى من غير اللودر اى من دونها اللملف عباره عن ملف معطوب لا يمكن الاستاده منه

معلش انا عارف انى رخم اوى وطولت جدا فى الشرح بس خلينا نقول لحب نشر المعرفه والعلم بيستفيد منه اى حد بيقرا

تحياتى وتقديرى

 

الكاسبر الرائع بنسخته المجانيه التي اعجبتني

بالفحص لاشي ولم اجرب التشغيل

 

فعلا باقوم بتشفير الكلاينت قبل التشفير البرمجى

وباعتزر منك ساقوم بغلق الموضوع بسبب القوانين

لانها تسرى على قبل اى احد

تحياتى وتقديرى للمعلم ميدو وورينا الهمه يابطل