للفحص سلوك خبيث ملف تنفيذى مشبوه 🙆‍♂️

[القناص الرائع]

السلام عليكم ورحمة الله وبركاته

أرجو من خبرائنا فى زيزووم فحص الملف وافادتنا بالنتيجة

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

ملاحظات: عن طبيعة نشاط الملف بعد التحليل فى موقع hybrid-analysis.com

..​

 

[باسل القرشباسل القرش is verified member.]

الملف ضار

وتم تجربته على هبيس الكمودو له عمليات مخفيه وكثيره وتعديل عل ملفات الرستجرى
وبيه الخاصائص التاليه
مكافحة الكشف/التخفي
قراءة مفاتيح التسجيل المتعلقة بمحرك مكافحة الفيروسات
مكافحة الهندسة العكسية
استخدام مهلة زمنية مفرطة (غالبًا ما تُستخدم لتجاوز التحليل)
أمان النظام
تعديل إعدادات شهادات النظام
تعديل قوائم التحكم في الوصول للملفات
محاولة حذف مفاتيح التسجيل باستخدام reg.exe
خصائص غير عادية
إنشاء العديد من العمليات
بعض العمليات له

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

 

[القناص الرائع]

الملف ضار

وتم تجربته على هبيس الكمودو له عمليات مخفيه وكثيره وتعديل عل ملفات الرستجرى
وبيه الخاصائص التاليه
مكافحة الكشف/التخفي
قراءة مفاتيح التسجيل المتعلقة بمحرك مكافحة الفيروسات
مكافحة الهندسة العكسية
استخدام مهلة زمنية مفرطة (غالبًا ما تُستخدم لتجاوز التحليل)
أمان النظام
تعديل إعدادات شهادات النظام
تعديل قوائم التحكم في الوصول للملفات
محاولة حذف مفاتيح التسجيل باستخدام reg.exe
خصائص غير عادية
إنشاء العديد من العمليات
بعض العمليات له

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

تسلم ايدك يامدير الخبراء

تمت الافادة

هبعتلك خاص كده حاجه ف السريع
.

 

[KamalKMKamalKM is verified member.]

الملف ضار

وتم تجربته على هبيس الكمودو له عمليات مخفيه وكثيره وتعديل عل ملفات الرستجرى
وبيه الخاصائص التاليه
مكافحة الكشف/التخفي
قراءة مفاتيح التسجيل المتعلقة بمحرك مكافحة الفيروسات
مكافحة الهندسة العكسية
استخدام مهلة زمنية مفرطة (غالبًا ما تُستخدم لتجاوز التحليل)
أمان النظام
تعديل إعدادات شهادات النظام
تعديل قوائم التحكم في الوصول للملفات
محاولة حذف مفاتيح التسجيل باستخدام reg.exe
خصائص غير عادية
إنشاء العديد من العمليات
بعض العمليات له

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

اخي باسل بعطيك العافية على التقرير الشامل.

ياريت تبعتلي نسخة الكومدو الي عندك

مع تفعيلها.لانه حاولت استخدمه من قبل

ما رضيش ينزل على الوندوز عندي وما

عرفتش شو السبب.

 

[باسل القرشباسل القرش is verified member.]

اخي باسل بعطيك العافية على التقرير الشامل.

ياريت تبعتلي نسخة الكومدو الي عندك

مع تفعيلها.لانه حاولت استخدمه من قبل

ما رضيش ينزل على الوندوز عندي وما

عرفتش شو السبب.

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

رابط النسخه ويوجد نسخه مجانيه منه ولاتحتاج تفعيل

 

[KamalKMKamalKM is verified member.]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

رابط النسخه ويوجد نسخه مجانيه منه ولاتحتاج تفعيل

مشكور اخي باسل راح ابقى انزلها

واجربها ان شاء الله.مشكور.

 

[shhab111]

أشكرك على هذا التنبيه المهم وجاري الازالة​

 

[abdelmohcen]

يا اخي حملته و لاحظت ان النظام اصبح غريب و بطيء قمت بفرمطت الجهاز على الفور هل هدا كافي ؟

 

[القناص الرائع]

أشكرك على هذا التنبيه المهم وجاري الازالة​

يا اخي حملته و لاحظت ان النظام اصبح غريب و بطيء قمت بفرمطت الجهاز على الفور هل هدا كافي ؟

الاخوة الغاليين حذف البرنامج فقط قد يكون غير كافِ
قد يكون تم حقن سكربتات او اجراء تعديلات امنية خطيرة فى النظام
الافضل فى هذه الحالة تعمل فورمات وتثبت نسخة ويندوز جديدة
واختار Custom وليس Upgrade عند بداية التثبيت
وهذا الاجراء كاف جدا
وانا قمت بعمل ذلك وفحصت Full Scan بعدها بالكاسبر بريميوم والأمور تمام
الله يسترها معانا جميعًا
.

 

[Ramy BadraanRamy Badraan is verified member.]

هو المفروض يكون فى ملف مرفق معاه
اسمه setup_kes.exe

لان الواضح انه بيستدعيه بالكود دة علشان ينصبه بالشكل الصامت
start "" setup_kes.exe /pSelfProtection=0 /pKSN=1 /pEULA=1 ...

