تشفيرة تشفيره جديده بتاريخ 19/6/2017

[prooonet]

احياننا فعلا حتى تتمكن من استخراج او فك تشفير الاسترنج المشفر عليك ان يكون عندك خبره برمجيه لا باس بها

لان فى التشفيرات التى اعتمدها

اعتمد على اسلوب تحويل الملف EXE الى نص مشفر بخوارزميات معقد والتى احياننا اكون انا مكن كتبتها

او استخدم خوارزميات مشهور او اقوم باستخدام خورزميات اوقم بالتعديل عليها ولا اكتفى بها بشكل مباشر

من ثم يتم تحويل النص string الى بتات صغيره byte حتى يتم تحميلها الى الزاكره لكى تعمل هناك

الاسلوب المتبع فى الشتفيره مختلف فى كل مره لكن المبدا واحد

ربما هذه الكلام نظرى لن يفيد كثيره

خصوصا انك بالضغط على الملف لا تشعر باى شى يحدث فى الخلفيه

لكن اذا احببت ان تتابع جميع الاجرائات التى يقوم بها الملف

ربما ادلك على برنامج اعتبره اسطوره لكن سيبقى السوال كيف ستتعامل معه

وللاسف حتى الان لم استطيع بعد ان اتمكن من كل ما فيه لكبر حجمه واسلوبه الرائعه فى التحليل

+

كنت احضر للبرنامج منذ اول شهر مضان لكى اقوم بتنزيل شرح شامل للبرنامج وكيف تستخدمه لكن للاسف لم انتهى من اعداد الشرح لعده اسباب

منها الدوال الكثيره التى سنعتمدها فى تحليل اى ملف مهما كان نوعه

وهذه بعض منها

accept
AdjustTokenPrivileges
AttachThreadInput
bind
BitBlt
CallNextHookEx
CertOpenSystemStore
CheckRemoteDebuggerPresent
CoCreateInstance
connect
ConnectNamedPipe
ControlService
CreateFile
CreateFileMapping
CreateMutex

ومازال هناك الكثير لان ستم وضع كل داله وفائدتها

اخيرا اذا حابب تبحث عن البرنامج تفضل

API Monitor

وهذه صوره منه

بالتوفيق فى البحث

برنامج خطير ماشاء الله يشبه برنامج ollydbg سوف اراه في
وقت لاحق وسوف انسخ اسماء الدوال لدي لاطلع عليها لاحقا
شكرا لك وبارك الله فيك وفي الاخوان

 

[رضا سات]

يسعدني ان اشارك معكم الموضوع
ولاكن اخاف على جهازي

 

[ALI 145]

يسعدني ان اشارك معكم الموضوع
ولاكن اخاف على جهازي

مافيه أي خوف أخي رضا العينة بعد تشغيل الجهاز تذهب ليس لها أي تأثير
أو يمكنك قتلها من مدير المهام وحذفها لا تضيف أي شيء خطير او مؤذي
مصطفى عامل التشفيرة بحيث لا تسبب أي مشاكل في الجهاز
أو إستعمل برنامج تجميد الجهاز مثل ما قال أخونا مصطفى ​

 

[prooonet]

اضافة الى الرد السابق

النطاق serveblog.net يتصل بخوادم شركة no ip وهو نطاق غير متوفر
من ضمن الخدمات المجانية ممكن يكون قديم او نطاق خاص ومدفوع

واعتقد السيرفر خاص في Spyeye

وهنا بعض التحليلات تاكد انه ملف تجسس

​

 

[ihere]

السلام عليكم

من بعد إذن أخوي الغالي مصطفى

هذا شرح لإلغاء الحماية عن التشفيرة ثم استخراج بياناتها

-- الأدوات المستخدمة --

Exeinfo PE - لمعرفة نوع الحماية

RDG Packer Detector - لمعرفة نوع الحماية

إصدارين من أداة de4dot لفك التشفير

منقح dnSpy


- - - - - - - - - -


نبدأ

بعد تحميل العينه نستخدم أداة Exeinfo PE لمعرفة نوع الحماية

وكما يظهر لنا نوع الحماية في الرقم 1

ثم يشير إلينا بإستخدام أداة de4dot 3.1 لفك التشفير كما هو محدد في الرقم 2

- - - - - - - - - -


الآن نسحب العينه ونسقطها على رأس أداة de4dot

- - - - - - - - - -


بعدها نسحب العينه المنشأه بعد فك التشفير ونسقطها على رأس المنقح dnSpy

- - - - - - - - - -


وكما نلاحظ في الصورة التالية

Entry Point أي نقطة الانطلاق للعينه

فننقر على Main

- - - - - - - - - -


ثم نبدأ بالتتبع فننقر على smethod

- - - - - - - - - -


وكما نلاحظ في الصورة التالية

هنالك متغير في داخل الدالة سيعود بقيمة من Return byte_1

فنضع علامة توقف لنعرف ماهي القيمة العائدة ثم ننقر على زر Start لبدء تشغيل العينه

- - - - - - - - - -


ثم نحدد الخيار بحيث لا يتوقف عند أي مرحلة ويستمر حتى يصل إلى النقطة التي قمنا بتحديدها

- - - - - - - - - -


الآن نلاحظ في الصورة هنالك ملف محمل ببيانات فننقر بالماوس يمين ثم نختار من القائمة Save

