KILLER CODE

و الميمي كاتز تعتبر مالوير و الشاطر هيفهم و شاركوا أجاباتكم معايا

ميمي كاتز هي أداة متقدمة جدًا للهكر والتجسس على الأنظمة، وتم تطويرها في الأصل عشان تساعد المحققين الرقميين والباحثين في الأمن السيبراني في استخراج معلومات من الأنظمة. الأداه دي تم تطويرها من قبل باحث أمني فرنسي اسمه بنيامين ديلبي في 2011. ميمي كاتز ممكن تستغل ثغرات في أنظمة ويندوز عشان تسحب كلمات المرور والمعلومات الحساسة من ذاكرة النظام. الأوامر الموجودة في ميمي كاتز وخطورتها هي كالتالي: privilege::debug بيشغل صلاحيات التصحيح في النظام، وده بيدي الهكر قدرة على التحكم الكامل في النظام. sekurlsa::logonpasswords بيستخرج كلمات المرور المخزنة في النظام، وده معناه إن الهكر يقدر يحصل على كلمات المرور بدون ما يبذل جهد كبير. sekurlsa::tickets بيعرض تذاكر الكيربيروس المخزنة في النظام، ودي بتساعد الهكر في الاستيلاء على الجلسات الحالية واستخدامها للوصول للموارد بدون إعادة المصادقة. lsadump::sam بيقوم بتفريغ ملفات SAM اللي بتحتوي على كلمات مرور المستخدمين في النظام، وده بيسمح للهكر بإعادة استخدام كلمات المرور دي في هجمات أخرى. lsadump::secrets بيظهر الأسرار المخزنة في النظام، وده بيساعد الهكر في الوصول لمعلومات حساسة. token::elevate بيحاول يرفع الصلاحيات في النظام، وده معناه إن الهكر يقدر ياخد صلاحيات أعلى ويسيطر على النظام بالكامل. vault::cred بيعرض معلومات الاعتمادات المخزنة في خزنة الويندوز، ودي معلومات ممكن تكون حساسة جدًا. dpapi::cred بيظهر بيانات DPAPI اللي بتستخدم لحماية البيانات في النظام، وده بيساعد الهكر في فك تشفير البيانات المحمية. crypto::capi بيعرض مفاتيح CAPI المخزنة في النظام، وده بيساعد الهكر في فك تشفير الاتصالات المشفرة. crypto::certificates بيظهر معلومات عن الشهادات المخزنة في النظام، ودي بتساعد الهكر في فهم البنية التحتية للشبكة والتخطيط لهجمات مستقبلية. crypto::keys بيعرض المفاتيح المخزنة في النظام، وده بيساعد الهكر في فك تشفير البيانات. misc::memssp بيظهر بيانات SSP المخزنة في الذاكرة، وده بيساعد الهكر في استغلال الجلسات الحالية. misc::sysinfo بيعرض معلومات عن النظام، وده بيساعد الهكر في فهم بيئة العمل والتخطيط للهجوم. misc::wifi بيظهر ملفات تعريف الواي فاي المخزنة في النظام، وده بيساعد الهكر في الوصول لشبكات الواي فاي المخزنة. kerberos::list بيعرض قائمة بتذاكر الكيربيروس المخزنة في النظام، وده بيساعد الهكر في استغلال الجلسات الحالية. kerberos::tgt بيظهر معلومات TGT، ودي بتساعد الهكر في الاستيلاء على الجلسات. kerberos::ptt بيسمح للهكر بتمرير تذكرة كيربيروس للنظام، وده بيساعد الهكر في الدخول للموارد بدون إعادة المصادقة. kerberos::kerberos بيعرض تذاكر الكيربيروس المخزنة، وده بيساعد الهكر في الاستيلاء على الجلسات. livessp::tspkg بيستخرج معلومات TSPKG من LSASS، وده بيساعد الهكر في الحصول على كلمات المرور. livessp::msv بيظهر الاعتمادات المخزنة في النظام، وده بيساعد الهكر في الحصول على كلمات المرور. livessp::credman بيعرض معلومات CredMan المخزنة في النظام، وده بيساعد الهكر في الحصول على كلمات المرور. livessp::tspkrd بيظهر بيانات TSPKG المخزنة في النظام، وده بيساعد الهكر في الحصول على كلمات المرور. livessp::wdigest بيظهر بيانات WDigest المخزنة في النظام، وده بيساعد الهكر في الحصول على كلمات المرور. livessp::kerberos بيظهر بيانات كيربيروس المخزنة في النظام، وده بيساعد الهكر في الاستيلاء على الجلسات. livessp::wdigest بيظهر بيانات WDigest المخزنة في النظام، وده بيساعد الهكر في الحصول على كلمات المرور. livessp::cred بيظهر بيانات LSASS المخزنة في النظام، وده بيساعد الهكر في الحصول على كلمات المرور. ميمي كاتز أداة قوية جدًا وخطيرة في عالم الهكر. استخدام الأداة دي بيد الهكر قدرة هائلة على اختراق الأنظمة والسيطرة عليها بالكامل. من المهم جدًا إنك تتخذ إجراءات أمنية قوية لحماية نظامك من الأدوات دي، زي تحديث النظام باستمرار، وتفعيل خصائص الحماية المتقدمة، وتوعية المستخدمين بالمخاطر الأمنية

