باكدور للتشغيل والتحليل (ليس للفحص)

[m0d!s@r7@n]

بارك الله فيك يا غالي على التوضيح

رغم علمي يقينآ أني لن أتوصل لشئ فأنت الأستاذ ونحن طلابك

ما أنا إلا مجرد متعلم أحاول أن أحمي نفسي ومن حولي من أخطار النت

بارك الله فيك اخي

كلنا هنا نتعلم وونتبادل ما نتعلمه(المنتديات فيها نتبادل الخبرات)

الامر الذي اشير اليه ليس لغزا او صعبا فقط يحتاج للتركيز بالصوره

 

[m0d!s@r7@n]

اين برامج الهيبس
اتوقع انها تكشف طريقه عمل الباكدور

 

[Abdulmuhaimen]

السلام عليكم

بحسب الفحص بموقع Joe Sandbox فلا يوجد فرق بين الملفان

مع العلم بإن التحليل يشير إن الملفين مشتبه بهم كـ باك دور

رابط تحليل ملف portmon.exe من ( هنا )
رابط تحليل ملف zyzoomnew.exe من ( هنا )

:: تحياتي ::
​

 

[Mя.Soul]

اين برامج الهيبس
اتوقع انها تكشف طريقه عمل الباكدور

اسف اخى على التأخير ... لم الاحظ الموضوع .. عذرا منك ..

فكرتها رائعه .. خصوصا ان الجدار فقط هو من يتحرك ... بالنسبه ليا تشفيره قويه لان لو مستخدم ضعيف سيوافق على الاتصال مباشره .. فتنبيهات محلل السلوك لا تظهر الى بعد الاتصال اولا ..

تبدو كما لو انك تصنع تشفيره موقع رقميا ... ولكن نصفها فقط هو من وقُع رقميا ... والاخر اظهر به الانتى فيرس تنبيه

... ياريت بعد كده تعمل لينا اشاره فى الموضوع فى او رد ... للاشخاص دائمى التجربه .. عشان ننتبه بسرعه للتشفيره .. ونكون اسرع .. فى التحليل ..

اخونا مصطفى يلفت نظرنا برسالته ... انت ايضا .. ابقى اعملنا اشاره او رساله ... عشان نتجمع سريع ... بالتوفيق لك دوما وبانتظار جديدك

 

[m0d!s@r7@n]

السلام عليكم

بحسب الفحص بموقع Joe Sandbox فلا يوجد فرق بين الملفان

مع العلم بإن التحليل يشير إن الملفين مشتبه بهم كـ باك دور

رابط تحليل ملف portmon.exe من ( هنا )
رابط تحليل ملف zyzoomnew.exe من ( هنا )

:: تحياتي ::
​

دا اللغز بالملف
خصائص الملفين متشابهان الا ان احدهم باكدور والاخر ملف سلبم لا شك فيه -من تطوير وتوقيع الميكروسوفت نفسها
الذي يدل علي ان الملفين مختلفان تماما الهاش مختلف ونتيجه فحص الملفين علي الفايروس توتال مختلف كما ذكرته انفا

 

[m0d!s@r7@n]

اسف اخى على التأخير ... لم الاحظ الموضوع .. عذرا منك ..

فكرتها رائعه .. خصوصا ان الجدار فقط هو من يتحرك ... بالنسبه ليا تشفيره قويه لان لو مستخدم ضعيف سيوافق على الاتصال مباشره .. فتنبيهات محلل السلوك لا تظهر الى بعد الاتصال اولا ..

اقتربت كثيرا من كشف الطريقه التي يعمل بها الباكدور (ملاحظه متمرس)

 

[jockey]

عند فك الضغط ام اكتشافه

وعند ايقاف مضاد الفيروسات
والتشغيل

 

[pro george]

ازيك يا غالي كيف حالك

الاحصان والارمور

مكشوف من الحصان

تم اغلاق الحماية والتشغيل

التقطة الارمور بالرسالة الحمراء

عملت سماح بدون تقيد
بالرغم من ذلك قام بتقيدة وحجب السلوكيات
واظهر الاتصال فقط

بلوك وانتهي

 

[pro george]