وغالبا دة لتنصيب كاسبر ايند بوينت


المشكلة هنا

if '%errorlevel%' NEQ '0' (
echo Requesting administrative privileges...
goto UACPrompt
)


والدالة دة معناها انه بيطلب صلاحيات الادمن بس بشكل مخفى بدون ما النظام يسألك بس هنفترض سلامة النية

فانا مش هقدر اقول سليم او لا غير لما اشوف الملف التنفيذى اللى هو setup_kes.exe لان دة الاساس

بس عموما طريقة برمجة ملف ال bat ملتوية شوية ومش صريحة ودة اللى مشككنى
وهو اه بيحاول يعدل شهادات الويندوز وملفات الريجسترى ودة سلوك مشبوه جدا
بس ممكن يكون مجرد بيهيأ النظام انه ميعترضش تثبيت وتفعيل البرنامج

 

[القناص الرائع]

هو المفروض يكون فى ملف مرفق معاه
اسمه setup_kes.exe

لان الواضح انه بيستدعيه بالكود دة علشان ينصبه بالشكل الصامت
start "" setup_kes.exe /pSelfProtection=0 /pKSN=1 /pEULA=1 ...

وغالبا دة لتنصيب كاسبر ايند بوينت


المشكلة هنا

if '%errorlevel%' NEQ '0' (
echo Requesting administrative privileges...
goto UACPrompt
)


والدالة دة معناها انه بيطلب صلاحيات الادمن بس بشكل مخفى بدون ما النظام يسألك بس هنفترض سلامة النية

فانا مش هقدر اقول سليم او لا غير لما اشوف الملف التنفيذى اللى هو setup_kes.exe لان دة الاساس

بس عموما طريقة برمجة ملف ال bat ملتوية شوية ومش صريحة ودة اللى مشككنى
وهو اه بيحاول يعدل شهادات الويندوز وملفات الريجسترى ودة سلوك مشبوه جدا
بس ممكن يكون مجرد بيهيأ النظام انه ميعترضش تثبيت وتفعيل البرنامج

تسلم يا خبير الهندسة العكسية

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

وتفحصه وتحلل سلوكه على كيفك

واهى خبرة ليك برضه فى ال CV بتاعك
لما تيجى تقدم فى شركة البرمجيات بتاعتى

اشوف السى فى اوافق على تعيينك علطول
ولا تعديش بقى على HR والكلام ده
الواسطة بتنفع برضو مفيش كلام
.

 

[Lord_Master]

تسلم يا خبير الهندسة العكسية

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

وتفحصه وتحلل سلوكه على كيفك

واهى خبرة ليك برضه فى ال CV بتاعك
لما تيجى تقدم فى شركة البرمجيات بتاعتى

اشوف السى فى اوافق على تعيينك علطول
ولا تعديش بقى على HR والكلام ده
الواسطة بتنفع برضو مفيش كلام
.

اسكت يعم انت بتكلم واحد بيفطر سمك مقلي علي الصبح يعني رامي مش باقي علي الدنيا ياقناص

 

[القناص الرائع]

اسكت يعم انت بتكلم واحد بيفطر سمك مقلي علي الصبح يعني رامي مش باقي علي الدنيا ياقناص

بُلطى ولا سردين

اوعى تقولى سنجاري

لو كده يبقى اجيب طبق السلطة واجى

خش هتجيبك يا وحش ريحة السمك قالبة زيزووم
.

 

[tiktoshitiktoshi is verified member.]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

 

[القناص الرائع]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

تسلم ايدك يا تكتوشى يا خويا

وحيث انك بتتعامل معانا معاملة الدكاترة فى معمل التحاليل

واحنا على الله حكايتنا

فقولت ننزل بالترجمة

لمزيد من الفائدة

....

 

[باسل القرشباسل القرش is verified member.]

تسلم ايدك يا تكتوشى يا خويا

وحيث انك بتتعامل معانا معاملة الدكاترة فى معمل التحاليل

واحنا على الله حكايتنا

فقولت ننزل بالترجمة

لمزيد من الفائدة

مشاهدة المرفق 271167

مشاهدة المرفق 271168
....

راجع اللى انت كاتبه وراجع الكمودو الكموده ده موقع بحاله وعلشان كده بعشقه

 

[القناص الرائع]

راجع اللى انت كاتبه وراجع الكمودو الكموده ده موقع بحاله وعلشان كده بعشقه

عشان كده بنحب انت اللى تحلل سلوك العينة يا خبير الكمودو
..

 

[Abu.amr]

طيب لو اسطوانة طوارى نفحصها ازاى وهل ممكن تحقن ملفات اثناء البوت وتخفيها من الكشف ؟

 

[القناص الرائع]

طيب لو اسطوانة طوارى نفحصها ازاى وهل ممكن تحقن ملفات اثناء البوت وتخفيها من الكشف ؟

ممكن تحقن اه عادى

فى حالات زى كده

بنحمل الاسطوانة من مصدر موثوق يفضل من موقع الشركة

وبنقارن هاش الاسطوانة بالهاش الرسمى من الشركة

وبطل شقاوة بقى عشان خايف المرة الجاية يسرقوا منك أكاونت زيزووم نفسه
..

 

[Mohamed Ajlan]

شكرا جزيلا
لى فترة بعانى بعد تسطيبة فجأة التصفح لا يعمل والريموت ديسكتوب يتوقف يوميا ولا يحل الا بريستارت للويندوز الى حين رأيت الرسالة على الخاص وقمت بتسطيب ويندوز جديد
جزاكم الله كل خير