عـيـنة برنامج ملغوم للتحليل 05

[النوميديالنوميدي is verified member.]

​

كالعادة عينة ملغومة للتدرب

الأحسن يتم تحليلها ،،، لاستخراج البيانات طبعا...

لكن هذا لا يمنع من استعمال برامج الحماية لتجربة مدى قوتها و مدى قوة التحليل فيها ..

العينة هي عبارة عن برنامج يجب الحذر ... العينة خطيرة ،،

لذلك أوصي نفسي و اياكم لاستعمال الانظمة الوهمية ....

البرنامج ملغوم .....​

[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]

كلمة فك الضغط : infected

​

تنبيه هام جداً صادر عن إدارة المنتدى

كل عضو مسئول عن قراره في المشاركة بتجارب هذا القسم فهذا القسم مخصص للتجارب

على ملفات ضارة مختلفة الأنواع ويجب أن لا يشارك سوى أصحاب الخبرة ومن لدية الدراية والمعرفة

بما سوف يجربه والعضو مسئول مسؤولية كاملة عن تحميل أي ملف من القسم

وتجريبه على جهازه والإدارة تخلي مسؤوليتها بهذا الشأن....​

​

 

[kimo7]

وعليكم السلام
ملغوم جاري التجربة
​

 

[MagicianMiDo32]

هوب هوب هوب هوب
جاري التحليل
وماشي التحليل وراكب التحليل هيوق يوقيوق #الخليل_كوميدي

 

[ALmehob]

وعليكم السلام
تم تجربة التشفيرة على السمول ولم يكتشف شئ
على العموم بعد الاطلاع على عمل التشفيرة لم الاحظ اى شئ مريب وحتى لايوجد اتصال
هل التشفيرة مربوطة بip

 

[MagicianMiDo32]

فين dora.dll ياصديقي
المفروض أنه جزء من التلغيمة أيضا
موفق

 

[النوميديالنوميدي is verified member.]

وعليكم السلام
تم تجربة التشفيرة على السمول ولم يكتشف شئ
على العموم بعد الاطلاع على عمل التشفيرة لم الاحظ اى شئ مريب وحتى لايوجد اتصال
هل التشفيرة مربوطة بip

طبعا لب الموضوع في الاتصال يا طيب ...

 

[النوميديالنوميدي is verified member.]

فين dora.dll ياصديقي
المفروض أنه جزء من التلغيمة أيضا
موفق

هل العينة اشتغلت عتدك ؟

 

[النوميديالنوميدي is verified member.]

Creative Resistance

 

[MagicianMiDo32]

استغفر الله العظيم أيه الفسق دا

دا لو بيحمي الأحتياط البنكي المركزي بتاع سويسرا مكانش عمل كدا


عامة هذا هو الاجراء الملغم Main علطول

هناك دالة Decompress

تابعة لكلاس آخر
لاتستدعى في الأجراء Main

 

[MagicianMiDo32]

الـ Array طويل والليل طويل والنت بطيئ والدنيا مشقلبة فالملف دا

@black007

 

[التميمي14]

تحياتي للجميع وكل عيد اضحى ونحن واحبابنا واياكم بخير

اخي لا مجال للعب مع البتدفندر بمجرد فك الضغط حذفه من جذوره

 

[awake]

تحياتي للجميع وكل عيد اضحى ونحن واحبابنا واياكم بخير

اخي لا مجال للعب مع البتدفندر بمجرد فك الضغط حذفه من جذوره


مشاهدة المرفق 143415

اكتشاف سحابي

 

[awake]

تحياتي للجميع وكل عيد اضحى ونحن واحبابنا واياكم بخير

اخي لا مجال للعب مع البتدفندر بمجرد فك الضغط حذفه من جذوره


مشاهدة المرفق 143415

لكن سؤال كم هو رقم النسخه هل وصلك التحديث

 

[MagicianMiDo32]

هههههههههههههههههههههههه

شوفت الخدع بنت الأيه
لقد وقعنا في الفخ

البرنامج طلع معيلهوش ولا حماية

دا الواد حاطط الـ identifiers بتاعة كل الحمايات دي للتمويه بس
أنما لما تفتح الكلاس تلاقيه فاضي

بس صراحة غلبني الملف دا
أضنبه بالميجا ضنبر يدي الملف نفسه
أعمله مشروع بالفيجوال يديني overflow
أجي أعدل عليه بالـ Dnspy يعمل exception
أعدل عليه بالـ Reflexil مش يرضى ويدي خطأ

آخر ما زهقت رحت جاي فاتحه في الـ dnSpy شوفت لقيت الموديول dora.dll

رحت جاي عامله Dump region وهوبا وصل الملف

وبلاها اللف والدوران والدوشة دي

 

[MagicianMiDo32]

