كيف تعرف إن ما إذا كان جهازك الأندرويد مصاب بفيروس Gooligan أم لا ؟ + طريقة التخلص منه ( مهم جدا ! )

0
في الأونة الأخيرة ظهر تروجان يدعى " Gooligan " و إنتشر بشكل واسع على العديد من أجهزة الأندرويد ، قبل أيام قليلة على مدونة المحترف شاركتكم موضوع يتضمن لائحة بجميع التطبيقات التي تحمل هذا الفيروس .. اليوم إن شاء الله سوف نتطرق إلى طريقة معرفة ما إذا كان جهازك الأندرويد مصاب بهذا الفيروس الخطير الذي يسرق منك معلوماتك الخاصة أم لا و كيفية التخلص منه.
كيف تعرف إن ما إذا كان جهازك الأندرويد مصاب بفيروس Gooligan أم لا ؟ + طريقة التخلص منه ( مهم جدا ! )
يمكنك الولوج إلى هذا الموقع و الذي سوف يمكنك من معرفة ما إذا كان هاتفك مصاب بالفيروس أم لا ، إذ و بعد الولوج إلى الموقع سوف تجد خانة مخصصة لإدخال الإميل الخاص بك بحيث سوف تقوم بإدخال الإميل الذي هو مسجل على جهازك الأندرويد ثم تنقر على I'm not a robot بعد ذلك أنقر على Check.
جميل الأن إن ظهرت لك هذه الرسالة " YOUR ACCOUNT WAS NOT BREACHED " فكن أمنا فأنت غير معرض للفيروس و جهازك أمن من هذا الأخير ، لكن إن لم يكن كذلك فيجب عليك أولا أن تقوم بإستبدال الباسوورد الخاص بحسابك جوجل و تقوم بتسجيل الخروج من جميع التطبيقات التي قمت بربطها مع حسابك بل و أكثر من ذلك من الأفضل أن تقوم بفرمطة جهازك بعمل له Reset بكل بساطة من أجل تجاوز الشك.
رابط الموقع

الحلقة847: هل الشركات المبرمجة لبرامج الانتي ڤايرس هي من تطرح الڤيروسات ؟

0
سؤال يفرض نفسه بشدة هل الشركات المبرمجة لبرامج كشف الڤيروسات هي التي تقوم بطرح الڤيروسات ؟  طبعا الإجابات هي مختلفة فهناك من يقول ان هذه الشركات لايمكن ان تطرح برامج ضارة ذلك لانها مثل الطبيب فلايمكن للطبيب ان يخبرك بانك مريض فقط من اجل ان يبيع الدواء وهناك من له رأي مغاير في ان الشركات الانتي ڤيروس تقوم ببرمجة ڤيروسات من اجل الربح المادي . 
في هذه الحلقة احاول ان اناقش الموضوع من عدة جوانب حسب تجربتي وكذلك إحتكاكي الشديد بميدان الامن المعلوماتي من جهة ومن جهة اخرى اشاركك رأي حول هذا النقاش المثير للجدل على امل ان تشاركني رأيك كذلك في تعليق من اجل إغناء هذا النقاش فرجة ممتعة . 

شاهد كيف يحول الفقراء قنينة مشروبات مستعملة الى مصباح مضيئ

0

Morto Worm دودة جديدة تنتشر عبر RDP

0

 Remote Desktop protocol  بعض الشركات الكبيرة او الصغيرة عادتا ما تستخدم اداة
لربط اتصالها عن بعد مع حواسيب  في حوزتها عبر الانترنت، هذه الاداة التي تعتمد على بروتوكول
وهو 
بروتوكول من تطوير شركة مايكروسفت RDP
. تمكن المستخدمين المصرح لهم بربط الإتصال عن بعد كذلك التحكم في الاجهزة وإدارتها
بنشر تقرير عن إنتشار دودة اطلق عليها إسم  F-Secure في حين قامت
3389/TCP هذه الاخيرة التي تستخدم منفذ morto
حالما تحقن نفسها بالشبكة تبدئ الدودة في مسح لكافة الحواسيب المتوفرة على
بروتوكول سطح المكتب البعيد
بالشبكة حيث تشرع الدودة في نسخ نفسها
   dll في اقراص الاجهزة المهددة تأخد شكل إمتداد
3389/TCP الدودة تقوم بزيادة حجم الترافيك المستخدم في المنفذ 

