روتكيت مدمج مع فلاش بلير يسقط عملاقة الحماية ؟!!!

[مصرى ولى الفخر]

تمتعوا ب هذه التجربه هاكذا يُستخدم الكومودو !

CoMoDo vs_flashplayer11x64 .rar​

:$
السلوكيات لم تكتمل على الرغم من سماحي ل 99% منها ب استثناء تنبيه واحد ل الجدار الناري
وهو محاولة الاتصال الي وضعت انت صورتها هو من قمت بِ حظره فقط
باقي السلوكيات عملت لها سماح رغم خطورتها و النتيجه ب الفيديو !!؟
اعتقد !! سبب عدم اكتمال السلوكيات هو النواة المستخدمه في هذا التطبيق
install_flashplayer11x64.exe
وهي x64 بينما الويندوز اكس بي الي عملت عليه تجربه x32
:d:
ب انتظارك يا هيثم !!​

​

فلسفة..هل هذة الرسائل تظهر ايضا فى حالة استخدام الفايروول فقط..ام لابد من نسخة سيكورتى كاملة
​

 

[' فـلسفـه ..]

رائع k:
أخي حمد ممكن تجرب على الوضع التلقائي الكامل عن ططريق التحكم الابوي وكبح جميع الرسائل سينجح الكمودو وبقوة :y:
اليس ذلك افضل للمستخدم العادي ​

ان شاء الله بس يتحسن الاتصال راح اسويها
k:
​

يا اخي لماذا التعصب بهذا الشكل

ذكرت التنبيهات المهمة

لم اضع تنبيه ال explorer.exe عند بداية تشغيل الملف لانه يظهر مع اي برنامج تشغلة

يعني تنبيه عادي جدا

اين المشكلة ؟!!!​

بسم الله عليك يعني طلعت انا المتعصب هنا !
انقلب السحر على الساحر يعني
:hh::er:
المشكله في باقي الـ 4 تنبيهات الاخرى ؟!!!

1

2

3

4

:i:
كلها من نفس الفيديو حقك هل هذه تنبيهات عاديه ايضاً ؟!!!

​

ألا أعلم ما كل هذه الاتهامات الموجهه لهيثم وكأنه جاسوس ؟؟؟

يا اخوانى الكرام كفاكم التعصب الراجل وضع التجارب بالصور والفيديو وراية وهو حر فيه


لما نيجى نتناقش معاه يبقى باحترام نقول يا هيثم انت ليه معملتش كذا وليه مقلتش كذا وليش مذكرتش النقطه الفلانيه


مش على طول انت غير منصف انت غير موضوعى لا حول الله يا رب

جاك الثاني اي تعصب واي خرابيط !! لا تكبر الموضوع يرحم والديك
:hh:
يا عزيزي صدقني انا وبكل فخر اعرف اتناقش قبل لا اجي لهاذا المكان وقبل لا اعرفك او اعرف اي واحد هنا
و انا ما غلطت بِ شيء اصلاً لكني شفت اغلاط متكرره و دوري اني اصححها و اوضحها
انت تابع النقاشات الي صارت بِ الاول بعدين قول رأيك في من وصفتهم بِ المتعصبين !!
ولا اضن ان الاخ هيثم ينتظر احد ليدافع عنه فَ ارجوك شارك معنا في التحليل او تابع ب صمت !

​

 

[qysr]

حسب تجربتي وخبرتي الطويله مع اون لاين ارمور بالاخص هذه الرساله هي تنبيه خاطىء من اون لاين ارمور :kmj-by0000 (72):
الملف في الرساله هو عباره عن ملف مضغوط ولم يفعل اي شيء اما ما بداخله وخاصه الملف المسمى setup لو كانت الرساله التحذيريه من مصدره لاختلف الامر كليا لكن الملف الاصلي المضغوط لا يفعل شيء سوى انه يقوم بفك ضغط الملفات الى المجلد المؤقت وهذه الملفات هي من تقوم بسلوكيات معينه

لاحظ هذه الرساله سكرين لوجر !! ستجد انها خاطئه100%

ايضا لماذا قام الملف بالاتصال بشكل مباشر وبشكل علني امام الجدران الناري الى العنوان الصحيح والحامل لمصدر الفلاش !!
لم يستخدم وقتها ملف النظام ايضا !

