التحدي الأول بمســابقة فحص الملفات ► 1 ◄

[m0d!s@r7@n]

►◄: أحبابنا ,أعضاء المنتدى الأعزاء :►◄


أسعد الله يومكم بكل خير ووفقكم لما يحب ويرضى وأسأل الله أن يمن علينا بالخير واليمن والبركة


يـــســـعـــدنــا أنـ نــقــدمـ لــكــمـ


التحدي الأول من

▼
▼

▼
▼

والتي تهدف الى إستثمار الجهود المبذوله من الإخوه الأعضاء بالقسم في مزيد من العطاء والبذل

في جو تنافسي خلاق والعمل علي إظهار مواهبكم وتطويرها


يرجى الإطلاع علي شروط المسابقه قبل الإشتراك

​

▼
▼​

▼
▼

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

▲▼ المطــــلوب ▼▲

جلب بيانات الملف التاليه

- مســـار نزول السيرفر

- البـورت والهـوست للسيرفر

تنبيه

بيانات الملف حقيقيه


◄◄ لتحميل ملف المسابقه ►►


▼

▼

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

​

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

▲▼ الباســـورد ▼▲


[hide]infected[/hide]

►► طريقة تسليم بيانات ملف المسابقه ◄◄


- من يصل للبيانات الصحيحه يراسل أحد الأعضاء المسؤلين عن المسابقه

من أجل الحلول أو الإستفسارات


▼


▼

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

ـــــــــــــــــــــــــــــ
ــــــــــــــــ


نرجوا الإلتزام من الجميع

ومن يخالف شروط وقوانين المسابقه

سيتم إخراجه من المسابقه نهائياً

وفي حالة تكرار المخالفة لـ 3 مرات سيتم حرمانه من الموسم التالي

شكر واجب

لاخينا black007 المبدع صاحب ملف المسابقه

لاختنا الفاضله روايدا صاحبه تصميم وتنسيق الموضوع​

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

​

 

[m0d!s@r7@n]

تم وضع باسورد الملف

بالتوفيق للجميع

 

[m0d!s@r7@n]

الحين انتهي وقت المسابقه وسيتم الكشف عن الفائزين وطريقه كل من فاز في الوصول للبيانات

نبارك للفائزين وحظ اوفر للجميع بالمرات القادمه

 

[m0d!s@r7@n]

اول الفائزين هو اخونا المحترف

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

وقد توصل للحل في وقت قياسي (احييه علي هذا)

هنا البيانات الصحيحه للملف

مسار نزول السيرفر

C:\windows\syswow64\drivers\en-us

اسم السيرفر
Gen

البـورت
80

الهوست للسيرفر

[hide]
microsoftcorporation.linkpc.net[/hide]

وهنا شرح لطريقه وصوله للحل
[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]

 

[m0d!s@r7@n]

ثاني الفائزين هو اخونا المبدع

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

شرح طريقه وصوله للبيانات

.:: الادوات المستخدمة في التحليل ::.

* هيبس النود - ESET Hips

* APate DNS

.:: طريقة التحليل والكشف ::.

أثناء تشغيل الباتش ظهرت رسائل هيبس النود كالتالي

الباتش يحاول إنشاء تطبيق Hacked.exe في المسار الموضح في الصورة

ويحاول أيضا إنشاء تطبيق TempBooM.exe في المسار الموضح

التطبيق Hacked.exe يحاول إنشاء تطبيق TempRecycle.exe

نفس التطبيق TempRecycle.exe يحاول تشغيل نفسه

بعد ما شغل نفسه يحاول إنشاء تطبيق server.exe

.:: كيفية الوصول لخدعة الملف ::.

بعد الضغط على زر الـ About في تطبيق الـ Contest.exe

ظهرت نافدة الهيبس من جديد , من أجل تكوين تطبيق أخر Gen

بعد لحظات ... قام ESET Firewall بكشف محاولة للاتصال

[hide]

[/hide]

طبعاً لم يستطيع تحديد الهوست Host فتم الاستعانة ببرنامج Apate DNS

[hide]

[/hide]

أعتقد إن الهوست هو

[hide]microsoftcorporation.linkpc.net
[/hide]

 

[m0d!s@r7@n]

