تشفيرة تشفيرة جديدة بتاريخ اليوم 1-6-2015

[MagicianMiDo32]

آه الفيديو على قناتي أنا

ععرفعه على قناة المنتدى وأجرب ع الدكتور ويب إن شاء الله بكرة

 

[egyptian]

الخلاصه مما تم ذكره الملف يعتبر خبيث بسبب التشفيره

لكن الملف الاصلى الخام خالى تماما تماما من اى اكواد خبيثه

اولا اعتزر للجميع على التاخر فى تحليل العينه

بعد قرائه جميع ردود الاخوه والاطلاع جميع الردوده

ومن بعد ازن اخى الغالى عمرو

بعد التحليل الكامل للملف

اليكم ما تم وما حدث وسبب اشتباه الكاسبر واغلب الحمايات فى الملف

الاخ عمرو ذكر انه قام بتشفير الملف على ثلاث مراحل

1- Mpress - Clear الملف قبل التشفير
2- Mpress - Encrypted الملف بعد تشفيره برمجياً فقط
3 Mpress - Crypted الملف بعد تشفيره برمجياً وبواسطة أداة Morphine

اذا نظرنا جيدا ما بين السطور

واعتزر لكم جميعا لان الموضوع معقد قليلا لذى يرجى من بعد اذنكم التحلى بالصبر والتركيز جيدا فيما ساشرحه

حتى لا يتوه احد منى فيما ساقول

الملف الاول بعد بناء المشروع بشكل كامل ( وهو نظيف مئه فى المئه 100/100 ) ولا يحتوى على اى اكواد خبيثه

بعد بناء المشروع الاول تم استخدم النظام البرمجى لاعاده تشفير الملف مره اخرى وهذا الامر الثانى الذى يعتبر اصعب

لماذا اصعب لان بعد تكوين المشروع برمجى وتحويله الى استرنج STRING اصبح المشروع بالكامل على هيئه ملف مشفر

اذا اصبح بين ايدينا ملفين الاول الاصلى هوه المشروع كما ذكرنا والتشفيره الثاينه

اذا اخونا عمرو قام بعمل الاتى

استخدم الملف الاصلى الخام ( المشروع الاصلى الخاص به ) وقام باعاده تشفيره مره اخرى واعتمد فى تشفيره على وضع الملف فى الريسورس

الكاسبر وما اداراك ما الكاسبر ( سر من اسرار الكاسبر الذى لا يعرفه غير قليل من المشفرين ) وهو ان الكاسبر عندما يجد اى ملف داخل ريسورس اى مشروع

مصنوع vb.net يشتبه بالملف وحتى وان كان نظيف

اذا الصوره اصبحت واضحه الان لماذا اكتشف الكاسبر الملف

طيب واحد هيسئل ويقول طيب التسميه ايه دخلها فى الموضوع وان الكاسبر صنف الملف على انه خبيث بل ووضع له تسميه وصنفه على انه خبيث

الفاصل هنا هو طريقه التشفير المتبعه فى الملف اقصد هنا السورس الثانى الذى تحدثنا عنه

الاكواد المستخدمه فى التشفيره الثانيه التى قامت بتشفير الملف الاصلى اكود اغلبها مشبوه لذلك حتى وان كان الملف نظيف فسيتم تصنيف الملف على انه خبيث

بسبب سلوك الكود وطريقه استدعائه للدوال داخل المشروع

لذلك اصبح الكاسبر يعطى تسميه بهذا الشكل

بعد التشفيره البرمجيه قام اخونا عمر بالتشفير مره ثالثه وهو باستخدام برنامج الضغط المشهور Mpress

مما جعل الملف اكثر اشتباه بجميع الاكواد الداخليه

الخلاصه مما تم ذكره الملف يعتبر خبيث بسبب التشفيره

لكن الملف الاصلى الخام خالى تماما تماما من اى اكواد خبيثه

ارجو ان اكون وفقت فى ايصال وتوضيح عمل هذا الملف

تحياتى للجميع

وتحياتى لاخى الصغير عمرو

الاكواد المستخدمه فى التشفيره الثانيه التى قامت بتشفير الملف الاصلى اكود اغلبها مشبوه لذلك حتى وان كان الملف نظيف فسيتم تصنيف الملف على انه خبيث

بسبب سلوك الكود وطريقه استدعائه للدوال داخل المشروع

لذلك اصبح الكاسبر يعطى تسميه بهذا الشكل

وهذا يجيب علي سؤالي كيف إكتشفه الكاسبر
لأن أخي الغالي عمرو قال مفيش سلوك أساسا وهنا إختلفت معه

الخلاصه مما تم ذكره الملف يعتبر خبيث بسبب التشفيره

لكن الملف الاصلى الخام خالى تماما تماما من اى اكواد خبيثه

إذا نرجع ونقول .. (وانا هنا أتحدث عن الكاسبر الذي جربت عليه ) .. عداه العيب وقزح وأدي المطلوب منه ولا يلام علي ذلك لأنه وجد سلوك غريب لكود + أكواد مشبوهة = إشتباه
بارك الله فيك الأخ الكريم ونفع بك
إحترامي ،،،

 

[pro george]

تقريبا اللي كان قصدي عليه وبردوا النود مسكه بالهيرو

 

[MagicianMiDo32]

Dr.Web

فشل\\مكتشف !!!

 

[MagicianMiDo32]

TrustPort

فشل \\ مكتشف

 

[White Man]

مختبرات الكاسبر قالوا ان ده إكتشاف خاطئ وهيصلحوا في التحديث القادم
(في البداية أخبروني بأن الأرشيف معطوب . بعد ذلك اعتذروا وأكد ان الملف نظيف)

وبعدين بقى في الخلية الكذابة دي .. القرموطي ستايل
نظيف ولا ايه ؟؟

 

[black007]

مختبرات الكاسبر قالوا ان ده إكتشاف خاطئ وهيصلحوا في التحديث القادم
(في البداية أخبروني بأن الأرشيف معطوب . بعد ذلك اعتذروا وأكد ان الملف نظيف)

مشاهدة المرفق 88145

وبعدين بقى في الخلية الكذابة دي .. القرموطي ستايل
نظيف ولا ايه ؟؟

ههههههه

وهذا يثبت كما ذكرنا اخى عمرو

ان الملف الاصلى نظيف ولكن طريقه التشفير هى التى اعتبرت الملف خبيث

Good Work

 

[MagicianMiDo32]

داكل برامج الحماية كشفته أراجل
حتى الي مبيكشفش حاجة كشف الملف دا
ههه

 

[White Man]

وصل الرد من مختبرات الأفيرا .. اشتباه كاذب أيضاً
بإنتظار رد البتدفندر (خلال 72 ساعة عمل) وكذلك النود (وضعت موضوع بالمنتدى الرسمي لهم لكن يجب موافقة الإدارة أولا على الموضوع قبل نشره)

https://analysis.avira.com/en/status?uniqueid=wQBIWMybsZSG64qA0HIrfpgO5Ac6XzLZ&incidentid=1885436