مثبت ( شرح ) الرانسيوم وير Ransomware وكيفيه التخلص منه

[aelshemy]

بارك الله فيك وجزاك الخير كلة شرح رائع وموضوع غاية فى الأهمية شكرا لك

 

[Zuck]

بارك الله فيك اخي الكريم و كما ذكرت اخي برامج دعائية التي تدخل مع برنامج التي تريد تبيثه يكفي فقط ان يثبث المستخدم برنامج Unchecky فهو كفيل بتصدي ضد هذه المشاكل

في انتظار جديد مواضيع يا غالي حفظك الله و رعاك !

تحياتي

 

[المحترف العربي]

السلام عليكم اخي وفيت وكفيت موضوع رائع وشرح واضح
عمل منظم واحترافي الله يجزيك كل خير تحياتي...

 

[ابوراكان2014]

جزاك الله كل خير اخي الكريم مصطفى

موضوع مهم لكثرة اصابات الاجهزة بـ Ransomware بالفتره الاخيره

لدي استفسار

الاول وجدت شخص اصيب بها فاصبحت جميع الصور والمستندات مشفره ويقول انه لم يحمل برامج او قام بتنصيب برامج
فهل الاصابه يمكن ان تحدث من رابط بدون تحميل برنامج او من خلال التصفح يتم زرعها بالجهاز

الثاني هل برنامج Malwarebytes Anti-Ransomware يقوم بالحماية فقط ام بالحمايه وازالة الاصابه

دمت بكل خير
تقبل احترامي

 

[black007]

جزاك الله كل خير اخي الكريم مصطفى

موضوع مهم لكثرة اصابات الاجهزة بـ Ransomware بالفتره الاخيره

لدي استفسار

الاول وجدت شخص اصيب بها فاصبحت جميع الصور والمستندات مشفره ويقول انه لم يحمل برامج او قام بتنصيب برامج
فهل الاصابه يمكن ان تحدث من رابط بدون تحميل برنامج او من خلال التصفح يتم زرعها بالجهاز

الثاني هل برنامج Malwarebytes Anti-Ransomware يقوم بالحماية فقط ام بالحمايه وازالة الاصابه

دمت بكل خير
تقبل احترامي

اهلا بيك اخى الغالى

بالنسبه للاستفسار الاول يمكن ان تحدث الاصابه من الانتقال من الفلاش حيث ان اغلبنا لا ينتبه ابدا لما تحوى الفلاشات وربما لا يستخدم برنامج حمايه

بالنسبه لخصوص تنقلها من رابط نعم يمكن ولكن الفيصل هنا هو حمايه الويب وقوتها

شركه جوجل اضافه خاصيه الحمايه فى المتصفح الخاص بها حيث انها تقوم بتحذيرك اذا كان هناك اى محتوى سى فى الصفحه

بالنسبه لسوالك عن البرنامج فالبرنامج لايقوم بفك التشفير ومثله مثل اى برنامج حمايه اخر هدفه الحمايه قبل الاصابه وليس بعد الاصابه

حيث ان علاج ما بعد الاصابه صعب جدا علاجه من خلال الطرق التى ذكرتها سابقا

خوصوصا ان هناك بعض انواع الاصابه التى تحتاج الى تدخل برمجى

لان برامج الحمايه بشكل عام برامج صماء ( وتعمل وفق تقنيه وكود محدد لذلك ) يمكن تخطيها بسهوله بالتلاعب فى اكواد الملف الخبيث وبالتالى يتم تخطى برامج الحمايه

بالتوفيق

 

[ابوراكان2014]

اهلا بيك اخى الغالى

بالنسبه للاستفسار الاول يمكن ان تحدث الاصابه من الانتقال من الفلاش حيث ان اغلبنا لا ينتبه ابدا لما تحوى الفلاشات وربما لا يستخدم برنامج حمايه

بالنسبه لخصوص تنقلها من رابط نعم يمكن ولكن الفيصل هنا هو حمايه الويب وقوتها

شركه جوجل اضافه خاصيه الحمايه فى المتصفح الخاص بها حيث انها تقوم بتحذيرك اذا كان هناك اى محتوى سى فى الصفحه

بالنسبه لسوالك عن البرنامج فالبرنامج لايقوم بفك التشفير ومثله مثل اى برنامج حمايه اخر هدفه الحمايه قبل الاصابه وليس بعد الاصابه

حيث ان علاج ما بعد الاصابه صعب جدا علاجه من خلال الطرق التى ذكرتها سابقا

خوصوصا ان هناك بعض انواع الاصابه التى تحتاج الى تدخل برمجى

لان برامج الحمايه بشكل عام برامج صماء ( وتعمل وفق تقنيه وكود محدد لذلك ) يمكن تخطيها بسهوله بالتلاعب فى اكواد الملف الخبيث وبالتالى يتم تخطى برامج الحمايه

بالتوفيق

جزاك الله كل خير اخي الكريم مصطفى

تمنياتي لك بدوام الصحه والعافية

 

[abu_youssefabu_youssef is verified member.]