- - - - - - - - - -


ثم نحدد مكان لحفظ الملف

- - - - - - - - - -


ثم نستخدم أداة RDG Packer Detector لمعرفة نوع الحماية للملف المحفوظ بمنقح dnSpy

- - - - - - - - - -


الآن نستخدم إصدار آخر من أداة de4dot لفك التشفير

وللإفادة هذا رقم الإصدار

- - - - - - - - - -


وهذا الهاش للبحث عنه

- - - - - - - - - -


الآن نسقط الملف المحفوظ بعد فك تشفيره

- - - - - - - - - -


ثم ننقر على Main

- - - - - - - - - -


ثم ننقر على Run

- - - - - - - - - -


وبعد النقر على Run ننزل للأسفل حتى نصل إلى المشار إليه بالصورة التالية

بالرقم 1 أحببت أن أشير إلى أن الهوست والبورت سيتم حفظهم في متغيرين Text و Text2

فننقر على Class1 للدخول إلى البيانات قبل فك التشفير

- - - - - - - - - -


وبعد الدخول سنجد الهوست والمنفذ ولاكن النصوص مشفره بخوارزمية base64

- - - - - - - - - -


فنستخدم أي المواقع لفك التشفير

وبإمكانكم استخدام الموقع التالي

[hide]http://www.freeformatter.com/base64-encoder.html[/hide]

- - - - - - - - - -


وأتمنى يتم التصحيح لي إن كنت اخطأت في شي

وبالتوفيق أخواني ​

 

[متعس]

وعليكم السلام ورحمة الله وبركاتة

اهلن اخي

مع الشرس ملك الحمايات ----)) Kaspersky Endpoint Security 10
بمجرد فك الضغط ----)) تم الرصد مباشره

 

[prooonet]

السلام عليكم

من بعد إذن أخوي الغالي مصطفى

هذا شرح لإلغاء الحماية عن التشفيرة ثم استخراج بياناتها

-- الأدوات المستخدمة --

Exeinfo PE - لمعرفة نوع الحماية

RDG Packer Detector - لمعرفة نوع الحماية

إصدارين من أداة de4dot لفك التشفير

منقح dnSpy


- - - - - - - - - -


نبدأ

بعد تحميل العينه نستخدم أداة Exeinfo PE لمعرفة نوع الحماية

وكما يظهر لنا نوع الحماية في الرقم 1

ثم يشير إلينا بإستخدام أداة de4dot 3.1 لفك التشفير كما هو محدد في الرقم 2

مشاهدة المرفق 138131


- - - - - - - - - -


الآن نسحب العينه ونسقطها على رأس أداة de4dot

مشاهدة المرفق 138132

مشاهدة المرفق 138133


- - - - - - - - - -


بعدها نسحب العينه المنشأه بعد فك التشفير ونسقطها على رأس المنقح dnSpy

مشاهدة المرفق 138134


- - - - - - - - - -


وكما نلاحظ في الصورة التالية

Entry Point أي نقطة الانطلاق للعينه

فننقر على Main

مشاهدة المرفق 138135


- - - - - - - - - -


ثم نبدأ بالتتبع فننقر على smethod

مشاهدة المرفق 138136


- - - - - - - - - -


وكما نلاحظ في الصورة التالية

هنالك متغير في داخل الدالة سيعود بقيمة من Return byte_1

فنضع علامة توقف لنعرف ماهي القيمة العائدة ثم ننقر على زر Start لبدء تشغيل العينه

مشاهدة المرفق 138137

- - - - - - - - - -


ثم نحدد الخيار بحيث لا يتوقف عند أي مرحلة ويستمر حتى يصل إلى النقطة التي قمنا بتحديدها

مشاهدة المرفق 138138


- - - - - - - - - -


الآن نلاحظ في الصورة هنالك ملف محمل ببيانات فننقر بالماوس يمين ثم نختار من القائمة Save

مشاهدة المرفق 138139


- - - - - - - - - -


ثم نحدد مكان لحفظ الملف

مشاهدة المرفق 138140


- - - - - - - - - -


ثم نستخدم أداة RDG Packer Detector لمعرفة نوع الحماية للملف المحفوظ بمنقح dnSpy

مشاهدة المرفق 138141

مشاهدة المرفق 138142

مشاهدة المرفق 138143


- - - - - - - - - -


الآن نستخدم إصدار آخر من أداة de4dot لفك التشفير

وللإفادة هذا رقم الإصدار

مشاهدة المرفق 138144


- - - - - - - - - -


وهذا الهاش للبحث عنه

مشاهدة المرفق 138145


- - - - - - - - - -


الآن نسقط الملف المحفوظ بعد فك تشفيره

مشاهدة المرفق 138146


- - - - - - - - - -


ثم ننقر على Main

مشاهدة المرفق 138147


- - - - - - - - - -


ثم ننقر على Run

مشاهدة المرفق 138148


- - - - - - - - - -


وبعد النقر على Run ننزل للأسفل حتى نصل إلى المشار إليه بالصورة التالية

بالرقم 1 أحببت أن أشير إلى أن الهوست والبورت سيتم حفظهم في متغيرين Text و Text2

فننقر على Class1 للدخول إلى البيانات قبل فك التشفير

مشاهدة المرفق 138149


- - - - - - - - - -


وبعد الدخول سنجد الهوست والمنفذ ولاكن النصوص مشفره بخوارزمية base64

مشاهدة المرفق 138150


- - - - - - - - - -


فنستخدم أي المواقع لفك التشفير

وبإمكانكم استخدام الموقع التالي

[hide]http://www.freeformatter.com/base64-encoder.html[/hide]

مشاهدة المرفق 138151

مشاهدة المرفق 138152


- - - - - - - - - -


وأتمنى يتم التصحيح لي إن كنت اخطأت في شي

وبالتوفيق أخواني ​

ماشاء الله شرح رائع ومميز لتوصيل الصورة بشكل كامل