بصراحة جلست اقرأ في الموضوع ساعة كاملة و كل المشاركات :q:


اكثر ما لفت انتباهي هذه الصورة من اول الموضوع ,

معروف منذ اكثر من شهر و مستخدم من اكثر من 10000 مستخدم !!!


هل يعقل ان مختبرات كاسبرسكي التي اكتشفت ستكسنت اصبحت بلهاء لهذه الدرجة و لم تضع توقيعا الى الآن لملف معروف و قديم !!


ثانيا مشاركة الاخ الفاضل هنا لفحص الفايرس توتال ,


​

السلام عليكم

اولا اخى هيثم برجاء المساواة فى نفس الخطوات حتى يكون الحكم عادل ..فعلا البتدفندر عند تشغيل وحدة IDS يشتبة كثيرا حتى فى برامج نظيفة مثل المديل بلير...اعمل سماح ونرى قوتة الحقيقة

ثانيا اخى فلسفة الكومودو مكتشفة على فايروس توتال كيف لم يشكفة وحدة الانتى فيروس عند تجربتة+تك ارسال

https://www.virustotal.com/file/8251...is/1347942966/

​

لاحظوا نتيجة فحص الافيرا​

AntiVirAdware/BHO.S

الاكتشاف بتوقيع مؤكد و ليس هيوريستيك او اكتشاف عام !!!
ادوير!!!!


فهل يعقل ان تقع مختبرات شركة حماية عملاقة كالافيرا في مثل هذا الخطأ و تصنف روتكيت تجسسي على انه مجرد آدوير !!


اتصور ان تحت الاكمة ما تحتها :u:


و كل شيء جائز و الله اعلم


كل التقدير للاخ هيثم و كل المشاركين في هذا الموضوع الشيق ,,

​

 

[METAD]

بصراحة جلست اقرأ في الموضوع ساعة كاملة و كل المشاركات :q:


اكثر ما لفت انتباهي هذه الصورة من اول الموضوع ,

معروف منذ اكثر من شهر و مستخدم من اكثر من 10000 مستخدم !!!


هل يعقل ان مختبرات كاسبرسكي التي اكتشفت ستكسنت اصبحت بلهاء لهذه الدرجة و لم تضع توقيعا الى الآن لملف معروف و قديم !!


ثانيا مشاركة الاخ الفاضل هنا لفحص الفايرس توتال ,






لاحظوا نتيجة فحص الافيرا​

AntiVirAdware/BHO.S

الاكتشاف بتوقيع مؤكد و ليس هيوريستيك او اكتشاف عام !!!
ادوير!!!!


فهل يعقل ان تقع مختبرات شركة حماية عملاقة كالافيرا في مثل هذا الخطأ و تصنف روتكيت تجسسي على انه مجرد آدوير !!


اتصور ان تحت الاكمة ما تحتها :u:


و كل شيء جائز و الله اعلم


كل التقدير للاخ هيثم و كل المشاركين في هذا الموضوع الشيق ,,

​

أخي قيصر انظر الى تجارب حمد أيضا عندما يقوم بعمليه الفحص بالماليور بايت الاكتشافات pup ​

 

[iadobe]

لا حول ولا قوة الا بالله العلى العظيم يا أخى الفاضل هل قمت برؤيه ردى جيدا أم انك قمت بالرد فقط على الى مزاجك حبه ؟ وانا لا ادافع عن شخص أنا اأدافع عن مبدأ هل تعرف الفرق بين الدفاع عن مبدأ والدفاع عن شخص ؟ وهيثم أنا لا اعرفه ولا هو يعرفنى علشان تقول انى بدافع عنه

 

[iadobe]

أخى فلسفه انت على العين والراس لم أقصد اهانه لك أو ما شابه فهمت الموضوع غلط وانا لاأفهم فى الحمايه لكى أتناقش معك أو أعدل على كلامك انا فقط أريد الوصول الى نقطه معينه لم تفهمها من ردى للأسف عموما متابع بصمت يا جماعه نستفيد منكم مهما كان

 

[wajdi abu lail]

وصل الرد من مختبرات كاسبر سكي للملف :hh::hh:

الملف المدمج والذي يتصرف بسلوكيات منها تغيير قيم في المتصفح وهذا ما هو اشبه بادوير

النتيجه !!!!!!!!