بارك الله فيك يالغالي

 

[Ameer_a7med]

شكرآ لحضرتك ع المعلومات القيمة واحب ان اضيف نقطة اذا سمحت ..اسطوانة الكاسبر للطورائ تقدر تحذف الفيرس لكن مش هتقدر تحذف التشفيرة وعشان نحذف التشفيرة يفضل نستخدم تول من ادوات الكاسبر تحتوى ع اغلب مفاتيح التشفير ويمكن تحميلها من ع الرابط التالى

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

تحياتى وكل عام وانتم بخير

​

بسم الله الرحمن الرحيم

السلام عليكم ورحمه الله وبركاته

درس خفيف وسريع سنتعرف فى رانسوم وير (Ransomware)

تعريف الرنسيوموير

هو نوع من الملفات الخبيثه التي تقوم بغلق جهازك مع إضهار رسالة (عليك إرسال مبلغ من الملف لمبرمج الملف ) كما انها قد تقوم بتشفير وإخفاء ملفاتك على جهازك ومنعك من إظهارها مرة اخرى وإجبارك على شراء برنامج او اي شيء يفرضه عليك الهاكر من اجل إعادة إضهار ملفاتك

انواع الرانسيوم وير

النوع الاول

هو عبارة عن برنامج يشبه برنامج مكافحة الفيروسات لكنه فى الاصل برنامج مزيف يدعي بأنه اكتشف عدداً من الفيروسات على جهازك أو على هاتفكم الجوال وعليكم دفع مبلغ من المال لشراء النسخة الكاملة من البرنامج لإزالتها ولكن كل ما يقوم به هذا البرنامج هو إبطاء جهازكم لدرجة عدم القدرة على استعماله مجبراً على الدفع لشراء النسخة الكاملة

النوع الثانى

برنامج يقوم بقفل الشاشة الرئيسية على جهازكم ويطلب منكم مبلغ من المال لفك القفل عنها وعادة ما ينتشر هذا البرنامج مع رسالة تدعي على سبيل المثال أنه برنامج من الـ"إف بي آي" (FBI) أو أي جهة حكومية أخرى كما يدعي أنكم قمتم بنشاطات غير قانونية مثل تحميل المواد المقرصنة و عليكم دفع غرامة مالية لفك القفل عن جهازكم

النوع الثالث

يقوم بتشفير بياناتكم بأكملها ويطلب منكم دفع مبلغ مالي لفك التشفير عنها وهذا النوع الاكثر انتشارا

كيف تتم الاصابه

عن طريق البرامج التى تحمل نفسها بشكل خفى مع برامج اخرى وهنا وجب علينا امعان النظر جيدا فى البرامج التى تقوم بتسطيب برامج اخرى معها وليس next - next عند تسطيب اى برنامج

علاج الاصابه فى الحالات الثلاثه

علاج اصابه النوع الاول

1- ازالته البرنامج المزيف باحدى البرامج المخصصه لازاله البرامج من جزورها وانصح بشده استخدام برنامج Revo Uninstaller Pro الافضل فى مجاله

2- قم بعمل فحص شامل للجهاز الخاص بك باحدى اسطوانات الانقاز ( كاسبر او اى برنامج حمايه تفضله )

علاج النوع الثانى

1- اعاده تشغيل الجهاز فى الوضع الامنى Safe Mode

Start > Run >msconfig

فحص برامج بدء التشغيل عن طريق

Start > Run >msconfig

وحزف الاصابه

2- نظام ويندوز دائما ما يقوم باخذ نسخه احطياطيه منه بشكل تلقائى لذلك يمكن التخلص من النوع الثانى عن طريق استعاده النظام

Start > search > System Restore

علاج النوع الثالث وهو اصعب انواع التخلص منها

1- اول شى هو محاوله استخدام خاصيه استعاده النظام ولا تقم ابدا بعمل فورمات كما يفعل البعض ( راجع الخطوه السابقه )

