فيروس Ransom لإغلاق الشاشة بتقنية ذكية (لكسر الروتين)

[MagicianMiDo32]

الملف صار له فترة للأسف
وتم رفعه للفيروس توتال

لهذا اكتشافه أصبح الآن أسهل بكثير


غريبة !


أنت قمت بضغط Reset بشكل إجباري للويندوز

قم -فضلًا وليس أمرًا- بإعادة تشغيله بطريقة صحيحة !


شكرًا لمرورك الطيب

عقبال اتعلم c++، صدقني لأسوي لك فيروسات للينوكس

بالفعل اخي عندك حق أعتذر تأخر قليلا ثم عمل

بعد ان أعرف كيفية الحقن في الستارت أب سأحاول معرفة السبب
أكرر أعتذاري ثانيا

 

[MagicianMiDo32]

هيه
كشفت الخدعة
وااااااااااو
لم تخطر على بالي
حتى انني حذفتها من تقارير المكافي
سـ أضع الحل غدا بأذن الله

 

[the gost rider]

من السهل كشف السورس و دالك ب
exe2aut

 

[MagicianMiDo32]

من السهل كشف السورس و دالك ب
exe2aut

نعم كشف السورس سهل
لكن نحن في منتدى حماية ديناميكي وليس برمجي
نريد معرفة كيف يتم تنفيذه وليس ماهو

 

[أحمد البدارنة]

نعم كشف السورس سهل
لكن نحن في منتدى حماية ديناميكي وليس برمجي
نريد معرفة كيف يتم تنفيذه وليس ماهو

لان يونس لم يشفرة

 

[MagicianMiDo32]

لان يونس لم يشفرة

أعرف أخي ولو شفره هناك أدوات لكشف التشفير
نريد ان نعرف كيف يضع نفسه في الستارت أب دون أن تكشفه برامج الحماية
تقريبا السبب هو الحقن في بيانات البيرفيكت او في الانديكس

 

[tarkanbounce]

الافاست يتألق مش مصدف نفسي

 

[MagicianMiDo32]

الافاست يتألق مش مصدف نفسي

م هو اترفع على الفيرس توتال
الأكتشاف بالساندبوكس أم المحرك ؟؟؟

 

[m0d!s@r7@n]

أعرف أخي ولو شفره هناك أدوات لكشف التشفير
نريد ان نعرف كيف يضع نفسه في الستارت أب دون أن تكشفه برامج الحماية

من خلال قيمه تضاف للرجستري في مسار run مثل البرامج اللي تعمل مع بدء التشغيل

 

[nizarawi]

قمت بتجربة البرنامج على النظام الاساسي بوجود الارمور

يتم انشاء ملف باسم mscorsvw تم يضيف قيمة رجستري في بدء التشغيل

عندما تكتب اوك يقوم بحدف القيمة من بدء التشغيل

ما يجب التساؤل عنه هو سلوك اخفاء النوافد غير مكتشف نهائيا

 

[MagicianMiDo32]

من خلال قيمه تضاف للرجستري في مسار run مثل البرامج اللي تعمل مع بدء التشغيل

لا ليس كذلك
لوفعل ذلك لكشفته كل برامج الحماية
هذا سلوك من عصر الديناصورات هههه, D:

---
هناك علاقة بين عمل reset للوهمي وتوقف الفيروس
حيث يشابه عمل reset حدوث انقطاع في الكهرباء وعودتها
وهناك أشياء تحصل عند أنقطاع الكهرباء أحدها متعلق بالفيروس !

 

[m0d!s@r7@n]

لا ليس كذلك
لوفعل ذلك لكشفته كل برامج الحماية
هذا سلوك من عصر الديناصورات هههه, D:

---
هناك علاقة بين عمل reset للوهمي وتوقف الفيروس
حيث يشابه عمل reset حدوث انقطاع في الكهرباء وعودتها
وهناك أشياء تحصل عند أنقطاع الكهرباء أحدها متعلق بالفيروس !

دا مش تخمين يا بطل
دا اللي موجود بالسورس كود للملف
واضافه قيمه بدء تشغيل للرجستري امر طبيعي موجود في كثير من البرامج التي تعمل مع بدء التشغيل واي طريقه اخري غير ذلك تكون مشبوهه

 

[MagicianMiDo32]

دا مش تخمين يا بطل
دا اللي موجود بالسورس كود للملف
واضافه قيمه بدء تشغيل للرجستري امر طبيعي موجود في كثير من البرامج التي تعمل مع بدء التشغيل واي طريقه اخري غير ذلك تكون مشبوهه

ما أنا عارف لكن مش بيضيفها بالطريقة المباشرة الي أحنا عارفينها
الريجستري المقصود هو

• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

أكيد برنامج الحماية لازم يقفشه !
لكن لأ !!!
وبعدين لسة اللغز الثالث
ليه بيتعطل لما تعمل reset؟

عموما أنا لسة بجرب و ح اضيف مراقبة على المفاتيح دي وأشوف

 

[tarkanbounce]

م هو اترفع على الفيرس توتال
الأكتشاف بالساندبوكس أم المحرك ؟؟؟

محرك لان مش بستخدم غير المجانى

 

[MagicianMiDo32]

و اخيرا
مشاهدة المرفق 55888 مشاهدة المرفق 55889 مشاهدة المرفق 55890

بعد التجربة على الكمودو X32 و X64 اتضح ان المشكلة في الاصدار X64 لان اول تجربة لي كانت على الاصدار X64

وكانت النتيجة هكذا

in windows 7 x32 bypass in sandbox partially only
in windows 7 x64 bypass in sandbox (partially,limited,Restricted and Untrusted

قمت بتجربة البرنامج على النظام الاساسي بوجود الارمور

يتم انشاء ملف باسم mscorsvw تم يضيف قيمة رجستري في بدء التشغيل

عندما تكتب اوك يقوم بحدف القيمة من بدء التشغيل

ما يجب التساؤل عنه هو سلوك اخفاء النوافد غير مكتشف نهائيا

 

[أحمد البدارنة]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

 

[pro george]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

رابط لمنتدي اخر

اية يا حج

امسح الرابط وحط صورة

 

[أحمد البدارنة]

رابط لمنتدي اخر

اية يا حج

امسح الرابط وحط صورة

هههه , منتديات الدعم مسموحه ومن المدير العام ابوفاطمة

 

[pro george]

هههه , منتديات الدعم مسموحه ومن المدير العام ابوفاطمة

طب بيقولي سجل الدخول

 

[أحمد البدارنة]

طب بيقولي سجل الدخول

ربما يظهر فقط للاعضاء