روتكيت مدمج مع فلاش بلير يسقط عملاقة الحماية ؟!!!

[mhmh]

الرجاء التجربة على Outpost Security Suite Pro و لكم جزيل الشكر

 

["الشبح"]

....

 

[wajdi abu lail]

اخي هيثم هذه الرساله من اون لاين ارمور لا تفيد اي عملية حقن او ماشابه

العمليه هي مجرد قراءه فقط بدون التعديل او الحقن باختصار هي مجرد محاولة وصول وقراءه
رسائل اون لاين ارمور التي تفيد الحقن تحتوي على معاني " تعديل وتجميع واختراق رمز " اما هذه طبيعيه جدا

​

 

[سهران يا ليل]

 

[haitham653]

أود توضيح بعض الأمور
١- الوصول ل kernel بدون الاعتماد على ويكيبيديا، يجب أن ينقل ملف dll خاص إلى مجلد drivers، وليس أي dll
ويتم الاتصال به للدخول في Ring 0

٢- يمكن الاتصال ب kernel.dll وntdll.dll بالصلاحيات العادية Ring 3

وأنا عن نفسي استخدمها كثيرًا في الاوتوات، لجلب مسار ملف يعمل في الذاكرة (عملية) مثلا، أو التحكم في الويندوز (WinAPI)
وntdll تستخدم في التحميل من الإنترنت عبر اتصال مباشر

٣- يمكن بسهولة متناهية استخدام svchost.exe لعمل اتصال أو عمل وظيفة بإرسال سويتشات له

فيا أخي هيثم، مو تشوف اتصال ب kernel.dll تقول روتكيت والا اتصال ب svchost.exe وتقول حقن

للعلم، لم أجرب الملف حتى الآن لأني بعيد عن الكمبيوتر + مشغول بالدراسة (ثانوية عامة)، وسيكون لي معه تجربة قريبًا بإذن الله

اولا اتمنى لك النجاح والتوفيق بالثانوية العامة, قبل ان توضح بعض الامور تاكد انك تعرف عن ماذا تتكلم او المعلومة التي تريد تصحيحها خاطئة او المعلومة التي تريد طرحها صحيحية بدون الاعتماد على وكيبيدبا .....



1- للوصول الى Kernel , الطريقة الشائعة والمشهورة عن طريق نقل درايفر خاص .sys وليس ملف dll الى مجلد الدرايفر
C:\Windows\System32\drivers

​

طبعا هذه الطريقة مشهورة وشائعة وقديمة جدا وهي خطرة فعلا لكن نسبة نجاحها قليلة جدا اقل من 5% لان هذا المسار مراقب من جميع برمج الحماية او من خلال برامج الهيبس يمكن رصد عملية تحميل اي درايفر..

2- الطريقة الثانية وهي الطريقة الفتاكة والتي اسقطت كثير من برامج الحماية وهي عن طريق ملف dll ?!!! كيف ؟!!

تحميل ملف dll الى هذا المسار C:\Windows\System32 او C:\Windows مع العلم ان تقنيا يمكن تنصيب ملف dll في اي مسار في النظام ومؤخرا نسبة عالية من البرمجيات الخبيثة تقوم بتحميل dll في مجلد ال Temp للتحايل على برامج الحماية ؟!

النقطة الثانية من يستدعي kernel32.dll وntdll.dll عادة

كما قلت سابقا الروتكيت النظامي يقوم بذلك واقصد به برامج الحماية او برامج المراقبة النظامية الهدف من هذه العملية اخفاء نشاطات الملف او تتبع سير ملفات اخري من يحدد ذلك الملف المتصل بkernel32.dll سواء تنفيذي او dll حسب سطر الاوامر في البرنامج المتصل ب kernel32.dll

لم اسمع يوما بمشغل صوتيات يستدعي kernel32.dll

طبعا برامج الحماية تلجأ لهذه الطريقة لاخفاء عملياتها عن باقي الملفات التي تعمل في الذاكرة وتتبع ملفات النظام او ملفات معينة , ايضا الروتكيت والفيروسات تقوم بنفس العمل حتي تخفي نشاطها واعمالها عن بافي ملفات الذاكرة والتحميل بشكل خفي من الانترنت.....

الخلاصة يمكن لاي ملف dll من اي مكان في النظام ان يصل الى منطقة ال Kernel حسب سطر الاوامر داخل الملف !!! وهنا تكمن قوة المبرمج وبهذه الطريقة تم تكسير روؤس الكبار مثل....الكاسبر سكي وغيره !!!