2- عمل فحص سريع باى اسطوانه انقاذ للتخلص منه

3- استعاده الملفات المشفره

ا- قف على اى ملف تم تشفيره بفعل الملف الخبيث

Right Click ثم اختار Properties ثم Previous versions

ب- باستخدام برنامج Shadow Explorer

لتحميل البرنامج من موقعه الرسمى

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

تسطيب البرنامج سهل وبسيط او يمكن استخدام النسخه المحموله Portable من البرنامج

مبدا عمل البرنامج يقوم على الطرق التى استعرضناها سابقا ولكن بشكل منظم اكثر

ج- استخدام الطريقه البرمجيه فى استخراج مفتاح فك التشفيره ( للمحترفين )

الطريقه صعبه نوع ما على البعض حيث انها تخص من لديهم خبره فى البرمجه والتنقيح لاستخراج المفتاح حيث يتم تحليل الملف المسؤل عن تشفير الملفات وغالبنا تجده فى مسار بدا التشغيل Startup
واستخراج مفتاح فك التشفير من الملف

فى النهايه

اتمنى اكون وفقت فى الشرح ويكون سهل وبسيط

اتمنى الافاده للجميع

تحياتى وتقديرى

اخوكم ومحبكم دوما

مصطفى & Black007

​

بسم الله الرحمن الرحيم

السلام عليكم ورحمه الله وبركاته

درس خفيف وسريع سنتعرف فى رانسوم وير (Ransomware)

تعريف الرنسيوموير

هو نوع من الملفات الخبيثه التي تقوم بغلق جهازك مع إضهار رسالة (عليك إرسال مبلغ من الملف لمبرمج الملف ) كما انها قد تقوم بتشفير وإخفاء ملفاتك على جهازك ومنعك من إظهارها مرة اخرى وإجبارك على شراء برنامج او اي شيء يفرضه عليك الهاكر من اجل إعادة إضهار ملفاتك

انواع الرانسيوم وير

النوع الاول

هو عبارة عن برنامج يشبه برنامج مكافحة الفيروسات لكنه فى الاصل برنامج مزيف يدعي بأنه اكتشف عدداً من الفيروسات على جهازك أو على هاتفكم الجوال وعليكم دفع مبلغ من المال لشراء النسخة الكاملة من البرنامج لإزالتها ولكن كل ما يقوم به هذا البرنامج هو إبطاء جهازكم لدرجة عدم القدرة على استعماله مجبراً على الدفع لشراء النسخة الكاملة

النوع الثانى

برنامج يقوم بقفل الشاشة الرئيسية على جهازكم ويطلب منكم مبلغ من المال لفك القفل عنها وعادة ما ينتشر هذا البرنامج مع رسالة تدعي على سبيل المثال أنه برنامج من الـ"إف بي آي" (FBI) أو أي جهة حكومية أخرى كما يدعي أنكم قمتم بنشاطات غير قانونية مثل تحميل المواد المقرصنة و عليكم دفع غرامة مالية لفك القفل عن جهازكم

النوع الثالث

يقوم بتشفير بياناتكم بأكملها ويطلب منكم دفع مبلغ مالي لفك التشفير عنها وهذا النوع الاكثر انتشارا

كيف تتم الاصابه

عن طريق البرامج التى تحمل نفسها بشكل خفى مع برامج اخرى وهنا وجب علينا امعان النظر جيدا فى البرامج التى تقوم بتسطيب برامج اخرى معها وليس next - next عند تسطيب اى برنامج

علاج الاصابه فى الحالات الثلاثه

علاج اصابه النوع الاول

1- ازالته البرنامج المزيف باحدى البرامج المخصصه لازاله البرامج من جزورها وانصح بشده استخدام برنامج Revo Uninstaller Pro الافضل فى مجاله

2- قم بعمل فحص شامل للجهاز الخاص بك باحدى اسطوانات الانقاز ( كاسبر او اى برنامج حمايه تفضله )

علاج النوع الثانى

1- اعاده تشغيل الجهاز فى الوضع الامنى Safe Mode

Start > Run >msconfig

فحص برامج بدء التشغيل عن طريق

Start > Run >msconfig

وحزف الاصابه

2- نظام ويندوز دائما ما يقوم باخذ نسخه احطياطيه منه بشكل تلقائى لذلك يمكن التخلص من النوع الثانى عن طريق استعاده النظام

