اختبار EICAR علي الطريقه الزيزووميه

[m0d!s@r7@n]

-الجميع يعرف ملف EICAR الخاص باختبار برامج الحمايه وقد صار الملف مكشوفا من جميع برامج الحمايه تقريبا لذا

يستخدم الان لاختبار هل برنامج الحمايه يعمل ام لا

-اذن ما الجديد ؟

الجديد هنا في زيزووم حيث تم تطوير اداه تقوم بتوليد ملف EICAR في عده صيغ (exe -zip-pdf) متخطيه برامج الحمايه

مبرمج الاداه هو الخبير الامني الرائع Didier Stevens وله مدونه باسمه (من افضل المدونات الشخصيه ان لم تكن الافضل)

نتيجه فحص الاداه (الاداه لا ضرر منها اطلاقا كما هو معروف)

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

طريقه عمل الاداه

-بعد تحميل الملف قم بفك الضغط علي سطح المكتب بشرط ان يكون الملف داخل الفولدر

-نفتح موجه الاوامر (شاشه الدوس) ونكتب بها امر cd + مسار الملف (copy\paste)

اضغط انتر وتاكد انك داخل الفولدر

نكتب هذه الاوامر (امر بعد اخر )ونضغط انتر بعد كل امر

- EICARgen.exe write

- EICARgen.exe zip

- EICARgen.exe pdf

لتحميل ملف الاختبار

[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]

الباس infected

بانتظار نتائج اختبارات برامج الحمايه لديكم

 

[alaa8iniesta]

بعد تنفيذ الخطوات .. ماهي لا لحظات وتم الاكتشاف

الحجز

​

 

[عين الطيف]

كاسبر :

عند التشغيل :

ثم حذف :

عند تشغيل ال pdf تم حذفه :

ثم رسالة تفيد بالحذف لكن اختفت بسرعة

 

[عين الطيف]

شكرا جزيلا مراقبنا الغالي أول تجربة لي علي الكاسبر بعد ترك كومودو

 

[Abdelkarim]

عند كتابة الامر الاخير تحرك ال avg

مشاهدة المرفق 62534

عند فحص الملفات

و تبقى ملف واحد في المجلد

 

[COMANDOS]

الايموسوفت ولا اي شئ ولا يتحرك !!

 

[m0d!s@r7@n]

التحدي هو الا تسمح برامج الحمايه بانشاء الملفات اساسا وليس كشف الملفات بعد تكوينها

 

[Abdelkarim]

التحدي هو الا تسمح برامج الحمايه بانشاء الملفات اساسا وليس كشف الملفات بعد تكوينها

يعني فشل avg بالمختصر المفيد

 

[m0d!s@r7@n]

يعني فشل avg بالمختصر المفيد

اذا سمح بتكوين الملفات دون ان ينبهك فقد نجحت الاداه في تخطيه

 

[Abdelkarim]

اذا سمح بتكوين الملفات دون ان ينبهك فقد نجحت الاداه في تخطيه

وهذا ما حذث فعلا
خسارة حتى بدات احب البرنامج

 

[pro george]

الاداة رائعه

وبها صلاحيات غير محدودة

لانها تأخذ ملفCMD كحاضن لتنفيذ الاوامر

وكمان موثوقه من الكاسبر

تم تنفيذ الاولمر وقام الكاسبر بالتقاط الملف الاول

والثاني

=============
الان تم تطوير التجربه بما ان الملف CMD هو الحاضن تم نقله لقاعدة تقيد منخفض واعطاءة صلاحيات محدودة

وبمجرد كتابه الاولمر ظهرت رسائل الهيبس يحاول Cmd كتابها اومر علي الملف

 

[أبو رمش]

البتد فيندر عند ادخال الامر الأول ..

الامر الثاني ..

الأمر الثالث ..

ملف قام بحذفه تلقائيا واثنين قام بنقلهما إلى الحجر ..