كما يوضح الرسم المبياني الاتي



الدودة تنتشر بسرعة كون انها تستخدم بكثرة في عمليات تخمين الباسوورد من طرف المهاجمين بهدف إقتحام مضيف عن بعد وذلك
 TSGrinder بإستخدام بعض الادوات مثل اداة

معجم
 مضيف=Host
بروتوكول سطح المكتب البعيد=
Remote Desktop protocol

شرح حذف الڤيروس اللعين tazebama.dl

0
في حاسوب معين امتلكه قمت بتتبيث برنامج اڤيرا انتي فايرس عليه وكون ان هذا الحاسوب استعمله فقط لتصفح الانترنت لاحظت بعد مدة 
قصيرة ان الحاسوب اصبح ثقيل جدا بل واصبحت تضهر ملفات غريبة فعلمت مباشرة اني مصاب بڤيروس
في الحقيقة ليس  هذا اول تعاملي مع هذا الڤيروس اللعين حيث 
سبق لي وتم إستدعائي لاحد المدارس لمعاينة هذا النوع من المشاكل



تحليل الڤيروس


W32.Mabezat.B. ينحدر من ڤريوس tazebama.dl ڤيروس 
هذا الاخير الذي يعد نوع من انواع الورم والذي نتشر بسرعة عبر الإيميل ، مفاتيح الايسبي ، حيث بإمكان هذا الڤيروس من ان يقوم بحقن الملفات المحمية والمشفرة كذلك !! ، وهاته لائحة بالملفات التي يقوم بإنشائها في الحاسوب المصاب بالعدوى



%SystemDrive%\Documents and Settings\tazebama.dl_
%SystemDrive%\Documents and Settings\hook.dl_
%UserProfile%\Start Menu\Programs\Startup\zPharoh.exe
%SystemDrive%\Documents and Settings\tazebama.dll
%SystemDrive%\Documents and Settings\[USER NAME]\Application Data\tazebama
%SystemDrive%\Documents and Settings\[USER NAME]\Application Data\tazebama\tazebama.log
%SystemDrive%\Documents and Settings\[USER NAME]\Application Data\tazebama\zPharaoh.dat



طريقة حذف الڤيروس

لحذفه من الحاسوب يكفي ان تمتلك مضاد ڤيروسات من نوع اڤاست  قم بضغطه في ملف رار  إذا كان الحاسوب غير مرتبط بالانترنت وذلك لحماية الانتي ڤيروس من ان يتم تخريبه من طرف الڤيروس بعذ ذلك قم بتنفيذه مباشرة من ذاخل الملف المضغوط واعمل سكان للحاسوب كاملا بما في ذلك اقراصك الصلبة المرتبطة مع الحاسوب

تحليل دودة W32.Rontokbro@mm

0
 LAPTOP BAG
اعتذر كوني تأخرت قليلا في وضع تحليل لهجمات ڤيروسات وهذا راجع لإنشغالاتي اليومية وكذلك السهر على الإجابة على اسئلتكم ... ، اليوم سنقوم نحن وإياكم بعميلة تشريح لدودة اللعينة
W32.Rontokbro.A@mm
حيث ان الڤيروس حالما يتم إحتقانه بالجهاز يبدئ في صنع ملفات تنفيذية شبيهة باللتي يستخدمها نظام تشغيل ويندوز واللتي هي كالآتي





c:\Documents and Settings\User\Local Settings\Application Data\csrss.exe
c:\Documents and Settings\User\Local Settings\Application Data\inetinfo.exe
c:\Documents and Settings\User\Local Settings\Application Data\lsass.exe
c:\Documents and Settings\User\Local Settings\Application Data\services.exe
c:\Documents and Settings\User\Local Settings\Application Data\smss.exe
c:\Documents and Settings\User\Local Settings\Application Data\winlogon.exe
c:\Documents and Settings\User\Start Menu\Programs\Startup\Empty.pif
c:\Documents and Settings\User\Templates\WowTumpeh.com
c:\System\'s Setting.scr
c:\Windir\eksplorasi.pif
c:\Windir\ShellNew\bronstab.exe
كما نلاحظ فكل البرامج الملونة باللون الصفر هي يعمل بها الويندوز ويمكن لك التأكد من ذلك بعمل  
Ctrl+alt+sup
واذهب إلى
fr (processus) / eng (process )