النقطة الاخيرة التحميل عن طريق svchost من يقوم بذلك بربك ؟؟؟

البرنامج النظامي سيحمل بصورة مباشرة من النت لماذا سيعمل Hook على svchost ويتصل بالنت ؟؟؟

السبب حتي يتحايل على برنامج الحماية لان الوندوز يتصل بالنت عن طريق svchost

من سيقوم بذلك ياعزيزي فقط الفيروسات .....

لاحظ ماذا حصل بعد تحذير الاونلاين ارمر

سمحت له ان يتصل بالاترنت

انظر ماذا حصل !!!

قام بتحميل ملفات بطريقة خفية

ايضا سلوك البرنامج يشبة الباك دور !!!

السؤال الذكي ماذا حمل الانترنت !!!!

اراكم في المشاركة القادمة
​

 

[yones7x]

الله يوفق الجميع إن شاء الله

عفوًا على الخطأ، ملف sys وليس dll < نسيت :q:

منتظر مشاركتك القادمة

+ اليوم فاضي وسأقوم بالتجربة :king:

ملاحظة: أنا لم أكذبك أخي هيثم، لكن قلت أنه ليس دائما من يتصل ب kernel.dll يكون rootkit

 

[yones7x]

التجربة مع الملف: (18:28)
False_RootKit_Haitham653.rar

الخلاصة: برنامج دعائي (Adware)...

شكرا لـ (أونلاين ارمور) للمساعدة على التحليل...

ملاحظة: يجب مشاهدة الفيديو كاملًا وبدقة لفهم ما يحدث

ملاحظة2: الإتصالات الكثيرة التي ظهرت في TCPEye، هي اتصالات محلية، 127.0.0.1
وتظهر بعضها yones-pc لإظهار إن الاتصال إلى الكمبيوتر نفسه، وهي ناتجة عن ملف الفلاش الآمن

ملاحظة3: بالنسبة لتسجيل البرنامج بالريجستري، عفوًا، تسجيل التولبار في انترنت اكسبلور مع ملفات dll
وليس تسجيل البرنامج كما ذكرت في الفيديو

 

[haitham653]

التجربة مع الملف: (18:28)
False_RootKit_Haitham653.rar

الخلاصة: برنامج دعائي (Adware)...

شكرا لـ (أونلاين ارمور) للمساعدة على التحليل...

ملاحظة: يجب مشاهدة الفيديو كاملًا وبدقة لفهم ما يحدث

ملاحظة2: الإتصالات الكثيرة التي ظهرت في TCPEye، هي اتصالات محلية، 127.0.0.1
وتظهر بعضها yones-pc لإظهار إن الاتصال إلى الكمبيوتر نفسه، وهي ناتجة عن ملف الفلاش الآمن

ملاحظة3: بالنسبة لتسجيل البرنامج بالريجستري، عفوًا، تسجيل التولبار في انترنت اكسبلور مع ملفات dll
وليس تسجيل البرنامج كما ذكرت في الفيديو

مع احترامي الشديد لتجربتك

لم اراها بعد

قمت بتحليل الملف بشكل كامل وهو عبارة screen logger

سارفع النتيجة بعد قليل​

 

[yones7x]

+ (إضافة على الفيديو)

الاتصال بالموقع أثناء تشغيل ملف ytld.exe عن طريق ملف setup.exe، كان من أجل التحقق من التحديثات...
(update.loadtubes.com GET /checkVersion.txt HTTP/1.1)
المصدر << مطابق لفيديو التجربة والحمدلله

وستلاحظون وجود ملف chechVersion.txt في التجربة

كما أن لهذا الملف الدعائي (Adware) موقع رسمي آخر، يظهر موقع يوتيوب مظلل برسالة يتطلب تنصيب الفلاش

وعند تحميل الملف يتم تنصيب التولبار والملف الدعائي في جهازك بحيث يتصل بـ loadtubes.com
وتقوم أنت كمستخدم بتحميل الصوتيات منه، هذا غير التولبار، ... الخ

 

[haitham653]

السلام عليكم

الموقع الذي طرح العينة ذكر انها ملف فلاش مزور

Fake Flash

طبعا قمت اليوم باستخراج محتويات الملف

وهي كالاتي

كما تلاحظون يوجد ملف فلاش يحمل توقيع رقمي مزور او مسروق


التولبار هنا

قمت بتشغيل ملف الفلاش بشكل منفصل install.exe

عند تشغيلة اظهر الاونلاين ارمر رسائل كثيرة جميعها عمليات مشبوهه ولكن من باب الاختصار هذه رسالة لتصوير الشاشة

هذه صورة المنافذ التي يستخدمها الروتكيت ومن ضمنها ملفات النظامsvchost

عند تشغيل الملف الخارجي install_flashplayer11x64.exe هو في الحقيقة قام بتشغيل ملف الفلاش install.exe

