تشفيرة عينه بتاريخ 6/9/2017

المصدر: عينه بتاريخ 6/9/2017
في منتدى : منتدى نقاشات واختبارات برامج الحماية

بسم الله الرحمن الرحيم

السلام عليكم ورحمه الله وبركاته

بعيد عن الدورس النظريه التى احياننا يتم قراتها ومن ثم يتم تجاهلها

فضلت وضع عينه حقيقيه للتحليل وذلك لان التمارين العمليه اهم بكثير من الدروس النظريه

لذلك وجب الحذر اثناء تحليل العينه

ملاحظه مهمه هذه العينه خطيره جدا ويجب الانتباه اثناء التحليل

نصائح اتبعها

استخدم هذه البرامج اذا اردت تحليل العينه بالطريقه الديناميكيه

برامج البيئة الوهمية " الانظمة الوهمية "
VirtualBox او VMware

برامج تجميد النظام
Deep Freeze او Shadow Defender

برامج معرفة نوع الضغط
Detect It Easy او Exeinfo PE او PEiD او RDG Packer Detctor

برامج مراقبة الإتصالات
NetSinfferCs او apate DNS او Cport

برامج مراقب العمليات و مسارات النزول
Process xp او Process Hacker
Spy The Spy

لتحميل العينه

هذا المحتوى يظهر للاعضاء المسجلين فقط:

هذا المحتوى يظهر للاعضاء المسجلين فقط:

ملحوظه مهمه : العينه للتدرب على الفحص واستخراج البيانات فقط

بالتوفيق للجميع

 

السلام عليكم و رحمة الله
أسعدت مساءا أخي مصطفى .. و ان شاء الله أنك بخير و في أتم الصحة و العافية ..
يا طيب ... هل العينة تعمل على النواتين أم 32 بت فقط ؟

 

وعليكم السلام واهلا بصديقى العزيز سليم

العينه عند تشغيلها تقوم باستدعاء ملف dw20.exe الخاص بمكتبه Microsoft.NET\Framework\v2.0.50727\ لكى تقوم بحقن نفسها فيه

ولكنها تفشل فى الحقن ويظهر رساله خطاء

لذلك تشغيل العينه فى الحالات العاديه ربما لان يفيد كثيرا

الا اذا اردت ان تقوم بعمل fulldump واستخراج الملفات الخام

العينه تعمل مع النواتين 64x / 86x

بالتوفيق

 

السلام عليكم

استخرجت البيانات بالتشغيل فقط بعد فك الضغط على الملف لا أريد الاكتفاء بهذا يبدو أن النصوص مشفرة سأحاول فك التشفير بOllyDbg
رغم أن هذا الأخير لا ينقح برامج دوت نت لكن سأحاول بعد صلاة المغرب ان شاء الله

​

 

بانتظار التحليل اليدوى

خصوصا فعلا ان جميع البيانات الاسترنج داخل الملف فعلا كلها مشفره

وتحتاج الى دوال للفك ستجدها كلها داخل الملف

بالتوفيق

 

السلام عليكم

بعد فك الضغط على الملف


ينتج عنه ملفين تنفيذيين واحد exe و الثاني dll أيضا مضغوطة بSmartAssembly 6.9.0.114
عند فك الضغط على المكتبة تجد جميع النصوص مشفرة وهنا المشكلة.
عند محاولة فك التشفير عن النصوص تختفي أداة فك التشفير
يعني anti debug
ليست لدي خبرة في عمل anti anti debug لبرامج الدوت نت أو تجاوزها



ان بقي الموضوع مفتوح سأحاول مرة أخرى فك تشفير النصوص ان استطعت
​

 

فى string فى الريسورس بصيت عليها ؟؟

بما انك مش عايز تشتغل بال dump بص على الاسترنج الى فى الريسورس

+

فيها ملفات ايضا فيه

الاستدعائات فى الغالب عن طريق الشروط لانه لمه بصت على الملف مركزتش اوى فيه من ناحيه قرائه الشروط