 

[COMANDOS]

شباب واضح اني عملت الطريقة غلط

لان الشرح مش راضي يتطبق معايا كويس لان بمجرد مابحط اي امر في كومند برومند بيختفي في ساعتها

 

[toufik888]

افيرا 10/10

 

[qysr]

تشكر اخي فتحي على متابعة كل جديد ..

الاول منعه النود مباشرة ,

=============================

الثاني بالفحص ,

=======================

الثالث للاسف لم يكتشف الا بالتشغيل

 

[عين الطيف]

* معذرة * ولكن مراقبنا : ال AVG حذف الملفات قبل التشغيل بمجرد كتابة الأوامر تم الامساك بهم فكيف فشل ؟؟ وكذلك بت ديفندر حذفهم قبل التشغيل وهذا تفوق أكيد !!

 

[Abdelkarim]

* معذرة * ولكن مراقبنا : ال AVG حذف الملفات قبل التشغيل بمجرد كتابة الأوامر تم الامساك بهم فكيف فشل ؟؟ وكذلك بت ديفندر حذفهم قبل التشغيل وهذا تفوق أكيد !!

avg لم يتحرك عند كتابة الامر الاول او الثاني
فقط عند كتابة الامر الثالث ثم الاكتشاف

 

[MagicianMiDo32]

ميضو جه
الأداة تعتمد على إستخراج ملفات بامتدادات مختلفة ثم وضع كود أسكي لملف ايكار بها
تعد مقياس لقدرة برنامج الحماية على كشف حقن الشيفرات الفيروسية الخطيرة
بحيث تختبر قدرتها على كشف الشيفرة الفيروسية قبل حقنها
حيث في بعض الأحيان لايكشف المكافح الفيروس نفسه لكن يكشف الشيفرة الفيروسية
لذلك عليه كشفها قبل حقنها لأنه قد لايمكن أزالتها او تنظيف الملف بعد الحقن
وباالتالي تصاب الملفات ويفشل المكافح في تنظيفها
طيب كيف استغل أنا كهكر هذة الجزئية ؟
عن طريق وضع تايمر قبل الحقن
لكن كيف يمكن تخطي برنامج الحماية ؟
أغلب برامج الحماية تضع عمق أقصى ووقت محدد لفحص الملف ,
وذلك لعدم الضغط على موارد الجهاز
طيب لو انتهى هذا الوقت \\ يتم ترك الملف وشأنه
ولو لم يتم كشف أي شيفرات خبيثة ضمن الكود بفحصه لوقت معين وعمق معين يتم تركه "فكرة التشفير على المحركات"
هذة الأمور تظهر أكثر مع المحركات السحابية لأنها تستغرق وقتا إضافيا للإتصال بالنت
طيب أداتنا هنا

جرب وضع الأداة في الـC
وأنشأ ملف نوت وأكتب به الآتي :-

cd c:\

- EICARgen.exe write

- EICARgen.exe zip

- EICARgen.exe pdf

,و أسمه أي شيئ بشرط أن يكون الإمتدادbat
شغل وجرب
- الفكرة تكمن في تمكين المكافح من كشف شيفرة الأسكي قبل حقنها حيث يقوم ملف البات بتنفيذ الأوامر عوضا عنك
وبالتالي التوفير في الوقت قبل انتهاء مدة فحص عملية الأداة

~

 

[عين الطيف]

مرقبنا الغالي
m0d!s@r7@n : هل يمكن إعتبار هذا الاختبار وسيلة متقدمة لقياس قوة برنامج الحماية او مدي سرعة الاستجابة ؟؟ مثل هنا النود و البت ديفندر تفوقوا علي كاسبر من ناحية الحذف فورا انما كاسبر ترك الملفات كلها للتشغيل - ومثل تخطي الأمر الأول والثاني لل Avg - وللأسف لم يتوافر غير هذه البرامج لعدم اشترك الأعضاء -
- ولو أمكن وجود عدة أدوات مختلفة تعمل بطريقة أخري فنرجو من حضرتك ومن خبراء الحماية عمل موضوع منها مثلا عن : قياس قوة برنامج الحماية او مدي سرعة استجابته . تقبل مروري