عند التشغيل اول مرة الاونلاين ارمر اكتشف عملية التصوير

والبتدفندر اوقف الملف بدون تدخل المستخدم بوضع Auto Pilot من خلال الجدار الناري للبتدفندر

باقي البرامج وعلى راسها الكاسبرسكي والكمودو تم اختراقها وتم تصوير الشاشة بلحظة تشغيل

install_flashplayer11x64.exe


تحية كبيرة للاونلاين ارمر وللبتدفندر

فيديو التجربة

OA_Beats_ Fake Flash.rar
​

 

[haitham653]

السلام عليكم

الموقع الذي طرح العينة ذكر انها ملف فلاش مزور

Fake Flash

طبعا قمت اليوم باستخراج محتويات الملف

وهي كالاتي

كما تلاحظون يوجد ملف فلاش يحمل توقيع رقمي مزور او مسروق


التولبار هنا

قمت بتشغيل ملف الفلاش بشكل منفصل install.exe

عند تشغيلة اظهر الاونلاين ارمر رسائل كثيرة جميعها عمليات مشبوهه ولكن من باب الاختصار هذه رسالة لتصوير الشاشة

هذه صورة المنافذ التي يستخدمها الروتكيت ومن ضمنها ملفات النظامsvchost

عند تشغيل الملف الخارجي install_flashplayer11x64.exe هو في الحقيقة قام بتشغيل ملف الفلاش install.exe

عند التشغيل اول مرة الاونلاين ارمر اكتشف عملية التصوير

والبتدفندر اوقف الملف بدون تدخل المستخدم بوضع Auto Pilot من خلال الجدار الناري للبتدفندر

باقي البرامج وعلى راسها الكاسبرسكي والكمودو تم اختراقها وتم تصوير الشاشة بلحظة تشغيل

install_flashplayer11x64.exe


تحية كبيرة للاونلاين ارمر وللبتدفندر

فيديو التجربة

OA_Beats_ Fake Flash.rar
​

راجعوا موضوعي بخصوص جدار الكاسبر سكي , تذكرون اني قلت المنفذ 135 DNS OVER TCP مغلق من قبل جدار الكاسبر بالوضع الافتراضي هذا احد المنافذ كما يظهر في رسائل الاونلاين ارمر المخترقة طبعا انا من سمح له بالاتصال !!!

 

[fahd]

تحية كبيرة للأخ / هيثم
حتى لو طلع الفلاش نظيف 100 % مو بس ادوير
يظل الأخ / هيثم من الخبراء الكبار في الحماية k:
ثقتي فيه كانت ومازالت وستظل كبيرة جدا
​

 

[qysr]

يا شباب واحد يرسل لي الملف اذا سمحتم نشوف رأي المختبرات المختصة

الموضوع اصبح كالكلمات المتقاطعة :q:

 

[مصرى ولى الفخر]

العزيز هيثم...شكرا على مثابرتك وتجربتك الاكثر من رائعة
هل البيدفندر لاكتشاف مثل هذة النوعية من المحاطر بتفعيل خاصية IDS على الوضع الاقصى ام الوضع الافتراضى الاقل​

k:​

 

[qysr]

والبتدفندر اوقف الملف بدون تدخل المستخدم بوضع Auto Pilot من خلال الجدار الناري للبتدفندر

باقي البرامج وعلى راسها الكاسبرسكي والكمودو تم اختراقها وتم تصوير الشاشة بلحظة تشغيل


​

فقط كملاحظة اخي هيثم خاصية ids غير مفعلة بالاعدادات الافتراضية للبيتديفيندر !!


الاصح ان اكتشاف البيتديفندر (ان صح ام لم يصح) فقد تم تحت اعدادات معدلة ,,

​

​

 

["الشبح"]

.
..
.​

 

[haitham653]

الكمودو فقط مكتشف ملف الفلاش الي يحمل توقيع مزور


https://www.virustotal.com/file/427...9bb81e5419b0492f40351cefd6d1e66b2f5/analysis/


من يريد يشاهد هذا الفيديو

Fake Flash.rar

​

 

[qysr]

شكرا اخ مصري على الارسال :king:​

 

[مصرى ولى الفخر]

واحد يرسل لي الملف اذا سمحتم :q:

يابرنس يجى من ساعة عندك على التقييم...
:d:​

 

[الوحدآآني]

يا شباب واحد يرسل لي الملف اذا سمحتم نشوف رأي المختبرات المختصة

الموضوع اصبح كالكلمات المتقاطعة :q:

ارسلته ل eset lab :d: انتظره فقط بالتحديثات :kmj-by0000 (72):
لاني اصبحت في حيره ناس تقول روتكيت وناس تروجان وانا اثق في تسميات النود فهي ستبين الآمر​