:q:
​

 

[qysr]

أخي قيصر انظر الى تجارب حمد أيضا عندما يقوم بعمليه الفحص بالماليور بايت الاكتشافات pup ​

​

​

نعم احسنت ,,

​

 

[qysr]

وصل الرد من مختبرات كاسبر سكي للملف :hh::hh:

الملف المدمج والذي يتصرف بسلوكيات منها تغيير قيم في المتصفح وهذا ما هو اشبه بادوير

النتيجه !!!!!!!!

:q:

قضي الامر الذي فيه تستفتيان :d:

​

 

["الشبح"]

.....

 

["الشبح"]

......

​

 

[wajdi abu lail]

لاحظوا نتيجة فحص الافيرا​

AntiVirAdware/BHO.S

الاكتشاف بتوقيع مؤكد و ليس هيوريستيك او اكتشاف عام !!!
ادوير!!!!


​

اكتشاف الافيرا ليس لهذا الملف بل لملف dll موجود من ضمن محتويات الملف الاصلي ويقوم الملف المشكوك بامره باضافة هذه المفاتيح الى المتصفح لذا قال انه ادوير والاكتشاف صحيح

​

 

[' فـلسفـه ..]

فلسفة..هل هذة الرسائل تظهر ايضا فى حالة استخدام الفايروول فقط..ام لابد من نسخة سيكورتى كاملة
[/CENTER]

سكيورتي و فاير وول كلها تظهر هذه التنبيهات لانه موجود فيها تقنية الهيبس
لكن يجب اولا اغلاق الساند بوكس ل تظهر ب هذه الدقه
k:
​

بصراحة جلست اقرأ في الموضوع ساعة كاملة و كل المشاركات :q:


اكثر ما لفت انتباهي هذه الصورة من اول الموضوع ,

معروف منذ اكثر من شهر و مستخدم من اكثر من 10000 مستخدم !!!


هل يعقل ان مختبرات كاسبرسكي التي اكتشفت ستكسنت اصبحت بلهاء لهذه الدرجة و لم تضع توقيعا الى الآن لملف معروف و قديم !!


ثانيا مشاركة الاخ الفاضل هنا لفحص الفايرس توتال ,






لاحظوا نتيجة فحص الافيرا​

AntiVirAdware/BHO.S

الاكتشاف بتوقيع مؤكد و ليس هيوريستيك او اكتشاف عام !!!
ادوير!!!!


فهل يعقل ان تقع مختبرات شركة حماية عملاقة كالافيرا في مثل هذا الخطأ و تصنف روتكيت تجسسي على انه مجرد آدوير !!


اتصور ان تحت الاكمة ما تحتها :u:


و كل شيء جائز و الله اعلم


كل التقدير للاخ هيثم و كل المشاركين في هذا الموضوع الشيق ,,

​

مشاركه ذهبيه منك يا قيصر
:king:
صدقني نفس الاعتقاد ولا اضن السالفه فيها روتكيت ولا هم يحزنون
ولم يأتي لنا احد ب تأكيد هذا النوع من الاصابه
حتى اخي هيثم نفسه لم يأتي ب نتائج ل اداة من ادوات كشف ’’ وياكثرها ’’ لِ تكون دليل قطعي على وجود روتكيت !
اضن والله العالم انه خاص ب هذا التولبار الي صنفه الافيراً ك اداة اعلانيه اوو
تولبار غير مرغوب به

الديفنس بلس

ايضاً المالوير بايت يكتشفه الاصابات بعد السماح ل كل السلوكيات ويصنفها كَ ’
PUP
(potentially unwanted program)
’ من المحتمل ان يكون برنامج غير مرغوب فيه ’
بدون التأشير عليه اي انه سيعمل عليه ’ تجاهل ’ في حال لم يحدد المستخدم خيار الازاله عليها

ويضع لها تسميه اول مره اصادفها

​

 

[he ḾasteЯ₮]

أرى ان البرنامج الوحيد الذي نجح
مع العلامة الكاملة تماما ، ليس البيت دفندر بكل تأكيد !!
بل هو الـ Comodo ، ولـ ضيق الوقت فقط .. سأذكر
فيما بعد لماذا ..







للتوضيح : روتكيت مُدمج مع فلاش بلاير ......