الملف متشفر بطريقه رخمه فعلا وليس كالطرق التقليديه + عليه حمايه Smart Assembly(6.8.0.121) الى لو فعلت اغلب خواصه بيشفر الملف ومينفعش تفكها

حتى لو استخدمت d4dot

الملف الهدف هو تحت اسم Microsoft كما اوضح الغالى vallecano

مرحله جيده ما وصلت لها اخى الغالى حتى الان

يتبقى لك فقط فك الاسترنج المشفر بعكس القيم عن طريقه كتابه برنامج بسيط بالفيجول

لفك الاسترنج المشفر ستحتاج الى داله الفك وتجدها داخل الملفات المستخرجه

لا تقلق لن اقوم بغلق الموضوع حتى اقوم بوضع فديو لفك التشفير الملف بالكامل + استخراج البيانات

بانتظار المحاوله وخذ وقتك

تحياتى وتقديرى

 

لكن أخي مصطفي لا يمكن عمل Dump الملف لا يبقى ثانيتين و يختفي و ال d4dot لم تنفع لفك الشيفرة
المهم ...مثابر ...

 

ما أتيت على شيء الا جعلته مشفرا
باسثتناء البورت هو الظاهر أمامي 26
بخصوص البرمجة فقد أردت تحميل الفيجوال استديو أول أمس لمحاولة البرمجة لكن البرنامج حجمه كبير جدا و جهازي أظنه لا يحتمل ذلك لهذا سأحاول فك التشفير عكسيا​

 

تجاهل الخطا الذى يعطيه لك ان الملف معطوب ويمكن استخراج محتوياته

قم بتشغيل اداه MegaDumper وبعدها قم بتشغيل الملف واستخرج جميع محتوياته ستجد جميع الملفات ظهرت امامك كما اوضح الاخ vallecano

الملف الهدف هو Microsoft.exe

همممممم

طيب هرجع ابص فى الملف تانى بس متاكد ان الريسورس فى ملفات ممكن نستخدمها

يمكنك تحميل النسخه الاخف على الاطلاق من الفيجول استديو visual studio 2012 express

تفضل الرابط

http://download.microsoft.com/downl...F9-8820-0A7972DF5683/VS2012_RC_WinExp_ENU.iso

بالتوفيق

 

هذا ما توصلت اليه لحد الأن



كل شيء مشفر




هل هو لتدمير أني فيروس الضحية؟



جلب الابي الخارجي




الأبي المحلي


هنا RunPE

يتم تشغيل الملف vbc.exe الذي يوجد في هذا المسار

C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727

الملاحظ من خلال مراقبة العمليات الشغالة أن الملف عندما يظهر في العمليات الشغالة يتصل بالأبي و البورت
عندما يختفي. يختفي الأبي المخترق أيضا

شكرا على الرابط أنت و الأخ ميدو

لدي xp على النظام الوهمي جربت تقريبا جميع نسخ dnspy ولا نسخة اشتغلت
هل تعرف نسخة تشتغل عليها
علما أن لدي الاصدار Framework 4.5





​

 

احسنت للوصول الى هذا الحد

بخصوص نسخه برنامج dnspy فتحتاج الى Framework 4.6

انتظر الشرح الفديو لكشف كافه البيانات

 

شرح الفك

هذا المحتوى يظهر للاعضاء المسجلين فقط:

هذا المحتوى يظهر للاعضاء المسجلين فقط:

بالتوفيق للجميع

 

تمام أخي مصطفى ...كذى الشغل احترافي ..
تسلم الأيدي أخي الطيب ... موضوع مثل هذا أسبوعيا ...يعطي اضافة كبيرة للمنتدى
و ان شاء الله الجميع يضع فيديو للحل في أخر مواضيعهم ..
للاستفادة من الخبرات و أظنها موجودة ... ربما ينقصها بعض الحماس..
و مثل هذه المواضيع يمكن أن تحمس الجميع
تحياتي أخي الطيب