كما يقوم الڤيروس بوضع قيم رجستري في ملف الرجستري كالتالي

"Bron-Spizaetus-[ALÉATOIRE]" = "%Windir%\komodo-6[ALÉATOIRE]2.exe" 

"Tok-Cirrhatus-[ALÉATOIRE]" = "%System%\s[ALÉATOIRE]\zh59[ALÉATOIRE].exe"  
"Tok-Cirrhatus-[ALÉATOIRE]" = "%UserProfile%\Local Settings\Application Data\dv6[RANDOM]0x\yesbron.com" 

"Bron-Spizaetus-[ALÉATOIRE]" = " %Windir%\_default[ALÉATOIRE].pif"
"Userinit" = ",%Windir%\komodo-6[ALÉATOIRE]2.exe"
"Shell" = " %Windir%\cinderawasih-4[ALÉATOIRE]7.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
لكي نقوم بحذفه من الجهاز المصاب نقوم بالخطوات الاتية

تم تتبيث الاداة + عمل تحديث  malware byte تحميل اداة 
   Safe mode   إعادة تشغيل الجهاز والذخول عليه ب
 عمل سكان بالأداة
وعمل حذف للبرامج الضارة 


تم والحمد الله

ثم وبحمد الله تشريحBackdoor:W32/Zx Shell.A

0
السلام عليكم ورحمة الله تعالى وبركاته إن شاء الله في تمام الصحة والعافية اليوم سنقوم بتشريح لتروجان من نوع باكدور وهو باكدور
Backdoor:W32/Zx Shell.A
هو عبار عن ملف تنفيذي نوع
DLL
يثم دمجه مع برامج التتبيث 
Install 
حيث يقوم هذا الباكدور مباشرة بعد  تحميله في النظام وحقن  نفسه بحاسوب الضحية ب :   
فتح حساب بصلاحيات الادمن
تعطيل الجدار الناري الخاص بالويندوز
نسخ تاريخ الملفات المتواجذ بالنظام 
plugins تتبيث بعد الاضافات
البحث عن كل  باسوردات الحسابات المتواجدة بالنظام
البحث عن باسوردات الخاصة بخدمة الاتصال ب الانترنت
كايلوڭر إلتقاط جميع ضربات لوحة المفاتيح
إطفاء النظام وإعادة تشغيله
SYNFloodإمكانية تطبيق هجوم 
إمكانية تحميل ملفات الضحية او عمل آبلود
إمكانية إلغاء الباكدور
التحكم في حسابات النظام
ftp إمكانية جعل حاسوب الضحية سرفر
http إمكانية جعل حاسوب الضحية سرفر 
proxy إمكانية جعل حاسوب الضحية سرفر 
عمل سكان للمنافذ المفتوحة في جهاز الضحية

socks 4 & socks 5 تتبيث كل من عميل


 التغيرات على مستوى الرجستري

كذالك ولجعل الباكدور يثم تحميله تلقائيا مع بدأ تشغيل النظام فإنه ستحصل ثغيرات على مستوى الرجستري حيث سيثم إضافة كل من

  • HKLM\System\CurrentControlSet\Services\6to4
    DisplayName = 6to4
    ObjectName = LocalSystem
    Start = 2
    ErrorControl = 1
    Type = 288
    ImagePath = %SystemRoot%\System32\svchost.exe -k netsvcs HKLM\System\CurrentControlSet\Services\6to4\Security
    Security =
  • HKLM\SYSTEM\CurrentControlSet\Services\6to4\Parameters
    ServiceDll = %PATH_TO_BACKDOOR_DLL%
  • HKLM\SYSTEM\CurrentControlSet\Services\6to4\Parameters
    ServiceDllUnloadOnStop = 0
  • HKLM\System\CurrentControlSet\Services\6to4\Control
    ActiveService = 6to4


حذفه
يمكن إزالة الباكدور بإستخدام
Avast antivirus  
 لزيارة موقع الشركة إضغط هنا 





والسلام عليكم ورحمة الله تعالى بركاته

Defcon one / Amine raghib 
يتم التشغيل بواسطة Blogger.