Cafe Security

این مقاله رو حدود ۲سال پیش بگمونم نوشتم یادم نیست دقیق. 2 هفته پیش چشمم بهش خورد و ایرادات نگارشی رو اوکی کردم و بخس اخرشم دقیق نگفتم اونم اوکی کردم و یکسری چیزا بهش اضافه شد https://vrgl.ir/SeVje پ.ن: اونایی که قبلا خوندن از این مشاهده فوری تلگرام استفاده نکنن این مشکل داره قبلیو میاره😂

https://learn.microsoft.com/en-us/windows-hardware/drivers/devtest/dtrace بسی جالب xD

Titan is a VMProtect devirtualizer https://github.com/archercreat/titan @cafe_security

Universal x86/x64 VMProtect 2.0-3.X Import fixer https://github.com/archercreat/vmpfix @cafe_security

پست های قبلی کانال که پاک شده بود:)

۶

۵

۴

۳ https://crackstation.net/

۲

رایت اپ ctf iredteam ----- 00-http://iredteam.ir/robots.txt -> http://iredteam.ir/ch01-8f0d2691dd47bd81a2cdae91e8a16632/ 01-http://iredteam.ir/ch01-8f0d2691dd47bd81a2cdae91e8a16632/login.php~ -> ~ Emacs backup files 02-عکس شماره ۲ 03-user : guest  - pass : md5(8eddef2395b66fc6ab7da415ef4cb37c) -> crack : restinpeace4ever (۳عکس شماره) 04-crack jwt + rockyou (عکس شماره ۴ و ۵) 05-KEY jwt: hackingisfunbutbecareful! 06-عکس شماره ۶ سایت مذکور:jwt.io 07-flag : iRedTeam{392851511697229ee8d348e130d302ab}

