عـيـنة عينات يستحق النظر لها (8)

[black007]

بسم الله

السلام عليكم ورحمه الله وبركاته

فى سبيل زياده الوعى الامنى وتحفيز قدرات التحليل لدى الاعضاء

تقرر نشر عينات يستحق النظر اليها من قبلى للتحليل و ليس الفحص

لزياده المناقشه بين الاعضاء ووضع البرامج تحت الاختبارات القاسيه

العينات التى ستطرح ليست من برمجتى لذلك يرجى توخى كافه الاحتياطات اللزمه عند التحليل

المطلوب هو المشاركه بفاعليه فى هذه النوع من التحليلات ( لا يشترط التجربه على اليدوى او الحقيقى )

الغرض هنا زياده قدرات التحليل والاعتماد على النفس فى تحليل العينات المطروحه

هل هى خبيثه ام حميه

ايضا كل من سيشارك يقوم بشرح تحليله الخاص للملف من خلال برنامجه

ويعطى رائيه بخصوص سلوكيات الملف

لتحميل العينه

[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]

باس فك الضغط

infected

بالتوفيق للجميع

 

[kimo7]

مشكور اخى مصطفى على الطرح المميز
تم التجربة على البولجارد فحص وتشغيل
[hide]

[/hide]
التشغيل النوفا شيلد قتله بالتنبيه حيث يقوم بالعديل على الريجيستري .
[hide]

[/hide]

 

[black007]

مشكور اخى مصطفى على الطرح المميز
تم التجربة على البولجالرد فحص وتشغيل
[hide]

[/hide]
التشغيل النوفا شيلد قتله بالتنبيه حيث يقوم بالعديل على الريجيستري .
[hide]

[/hide]

ممتاز جدا

لكن لم ترصد البيانات

حاول باحدى البرامج المساعده

 

[kimo7]

ممتاز جدا

لكن لم ترصد البيانات

حاول باحدى البرامج المساعده

مجرد محاولة بسيطة

[hide]

[/hide]

 

[black007]

مجرد محاولة بسيطة

[hide]

[/hide]

الملف مشفر و محمى جيدا

جرب الاسهل فالاسهل بالنسيه لك

Dump مع تجميد قبل التشغيل

بالتوفيق

 

[SkY MaRvEL]

[hide]

بتجربة الدمب فشل في التشغيل
كسر الحماية والبحث عن البيانات
الملف مشفر من الداخل
بالتتبع في الصورة الثانية لم يظهر شيء [/hide]

 

[ALI 145]

وعليكم السلام ورحمة الله وبركاته

بارك الله فيك أخي مصطفى

وجدت ملف بإسم cmd.exe وله مدخلة في بدء التشغيل في الرجيستري وجاري التحليل

أضن ملف update.exe وهمي وملف cmd.exe هو المسؤول عن الإتصال ما رأيك أخي مصطفى ننتظر ردك

حاولت إستخراج البيانات الملف محمي جيدا

​

 

[MagicianMiDo32]

ممكن تجد الملف المحمي في unknow name او raw dump

كان عندي ملف بوتن رهيييب بصراحة وواضح انه بوت نت مدفوع ومشفر بقوة
السورس يتوه بصراحة وواضح ان المشفر فاهم مش حافظ
ما رأيك ان ارسله لك اخي بلاك
ان شاء الله سأحلل غدا لما ازوغ من المدرسة

 

[SkY MaRvEL]

وعليكم السلام ورحمة الله وبركاته

بارك الله فيك أخي مصطفى

وجدت ملف بإسم cmd.exe وله مدخلة في بدء التشغيل في الرجيستري وجاري التحليل

أضن ملف update.exe وهمي وملف cmd.exe هو المسؤول عن الإتصال ما رأيك أخي مصطفى ننتظر ردك

حاولت إستخراج البيانات الملف محمي جيدا

مشاهدة المرفق 98751


مشاهدة المرفق 98752

​

بالفعل الملف وهمي والشغل كله في ملف cmd

 