Start > search > System Restore

علاج النوع الثالث وهو اصعب انواع التخلص منها

1- اول شى هو محاوله استخدام خاصيه استعاده النظام ولا تقم ابدا بعمل فورمات كما يفعل البعض ( راجع الخطوه السابقه )

2- عمل فحص سريع باى اسطوانه انقاذ للتخلص منه

3- استعاده الملفات المشفره

ا- قف على اى ملف تم تشفيره بفعل الملف الخبيث

Right Click ثم اختار Properties ثم Previous versions

ب- باستخدام برنامج Shadow Explorer

لتحميل البرنامج من موقعه الرسمى

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

تسطيب البرنامج سهل وبسيط او يمكن استخدام النسخه المحموله Portable من البرنامج

مبدا عمل البرنامج يقوم على الطرق التى استعرضناها سابقا ولكن بشكل منظم اكثر

ج- استخدام الطريقه البرمجيه فى استخراج مفتاح فك التشفيره ( للمحترفين )

الطريقه صعبه نوع ما على البعض حيث انها تخص من لديهم خبره فى البرمجه والتنقيح لاستخراج المفتاح حيث يتم تحليل الملف المسؤل عن تشفير الملفات وغالبنا تجده فى مسار بدا التشغيل Startup
واستخراج مفتاح فك التشفير من الملف

فى النهايه

اتمنى اكون وفقت فى الشرح ويكون سهل وبسيط

اتمنى الافاده للجميع

تحياتى وتقديرى

اخوكم ومحبكم دوما

مصطفى & Black007

 

[kosay]

بالبداية شكراً لك على مجهودك و لكن اسمح لي بتعقيبات بسيطة جداً
النوع الأول ما يظهر أنه مضاد فيروسات و يسبب البطئ هو ليس RansomeWare بل ما يسمى Roug Antivirus
للتأكد من كلامي راجع موسوعة الكاسبريكي مثلاً لتجد الوصف

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

و ببحث سريع نجد المثال الذي وضعته و كيفية حذفه و هو هنا

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

و من تجارب فاني وجدت أداة من قبل ESET هي الأفضل

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

ثانياً بخصوص الرانسوم فهو بانواعه القديمة يشفر قطاع الإقلاع و لكن المشكلة الأكبر بتشفير الملفات و هي ما الأكثر انتشاراً حالياً يعني لا تستطيع الدخول للويندوز بالأصل و الملفات تم تشفيرها و بعض البرمجيات يصل قوة مفتاح تشفيرها إلى 2048 !!
و حتى شركة مثل الدكتور ويب تكتب ان بعض انواع الرانسوم يمكن فك تشفير ملفاته بنسبة 100% و لكن بعضها يكون احتمالية فك التشفير 3% فقط !!
على العموم يوجد أنواع كثيرة و برمجيات كثيرة لمحاولة فك كل نوع على حداه

شكراً للموضوع المفيد جداً

 

[tayeb62]

جزاكم الله خيراً
معلومات قيمة

 

[Ahmed Abd Elmoati]

بارك الله فيك وافضل استخدام Malwarebytes Anti-Ransomware

 

[ايمن بكر]

خبره ..ومعرفه جيده ..جعل هذا فى حسناتكم

 

[هشام مسك]

بارك الله فيك على المجهود الرائع ونتمنى ان تنقل لنا حالات عملية لعلاج أجهزة مصابة لنستفيد من خبرتك

 

[فرض القط]

قراءة هذا المقال! هناك حل جيد

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

 

[سكربت]

هل تعتقد آخي مصطفى بآن الكاسبر سكاي يمكنه التصدي لمثل هذه الإصابات في الجهاز إن تم تنصيب الكاسبر على الجهاز ؟

وهل تعتقد إن كان الكاسبر منصب على الجهاز هل باستطاعته التصدي لمثل هذه الإصابات ؟

وما هي برامج الحماية التي يمكنها رصد مثل هذه الإصابات والتصدي لها ؟

بعد إذن صاحب الموضوع

بالنسبة لي كاسبر عندي تصدى لأغلب البرامج الخبيثة مثلها بفضل الله

اكتشفها وأزالها لدي للأسف كثير من فلاشات طلابي والمعلمين عندي كانت الإصابة عندهم كبيرة بفضل الله نصحتهم بكاسبر وانتهت المشكلة لديهم
بالطبع لا من إزالة البرامج المسببة أولا عن طريق خبير بعدها تثبت كاسبر

لكن إن كان كاسبر لديك مسبقا فهو كافي للتصدي لها بإذن الله

عن نفسي أستخدم كاسبرسكاي سمول أوفيس 5 (إصدار 17)
Kaspersky Small Office Security 17.0.0