وراك وراك لما جبتك

Imports System.Security.Cryptography
Imports System.Text

Public Class Form1
    Private Sub Form1_Load(sender As System.Object, e As System.EventArgs) Handles MyBase.Load
        Dim s As String = IO.File.ReadAllText("D:\2.txt")
        Dim rawAssembly As Byte() = Me.md5Decrypt(Convert.FromBase64String(s), "md5", CipherMode.ECB, PaddingMode.PKCS7)
        IO.File.WriteAllBytes("D:\server.exe", rawAssembly)
    End Sub
    Public Function md5Decrypt(ByVal bytData As Byte(), ByVal sKey As String, Optional ByVal tMode As CipherMode = 2, Optional ByVal tPadding As PaddingMode = 2) As Byte()
        Dim provider As New MD5CryptoServiceProvider
        Dim buffer As Byte() = provider.ComputeHash(Encoding.UTF8.GetBytes(sKey))
        provider.Clear()
        Dim provider2 As New TripleDESCryptoServiceProvider With { _
            .Key = buffer, _
            .Mode = tMode, _
            .Padding = tPadding _
        }
        Dim buffer2 As Byte() = provider2.CreateDecryptor.TransformFinalBlock(bytData, 0, bytData.Length)
        provider2.Clear()
        Return buffer2
    End Function
End Class

ال string مزعج شوية في تجميعه

اهه معدول

[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]

​

 

[black007]

هههههههههههههههههههههههه

شوفت الخدع بنت الأيه
لقد وقعنا في الفخ

البرنامج طلع معيلهوش ولا حماية

دا الواد حاطط الـ identifiers بتاعة كل الحمايات دي للتمويه بس
أنما لما تفتح الكلاس تلاقيه فاضي
مشاهدة المرفق 143421
بس صراحة غلبني الملف دا
أضنبه بالميجا ضنبر يدي الملف نفسه
أعمله مشروع بالفيجوال يديني overflow
أجي أعدل عليه بالـ Dnspy يعمل exception
أعدل عليه بالـ Reflexil مش يرضى ويدي خطأ
مشاهدة المرفق 143423
مشاهدة المرفق 143422

آخر ما زهقت رحت جاي فاتحه في الـ dnSpy شوفت لقيت الموديول dora.dll
مشاهدة المرفق 143424
رحت جاي عامله Dump region وهوبا وصل الملف

وبلاها اللف والدوران والدوشة دي

مشاهدة المرفق 143425

وراك وراك لما جبتك
مشاهدة المرفق 143426

Imports System.Security.Cryptography
Imports System.Text

Public Class Form1
    Private Sub Form1_Load(sender As System.Object, e As System.EventArgs) Handles MyBase.Load
        Dim s As String = IO.File.ReadAllText("D:\2.txt")
        Dim rawAssembly As Byte() = Me.md5Decrypt(Convert.FromBase64String(s), "md5", CipherMode.ECB, PaddingMode.PKCS7)
        IO.File.WriteAllBytes("D:\server.exe", rawAssembly)
    End Sub
    Public Function md5Decrypt(ByVal bytData As Byte(), ByVal sKey As String, Optional ByVal tMode As CipherMode = 2, Optional ByVal tPadding As PaddingMode = 2) As Byte()
        Dim provider As New MD5CryptoServiceProvider
        Dim buffer As Byte() = provider.ComputeHash(Encoding.UTF8.GetBytes(sKey))
        provider.Clear()
        Dim provider2 As New TripleDESCryptoServiceProvider With { _
            .Key = buffer, _
            .Mode = tMode, _
            .Padding = tPadding _
        }
        Dim buffer2 As Byte() = provider2.CreateDecryptor.TransformFinalBlock(bytData, 0, bytData.Length)
        provider2.Clear()
        Return buffer2
    End Function
End Class

ال string مزعج شوية في تجميعه

اهه معدول

[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]

​

ههههههه

اضحكنى جدا هذا الملف فمن سيطلع عليه لاول سينخدع بسهوله

وقد صادفنى ملف مشابه سابقا

حمايه dora protected مبداها انها تقوم بوضع كلاسات مختلفه لاغلب برامج الحمايه net. المشهوره

وعندما تحاول فحص نوع الحمايه على الملف مش هتصدق الى انت شايفه

عموما كما ذكر ميدو فى المشاكتين السابقتين يمكن عمل fulldump عن طريق اداه NETUnpack. وستحصل على الملف خام

احسنت ميدو فى الووصل للبيانات

وشكرا لصديقى العزيز سليم على التلغيمه الرائعه للتدرب

اتمنى اضافه المزيد للتدرب

بالتوفيق

 

[النوميديالنوميدي is verified member.]

يغلق الموضوع لتمام الغرض

الى حلقة قادمة ...