عـيـنة عينة من تطبيق ضارtrojan

[ALmehob]

تطبيق ضار وخبيث



رابط التحميل
[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]


لفك الضغط
[hide]infected[/hide]

 

[mha1m]

[hide]

[/hide]

 

[ahmed@salah]

بفك الضغط الأفاست

 

[أبو رمش]

 

[Ahmed_Albosife]

يسلمو برهوووم

مكتشف من الكاسبر 2016

 

[MagicianMiDo32]

تحليل أولي للدوال ,,

أقول رانسوم وير ...

 

[MagicianMiDo32]

بسم الله الرحمن الرحيم


أشكرك أخي ابراهيم على هذة العينة المسلية حقا Trojan mickey

,التجربة والتحليل باستخدام التراست بورت


أولا الملف كان مكتشفا من المحرك فقمت باغلاقه لتجربة محلل السلوك الذي ابهرني بصراحة على القاعدة restrict التي تجعل منه هيبس لا يقهر .,



أولا ظهر أنذار بأن الملف يحاول التعديل على إعدادات النظام العامة >> ريستريكت

يليه أنذار بأن " الملف يحاول الوصول الى ملف آخر تابع للنظام قد يعطيه صلاحيات عالية "

وبالفعل هذة عملية حقن في العملية Taskhostex.exe لإستخدامها في الإتصال بعنوان معين

كما قام الملف بنسخ نفسه الى مجلد الـ roaming

,وبعد ذلك تم رصد أتصال


[hide]

[/hide]



الهوست


[hide]

[/hide]

والعملية التي تتصل هي Taskhostex.exe التي تم حقنها .,,

[hide]

[/hide]

نلاحظ أيضا دوال البرنامج وهو السبب الذي جعلني أفكر فيه على أنه راسنسوم وير في البداية

تلكما الدالتين

GetStartupInfoA

و
GetDesktopWindow


على أساس انه سيضيف نفسه للستارت اب وبالفعل حدث
ويقوم بإغلاق نوافذ سطح المكتب وهذا لم يحدث وحتى الآن لا أعرف الغرض من هذة الدالة ممكن لتصوير سطح المكتب ~
والله أعلم

قمت بعمل restart للنظام الوهمي لمعرفة ما إذا كان الملف سيعمل مع بدء التشغيل أم لا وبالفعل عمل وظهر إنذار من التراست بورت

مدخلة الستارت أب بأداة autoruns .,

;,كويس المنتدى صار يسمح لك برفع أكثر من 10 صور بمشاركة الواحدة


صورة للـ Handles الخاصة بالعملية

وللـ Environment

للـ memory

نعود الآن للـ أي بي


بالدخول أليه تبين أنه تابع للـ Cloud Flare

,;`وكذلك بالبحث عنه في , Who.is

أي يحتمل أن يكون الملف أدوير مثلما قال الأخ بايدو العالمي

 

[Ahmed_Albosife]

بسم الله الرحمن الرحيم


أشكرك أخي ابراهيم على هذة العينة المسلية حقا Trojan mickey

,التجربة والتحليل باستخدام التراست بورت


أولا الملف كان مكتشفا من المحرك فقمت باغلاقه لتجربة محلل السلوك الذي ابهرني بصراحة على القاعدة restrict التي تجعل منه هيبس لا يقهر .,



أولا ظهر أنذار بأن الملف يحاول التعديل على إعدادات النظام العامة >> ريستريكت


مشاهدة المرفق 93458



يليه أنذار بأن " الملف يحاول الوصول الى ملف آخر تابع للنظام قد يعطيه صلاحيات عالية "

وبالفعل هذة عملية حقن في العملية Taskhostex.exe لإستخدامها في الإتصال بعنوان معين

مشاهدة المرفق 93459



كما قام الملف بنسخ نفسه الى مجلد الـ roaming

مشاهدة المرفق 93460



,وبعد ذلك تم رصد أتصال


[hide]مشاهدة المرفق 93461[/hide]



الهوست


[hide]
مشاهدة المرفق 93462[/hide]

والعملية التي تتصل هي Taskhostex.exe التي تم حقنها .,,

[hide]
مشاهدة المرفق 93463

مشاهدة المرفق 93464[/hide]

نلاحظ أيضا دوال البرنامج وهو السبب الذي جعلني أفكر فيه على أنه راسنسوم وير في البداية

تلكما الدالتين

GetStartupInfoA

و
GetDesktopWindow


على أساس انه سيضيف نفسه للستارت اب وبالفعل حدث
ويقوم بإغلاق نوافذ سطح المكتب وهذا لم يحدث وحتى الآن لا أعرف الغرض من هذة الدالة ممكن لتصوير سطح المكتب ~
والله أعلم


مشاهدة المرفق 93465



قمت بعمل restart للنظام الوهمي لمعرفة ما إذا كان الملف سيعمل مع بدء التشغيل أم لا وبالفعل عمل وظهر إنذار من التراست بورت



مشاهدة المرفق 93466



مدخلة الستارت أب بأداة autoruns .,

مشاهدة المرفق 93467



;,كويس المنتدى صار يسمح لك برفع أكثر من 10 صور بمشاركة الواحدة


صورة للـ Handles الخاصة بالعملية

مشاهدة المرفق 93469



وللـ Environment

مشاهدة المرفق 93468


للـ memory
مشاهدة المرفق 93470

نعود الآن للـ أي بي


بالدخول أليه تبين أنه تابع للـ Cloud Flare
مشاهدة المرفق 93471


,;`وكذلك بالبحث عنه في , Who.is

مشاهدة المرفق 93472



أي يحتمل أن يكون الملف أدوير مثلما قال الأخ بايدو العالمي

ياسلام...
تحليل ممتاز ميدو الله ينور عليك

 

[MagicianMiDo32]

شكرا لك أخي الغالي
@Ahmed_Albosife

 

[Shrieef Al Tite]

+1