[black007]

وعليكم السلام ورحمة الله وبركاته

بارك الله فيك أخي مصطفى

وجدت ملف بإسم cmd.exe وله مدخلة في بدء التشغيل في الرجيستري وجاري التحليل

أضن ملف update.exe وهمي وملف cmd.exe هو المسؤول عن الإتصال ما رأيك أخي مصطفى ننتظر ردك

حاولت إستخراج البيانات الملف محمي جيدا

مشاهدة المرفق 98751


مشاهدة المرفق 98752

​

بالفعل الملف يقوم بزراعه نفسه فى المسار الذى حددته اخى على

بعدما استخرجت البيانات تتبعت الاى بى المتصل مع المللف ووجدته ايطالى

اشك ان هناك امر ما فى هذا الملف اعتقد ان صاحبه يستخدم vpn او ما شابه

والشغل كل الملف المدعى cmd ومشفر جيدا ايضا

ممكن تجد الملف المحمي في unknow name او raw dump

كان عندي ملف بوتن رهيييب بصراحة وواضح انه بوت نت مدفوع ومشفر بقوة
السورس يتوه بصراحة وواضح ان المشفر فاهم مش حافظ
ما رأيك ان ارسله لك اخي بلاك
ان شاء الله سأحلل غدا لما ازوغ من المدرسة

حتى اذا استخدم ال dump لن يطلع بنتيجه جيده الملف صعب فى التحليل نوع ما

لان سينتج عندك اكثر من ملف

ملحوظه الملف ليس باتش اختراق عادى

وعلى اقصى تقدير اشك انه كيلوجر واستيلر معا

بالنسبه الملف الذى لديك ياميدو ( البوت نت ) ابعتهولى على الخاص

لنرى ما به

بالفعل الملف وهمي والشغل كله في ملف cmd

كما ذكرت اخى حسين الملف صعب قليلا فى التعامل معه

لذلك لن ينفع معه dump لان الملفات المستخرجه لن تعرف ايها الصحيح

الملف ليس رات عادى

انما استيلر وكيلوجر مبرمج ومشفر باحترافيه

 

[SkY MaRvEL]

والله يا أخي بقيت ساعات ابحث عن طرف خيط لم اجد واعود لنقطة البداية كما في الصورة الثانية

 

[black007]

البيانات

[hide]

الهوست : sploithost.ddns.net

الاى بى : 95.250.26.212

البورت : 1316


[/hide]

 

[MagicianMiDo32]

المشكلة أن الواد حاطط البايت في الريسورس آجر استدعيه يقعد يعملي بريك , دورت على الخطأ في النت لقيته هيوجع دماغي قلت خليه لبكرة علشان مش فاضي

هو شكله بيستدعي الريسورس بالأسم وهو مشفر الأسم ممكن أجرب أستدعيه أنا بطريقة تانية بس بعد ما أفهم ال property دي بترجع نوعها ايه وازاي


[hide]

[/hide]

 

[black007]

المشكلة أن الواد حاطط البايت في الريسورس آجر استدعيه يقعد يعملي بريك , دورت على الخطأ في النت لقيته هيوجع دماغي قلت خليه لبكرة علشان مش فاضي
مشاهدة المرفق 98804

هو شكله بيستدعي الريسورس بالأسم وهو مشفر الأسم ممكن أجرب أستدعيه أنا بطريقة تانية بس بعد ما أفهم ال property دي بترجع نوعها ايه وازاي


[hide]
مشاهدة المرفق 98803

[/hide]

يعنى وصلت للفانكشن ووقفت على الفك

بس ايه رائيك فى الملف ده متشفر بطريقه غريبه مش كده

 

[MagicianMiDo32]

يعنى وصلت للفانكشن ووقفت على الفك

بس ايه رائيك فى الملف ده متشفر بطريقه غريبه مش كده

الراجل الي عامله دا اكيد فاضي
بيقولي نودلز وrice
شكله صيني