لي عودة بإذن الله ’
​

 

[MR.Avira]

النود يضعكم في مسابقة اكتشف اي صوره تدل على الخطوره التامه :hh: :d:

استمتعوا

لو ضغط block
سيفشل الروتكيت مع مرتبة الشرف :hh:
اعتقد النود نجح

+

اخبرك ان الروتكيت يريد البدء مع التشغيل
لكنه يحتاج مستخدم خبيييييير

 

["الشبح"]

....

 

[مصرى ولى الفخر]

الله يعوض عليك اخي مصري

جهازك كان سليم تماما ثق بي ؛؛؛؛ لو استخدمت مالوبيتس اليوم لقام بتنظيف الجهاز

ادوير يمكن تنظيف ملفاته وتنظيف قيم الرجستري اللي عدل عليها غير كذا لا شيئ

ولكن كان عليك التريث لتفهم طبيعة الإصابة قبل الفورمات

ولكن من الدروس نتعلم

وبارك الله فيك

​

بارك الله فيك وغفر لوالديك ورزقك من حيث لا تحتسب

​

 

[thedarabid82]

الرجاء إخواني من يملك الملف يرسله لي لكي أجربه على الأفاست

 

[haitham653]

ساوضح نقطة اخيرة ومن يريد ان يستفيد حر ومن لا يريد ايضا هو حر !!!!

سبحان الله والله الواحد بعيش وبتعلم !!!

كل رسائل الاونلاين ارمر يا خطأ او انا فسرتها بطريقتي الخاصة !!!

تابعوا رساله الاونلاين ارمر الثانية

ما معني الرسالة ؟!!!

ملف تنفيذي ويقصد به الفلاش بلير يريد execute تشغيل kerenel32.dll و Ntdll.dll

السؤال ما هذه الملفات !!!!

kerenel32.dll و Ntdll.dll تعتبر Windows Kernel Process

ما وظيفة كل منهما :

اولا: kerenel32.dll يقوم بادارة وترتيب العمليات التي تحصل في الذاكرة - الدوال الخارجة والداخلة !!!

عند تشغيل الوندوز kerenel32.dll يقلع في مساحة مخصصة له في الذاكرة معزولة عن باقي الملفات قبل اي ملف فى الذاكرة ولا يمكن ان تصل اليه باقي ملفات الذاكرة كونة يمتلك تصريح اعلى منها Ring 0....

Ntdll.dll يحتوى على اوامر لادارة العمليات على مستوى الكيرنل , ايضا يمكن استخدامه لتتبع اي شي في النظام حيث عدد كبير من الروتكيت النظامي تستخدم Ntdll.dll لتتبع كل شي يحصل على النظام....والسبب ان Ntdll.dll يحتوي على ميزة وهي امكانية تسجيل كل شي يحصل في النظام في ملف منفصل Log File

ومن اراد ان يقرأ قليلا عن NT kernel logger سيجد القليل في هذا الرابط

Facts on NT Kernel Logger | eHow.com


الان الاونلاين ارمر حذر من Screen Logger ايضا رصد عمليات على مستوى ال Kernel لا تستخدمها الا الروتكيت

هل كل هذه رسائل خطأ من الاونلاين ارمر والمصيبة ان الملف تم طرحه في موقع فيروسات على انه فلاش بلير مزور

والبعض يكابر بغير علم ويصر على ان الملف نظيف ......

في حفظ الرحمن.....
​

 

[yones7x]

أود توضيح بعض الأمور
١- الوصول ل kernel بدون الاعتماد على ويكيبيديا، يجب أن ينقل ملف dll خاص إلى مجلد drivers، وليس أي dll
ويتم الاتصال به للدخول في Ring 0

٢- يمكن الاتصال ب kernel.dll وntdll.dll بالصلاحيات العادية Ring 3

وأنا عن نفسي استخدمها كثيرًا في الاوتوات، لجلب مسار ملف يعمل في الذاكرة (عملية) مثلا، أو التحكم في الويندوز (WinAPI)
وntdll تستخدم في التحميل من الإنترنت عبر اتصال مباشر

٣- يمكن بسهولة متناهية استخدام svchost.exe لعمل اتصال أو عمل وظيفة بإرسال سويتشات له

فيا أخي هيثم، مو تشوف اتصال ب kernel.dll تقول روتكيت والا اتصال ب svchost.exe وتقول حقن

للعلم، لم أجرب الملف حتى الآن لأني بعيد عن الكمبيوتر + مشغول بالدراسة (ثانوية عامة)، وسيكون لي معه تجربة قريبًا بإذن الله