الفائز الثالث مشرفنا المميز

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

شرح وصوله للبيانات

الباتش يعمل عند تشغيل البرنامج كمسئول والضغط علي About

ينزل ملف بأسم Gen.exe

في هذا المسار

C:\Windows\SysWOW64\drivers\en-US\Gen.exe

تمام يقول بالاتصال

بهذا العنوان

Gen.exe (3244), MaryGerges, 51856, 77.113.162.197.in-addr.arpa, 80, TCP, Established,


ثم بطريقة ما يقوم بتحميل بيانات السيرفر من الانترنت

هذة طريقة مصطفي اعرفها

بعض التمويه ليشعرك ان الملف داونلودر

ولكنه يقوم فقط بتحميل بيناته

لكي لا يلحظه برنامج الحمايه

ثم يتم التشغيل

وبعد الانتظار قليلا والمراقبه

يتم تحويل الاتصال للهوست
[hide]

[/hide]

الان تم فتح فايروول الكاسبر لالتقاط الاتصال بشكل سليم
[hide]

[/hide]

 

[m0d!s@r7@n]

الفائز الرابع اخونا المبدع والمميز

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

(صاحب الحل المميز )

عند فتح التشفيرة نلاحظ وجود 3 أزرار
الأول xلغلق النافذة
الثاني zyzoomوهو يحتوي على الملف الوهمي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

الآن فلنستخدم برنامج .net reflector
نفتح هاندلر الزرين

نلاحظ هنا وجود استخراج لملف وهمي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

للتأكد من ذلك نقوم بتشغيل التشفيرة كمسؤول "وسنعلل ذلك لاحقاً"

نلاحظ تنفيذ سيرفر وهمي بعد استدعائه

وبياناته كالآتي:-

الهوست:-
127.0.0.1
localhost
نلاحظ هنا أنه اي بي داخلي ؛
وبالتالي فهذا الملف خدعة

إنزال البيانات:-
C:\Windows\System32\drivers\en-US\
باسم hacked.exe
فينزل ملف في
C:\Users\%userprofile%\AppData\Local

باسم
TempBooM.exe
وهذا هو الإندكس الذي يصدر ضحكة شريرة

و ملف آخر
TempRecycle.exe


ويتم إنزال السيرفر الخدعة في :-
C:\Users\%userprofile%\AppData\Roaming

بإسم
server.exe

مشفر بالسمارت أسمبلي

وملف تهيئة خاص بالتشفير في
C:\Users\%userprofile%\AppData\Roaming\Microsoft\CLR Security Config\v2.0.50727.312\security.config.cch
بإسم
security.config.cch

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

وللحصول على تلك البيانات يمكنك استخدام مكافحك \\ كمكافي عندي ؛
أو أداة directory monitor
و
easy hook

نعود الى الآن الى الملف الرئيسئ بعد أن أكلنا تلك الخدعة

لننجرب لآن فتح سورس ملف about

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

نلاحظ هنا وجود عملية استخراج للبيانات
إذاً مسار النزول هو
C:\Windows\System32\drivers\en-US\

باسم
Gen.exe


طيب هنا اجابة االسؤآل
لم نشغل الملف كمسؤول؟
السبب أن مسار النزول هذا يحتاج إلى صلاحيات عالية لإضافة ملفات فيه ,
أيضاً حذاري من محاولة قتل العملية أو الحقن فيها حتى لاتظهر شاشة الموت الزرقاء

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

إذا الملغم هنا هو زر about

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يقوم بتشغيل سيرفر الإختراق

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

طيب والهوست
سنستخدم برنامج tcp eye
[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]

إذا البورت
80
طيب والهوست
سنستخدم أداة adapter dns
وها هو[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]

 

[m0d!s@r7@n]

الفائز الخامس مراقبنا الغالي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

السرفر باسم gen ومساره C:\Windows\System32\drivers\en-US

يتصل عن طريق البورت 80

الهوست هو

[hide]microsoftcorporation.linkpc.net[/hide]

طريقة الوصول للبيانات :

تم معرفة جميع الملفات التى يتم انشائها ومساراتها من خلال الكاسبر والاونلاين أرمور
تم معرفة البورت من خلال ( الكاسبر / الاون لاين ارمور / وبرنامج NET TOOLS )
تم معرفة الهوست من خلال برنامج APEATDNS و SMARTSNIFF

 

[m0d!s@r7@n]

نبارك مره اخري لجميع الفائزين وحظ اوفر للجميع في التحديات القادمه باذن الله