یک دوستی کرک ی برنامه که کارش تولید بدافزار برای ویندوز لینوکس و اندروید تقریبا معروف بود داد تا بررسی کنم نکته جالب اینه برنامه کرک نبود در واقع یک بدافزار بود که سیستم طرف رو جارو میکرد :) بعد از بررسی هایی که بصورت هم انالیز استاتیک و هم داینامیک داشتم ماهیت بدافزار رو فهمیدم سعی میکنم اینجا بصرت خلاصه بگم (از 0 ) : یک روز مثل همیشه پای سیستم بودم که یکی از دوستان پیام داد گفت 888کرک شده داخل یک کانال تلگرام فرستادن ولی شک دارم تمیز باشه منم به حساب خودم قرار بود در حد ی انالیز ساده باشه😂 خب بدافزار رو بردم داخل labکه داشتم و بررسی کردم خب فاز اول که داشتم بادی میفهمیدم با چی نوشتنش بدافزار رو در نرم افزارdie بررسی کردم و مشخص شد که با سی شارپ نوشتنش ;) خب طبیعتا تحلیل کردن بدافزار های دات نتی به مراتب ساده تر از بدافزار هایی هست که با زبان هایی همچون c/c++ go ...نوشته شده باشه ولی خب این وسط obfuscator ها و پکر ها هم هستند که البته این دو مورد فقط برای خانواده دات نت نیستند بلکه حتی در زبان هایی مثل c/c++و... هم هستند.... خب بدافزار رو با dnspy دیکامپایل کردم (یک نکته هم بگویم اکثرا دوستان فکر میکنند دیکامپایلر ها فقط برای زبان هایی مثل سی شارپ و ویژوال بیسیک و... هست در صورتی دیکامپایلر برای زبان سی و سی ++ وجود داره که یکی از معروف ترینشون ghidra البته دیس اسمبلر هم هست، البته ابزار idaنیز یک دیکامپایلر داره ولی برخی مواقع استفاده کردن از دیکامپایلر کار رو پیچیده تر میکند بنابراین پیشنهاد میشه(نظر متخصصین این شاخه) تحلیل خود رو با استفاده از debuggerها و Disassemblerها انجام بدید درست است دانش زیادی برای تحلیل بصورتی که کل یا حداقل درصد زیادی از شیوه کار بدافزار رو بدانیم نیاز است ولی بطور کل منظور من بد بودن دیکامپایلر ها برای برنامه های نیتیو نیست بطور کل به این دلایل پیشنهاد نمیشه : ببینید بطور یک دیکامپایلر دارای خطاهای زیادی در کد نهایی که به شما میده بدلیل اینکه استخراج Context و Semanticsاز کد های اسمبلی دشوار و در نتیجه نمیتوانیم به سادگی کد های سطح بالاتر مثل cمشاهده کنیم وقتی ما با اسمبلی کدنویسی میکنیم یا از یک فایل باینری رو دیس اسمبل میکنیم با یک سری Mnemonicsطرف هستیم میتوانند در Contextاجرایی متغیر معنای تفاوت داشته باشد ) ) شاید بپرسید داریم از مبحث اصلی دور میشویم ولی بنظرم این نوشته یا هر چیزی دیگری که اسمشو میشه گذاشت بهانه ایی شد که من کمی از تحلیل باینری(مهندسی معکوس نرم افزار )صحبت کنم چون اکثرا همه دنبال کرک هستند :| خب خوبشبختانه برنامه با سی شارپ بود و به راحتی دیکامپایل شد و ما در تحلیل متوجه یک استرینگی که بصورت بیس64اینکد شده بود رو دیدیم خب دیکد کردیم و دیدیم بله یک فایل peهست ولی خب اون چیزی نبود که میخواستم پس سراغ تحلیل داینامیک رفتم (تحلیل استاتیک هم چیز زیادی دستگیرمون نشد) خب رفتم تحلیل بصورت داینامیک اول برنامه رو اجرا کردم ببینم واکنشش چیه خب یک ارور داد خیلی معنی برنامه رو بستم دیدم بله این بدافزار چند پروسه درست میکنه با هش ها مختلف (فاز اول) فازم دوم:یک بدافزار دیگر در مسیر (C:\\Users\user\AppData\Roaming\Windata) بود ولی خب بحث پایداری بد افزار یکی از پارامتر های مهمه که این بدافزار برای پایدار خود ادرس خود در ریجستری ست میکرد که پس از روشن شدن مجدد دوباره اجرا بشه بکدور رو بررسی کردیم با حجمی معادل با 2 الی 3 مگ پیلود رو با AutoItنوشته بودن که یک متوجه شدم بسیار شبیه پیلودهایی هست که 888 درست میکنه هم از لحاظ ساختار مثل ایکون و.. و هم زبان برنامه نویسی استفاده شده بدافزار کل سیستم رو جارو میکرد اعم از اطلاعات مروگر و... در انتهای پیام پست سورس بدافزار گذاشته میشه اگه خواستید نگاه بندازید لازم به ذکر است حدود 900 خط یا بیشتر هست دقیق یادم نمیاد و کلام اخر یکی از راه هایی که شناسایی کنیم بدون داشتن دانش فنی زیادی استفاده از سندباکس ها هاست البته سندباکس هایی وجود دارند که بصورت انلاین شما میتوانید بررسی کنید اون فایلی که مشکوک هستید بهش یا میتونید یک سندباکس رو خودتون راه اندازی کند :) البته سندباکس ها قابل دور زدن هست بعنوان مثال یکی از تکنیک ها گذاشتن تایمر هست یعنی بدافزار در یک زمان خاص شروع به کار کردن کند :) راه های زیادی هست که در اینجا نمیگنجه... سعی کردم بصورت ساده و خلاصه ارائه بنویسم اگر جایی مورد فنی بود خلاصه ایی در اون مورد بگویم یکی از اهداف از نوشتن این پست دوستانی که مهندسی معکوس اشنایی ندارند کمی با اصطلاحات و مباحث اشنا بشوند ———— رفرنس به زبان پارسی : مطالعه بیشتر در مورد دیکامپایلر ها در سلسله مقالات تحلیل بدافزار #بدافزار #مهندسی_معکوس #تحلیل_باینری

چند وقت پیش شروع به خوندن کتاب Think Like a programming نوشته V. Anton Spraul اشنا شدم و شروع به خوندنش کردم کتاب برای برنامه نویسان سی ++ هست ولی مفاهیمی که میگه اعم از چگونه حل کردن یک مساله یا تکه تکه کردن یک مساله و نگاه کردن به مساله از جوانب دیگر دسته بندی داشته ها یا نداشته هامون (منظور زمانی ک یک مساله میده داده میشه و همون مساله یک سری پارامترا ها میده که اره شما حق فلانکار رو دارید و حق فلانکار رو ندارید ) برای دوستانی که با زبان های دیگه کار میکنند مناسب هست(برای دوستان پایتون کار هم یک نسخه مجزا هست) ;) کتاب جالبی هست بخصوص فصول اول و دوم که خیلی جالب و بصورتی ک خسته نشید سراغ حل مساله رفته و جنبه های مخلتف به یک مساله نگاه میکنه و احتمالات رو بررسی میکنه و خلاصه بخوام از کتاب بگم چطور یک برنامه خوب و با کد کم بنویسیم و بتونیم اون چیزی که نوشتیم رو درک کنیم و بفهیم چیکار کردیم:) کتاب جالبی هست امیدوارم شماهم بخونیدش و لذت کافی رو ببرید کلا 260صفحه هست @cafe_security

Software Cracked!!!! —————————-- MyLanViewer Version: 5.0.0 ————————————— @cafe_security

Software Cracked!!!! —————————-- src Protector 3.95 ————————————— @cafe_security