الاداة الاصلية عند تشغيلها
تم السماح لها بالعمل بدون تنبيه لانها في الوايت ليست بتاع الارمور
بلا اتصال

 

[m0d!s@r7@n]

ازيك يا غالي كيف حالك

الاحصان والارمور

مكشوف من الحصان

تم اغلاق الحماية والتشغيل

التقطة الارمور بالرسالة الحمراء

عملت سماح بدون تقيد
بالرغم من ذلك قام بتقيدة وحجب السلوكيات
واظهر الاتصال فقط

بلوك وانتهي

الاداة الاصلية عند تشغيلها
تم السماح لها بالعمل بدون تنبيه لانها في الوايت ليست بتاع الارمور
بلا اتصال

انت الوحيد اللي شغلت الملفين
دليل ان الملفان مختلفان تماما الاول يقوم بالاتصال والثاني لانه سليم لا اتصال له
الم يسترعي انتباهك الملف الذي يقوم بالاتصال

 

[pro george]

انت الوحيد اللي شغلت الملفين
دليل ان الملفان مختلفان تماما الاول يقوم بالاتصال والثاني لانه سليم لا اتصال له
الم يسترعي انتباهك الملف الذي يقوم بالاتصال

في حاجة كمان الملفان عند تشغيلهم يعطيك الرسالة
بتاعة الموافقةagree
ليحسسك ان الملف موثوق
والملف من شركة

 

[m0d!s@r7@n]

السلام عليكم

بحسب الفحص بموقع Joe Sandbox فلا يوجد فرق بين الملفان

مع العلم بإن التحليل يشير إن الملفين مشتبه بهم كـ باك دور

رابط تحليل ملف portmon.exe من ( هنا )
رابط تحليل ملف zyzoomnew.exe من ( هنا )

:: تحياتي ::
​

الموقع هذا اسطوري ويستخدم تقنيات حديثه جدا للفحص الا انه يحتاج لبعض الخبره

هنا الموقع كشف حقيقه الملف وما يقوم به بالفعل

هذا نتيجه فحص الملف الباكدور قارن بينه وبين الملف السليم

ارجو ان تكونوا لاحظتم الفرق بين عمل الملفين بالذاكره

 

[m0d!s@r7@n]

الطريقه التي يعمل بها هذا الباكدور

اولا هذا النوع من الباكدور يتم عمله بطريقه تسمي طريقه الترقيع

وهي عباره عن حقن شل كود في ملف تنفيذي

لعمل باكدور بهذه الطريقه عده طرق

الطريقه المستخدمه هنا باستبدال قيم الاكواد الموجوده بالملف التنفيذي (مثل بالصوره) باكواد الشل كود نفسه

هذه الطريقه لها العديد من المزايا اهمها انها تجعل ملف الباكدور له نفس مواصفات وخصائص الملف الاصلي حتي طريقه العمل تتشابه تفريبا ولا يمكن ملاحظتها بسهوله

اذا لاحظنا تجارب الاخوه هنا -الذين رصدوا اتصال الملف كم في تجربه اخونا احمد

اذا دققنا النظر بالملف الذي يقوم بالتصال سنجده الملف الاصلي -كان الباكور ليس موجودا اصلا ولا توجد طريقه سواء دمج او تلغيم او الخ تجعل الملف الاصلي هو من يقوم بالاتصال (ولذا قلت ان هذه الطريقه غايه في الاحتراف)

الامر الثاني هو كيف يعمل الباكدور نفسه

قلنا انه عباره عن شل كود محقون بالملف التنفيذي ويعمل من خلال الحقن المباشر في ذاكره الجهاز لذا لن تجد له اي اثر الا اذا قمت بفحص عمليات الملف بالذاكره كما هنا

اذا لاحظنا العمليه الاولي للملف بذاكره الجهاز نجدها من نوع virtualalloc وهذه هي الطريقه التي يحقن بها الشل كود نفسه بالذاكره ولاحظوا اخواني تحت بند protection نجدمكتوب هنا ان الملف يقوم بعمليه execute لانه يصل للذاكره علي هيئه مضغوطه ويقوم باستخراج الاكواد بالذاكره نفسها وهذا ما يسمي الحقن بالذاكره

الي ان نلتقي بمواضيع جديده وطرق حصريه