 

[التميمي14]

اهلا بيك اخى الغالى

بالنسبه للاستفسار الاول يمكن ان تحدث الاصابه من الانتقال من الفلاش حيث ان اغلبنا لا ينتبه ابدا لما تحوى الفلاشات وربما لا يستخدم برنامج حمايه

بالنسبه لخصوص تنقلها من رابط نعم يمكن ولكن الفيصل هنا هو حمايه الويب وقوتها

شركه جوجل اضافه خاصيه الحمايه فى المتصفح الخاص بها حيث انها تقوم بتحذيرك اذا كان هناك اى محتوى سى فى الصفحه

بالنسبه لسوالك عن البرنامج فالبرنامج لايقوم بفك التشفير ومثله مثل اى برنامج حمايه اخر هدفه الحمايه قبل الاصابه وليس بعد الاصابه

حيث ان علاج ما بعد الاصابه صعب جدا علاجه من خلال الطرق التى ذكرتها سابقا

خوصوصا ان هناك بعض انواع الاصابه التى تحتاج الى تدخل برمجى

لان برامج الحمايه بشكل عام برامج صماء ( وتعمل وفق تقنيه وكود محدد لذلك ) يمكن تخطيها بسهوله بالتلاعب فى اكواد الملف الخبيث وبالتالى يتم تخطى برامج الحمايه

بالتوفيق

بارك الله فيك اخي مصطفى

البرنامج الوحيد الذي يتصدى للرانس الفديه هو الزون ارام كما في موضوعي اتمنى تعليق منك

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

 

[الهمشري]

السلام عليكم ورحمة الله
أولا بارك الله فيك اخي مصطفي علي الموضوع المميز والبحث الأكثر من رائع حول هذا النوع من الإصابات
-----------
ثانيا للأسف اخي الغالي كل الخطوات التي ذكرتها بالموضوع غير مجدية للأسف ولاتنفع في استرجاع الملفات خصوصا مع الإصدار 3 للاصابه
وذلك للعديد من الأسباب(لااقصد التقليل من الموضوع فهو علي عيني ورأسي )ولكننا هنا للنقاش والتعلم من بعضنا البعض ليس الا
ولاتنجح الطرق التي ذكرتها للأسباب التالية

1-نقاط استعادة النظام سيتم حذفها بمجرد الإصابة بااي نوع من أنواع الـ Ransomware
3-النسخ السابقة من أي ملف المخزنة في Shadow-Volume سيتم حذفها وذلك بسبب استهداف الإصابة للعملية Vssadmin.exe فهي المسؤولة عن حذف النسخ السابقة من الملفات
-----
اغلب اداوت فك التشفير للنسخ التي تمكن الخبراء من فكها تجدونها في مدونة شركة Emsisoft
باالتوفيق​

 

[الهمشري]

الشركة

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

 

[الهمشري]

وهذة اداة من Kaspersky

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

 

[kosay]

أخي الكريم اسمح لي بالتعقيب قليلاً
Win 7 Antimalware هو Rouge Antivirus و ليس رانسوم و هو متعدد و لكن يختلف بالواجهة و هذه وصلة

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

و هذا من موقع

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

و يوجد في موقع سوفت ويبديا و لحذف هكذا برامج أنصح بأداة

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

علاج النوع الأول : استخدام Revo Uninstaller Pro و هذا صحيح بحالات لما تكون منزلها قبل الإصابة و حتى كثير من البرامج تتخطاها كونها تنزل خدمة لما تشتغل هالاداة توقفها و تحمي البرنامج
علاج النوع الثاني : و هو الرانسوم وير فهو قد يغلق البوت لودر مثلما تفضلت و لكن هذا يمنع المستخدم من الدخول للوضع الآمن أو الاقلاع العادي فكيف ستدخل و safe mode ؟ قد تنفع بحالات معينة و لكن ليس دوماً و للعلم يوجد موع مشابه و لكن يضع شعار الشرطة البريطانية

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

علاج النوع الثالث اعقد بكثييير فقد يتم التشفير باستخدام خوارزمية AES 1024 or AES 2048 و حسب شركة الدكتور ويب فبعض الأنواع مستحيلة و تحتاج إلى
107902838054224993544152335601 years !!! كونه يستخدم أكثر من خوارزمية و بقية الأنواع تتراوح احتمالية استعادة الملفات بين 3% إلى 100% و هذا من

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

شكراً لكم