مقالة "Windows Internals - PE Format (Part 1)" على موقع 0xrick تتناول تفاصيل حول تنسيق ملفات PE (Portable Executable) وهو نوع من الملفات المهم جداً في أنظمة التشغيل ويندوز. 1. Introduction (مقدمة) الفصل ده بيوضح إيه هو ملف الـPE وليه هو مهم. ملف الـPE هو ببساطة ملف قابل للتنفيذ (زي البرامج والتطبيقات) اللي بيشتغل على أنظمة ويندوز. الملف ده بيحتوي على الكود اللي بيشتغل لما تفتح البرنامج، وبيانات تانية مهمة زي المعلومات اللي بتقول للنظام إزاي يشغل الكود ده. الفايدة في عالم المالوير: معرفة التفاصيل دي بيساعد الهاكرز اللي بيطوروا المالوير إنهم يعرفوا إزاي يخفوا برامجهم الضارة جوة ملفات الـPE عشان تبقى صعبة الاكتشاف. 2. DOS Header (هيدر الـDOS) ده أول جزء في ملف الـPE، وبيحتوي على بيانات قديمة كانت بتستخدم في الأيام اللي كان نظام الـDOS شغال. الحتة دي فيها بيانات زي توقيع الملف اللي بيسمى "MZ" وكمان عنوان بداية الهيدر التاني اللي هو الـPE Header. الفايدة في عالم المالوير: لو حد عايز يخفي مالوير في ملف PE، ممكن يلعب في البيانات هنا عشان يصعب على برامج الحماية إنها تكتشفه بسهولة. 3. PE Header (هيدر الـPE) ده الجزء اللي بعد هيدر الـDOS، وبيحتوي على معلومات أساسية عن الملف زي نوع الـCPU اللي البرنامج بيشتغل عليه، والـEntry Point اللي بيبدأ منه التشغيل، وحجم الأقسام المختلفة في الملف. الفايدة في عالم المالوير: الهاكرز ممكن يغيروا البيانات هنا عشان يغيروا طريقة تشغيل الملف، أو عشان يضيفوا بيانات تخدع النظام. 4. Optional Header (الهيدر الاختياري) رغم إن اسمه اختياري، لكنه بيكون موجود في معظم ملفات الـPE. الهيدر ده بيحتوي على بيانات أكتر تفصيلية زي حجم الملف في الذاكرة، ونقاط البداية والنهاية للأقسام المختلفة في الملف. الفايدة في عالم المالوير: البيانات هنا بتساعد الهاكرز إنهم يعرفوا إزاي يحددوا الكود بتاعهم في مناطق معينة من الذاكرة لتجنب الكشف. 5. Sections (الأقسام) ملف الـPE بيتقسم لأجزاء مختلفة، كل جزء بيسمى Section، وكل Section بيحتوي على نوع معين من البيانات، زي الكود التنفيذي، أو البيانات، أو المعلومات اللي بيحتاجها البرنامج. الفايدة في عالم المالوير: الهاكرز ممكن يحطوا الكود الضار في Section معين ويستخدموا باقي الأقسام لتخزين بيانات بتساعد في تشغيل المالوير بدون ما يتكشف. 6. Data Directories (أدلة البيانات) دي مجموعة من المؤشرات اللي بتشير لأماكن البيانات المهمة في الملف، زي الـImport Table اللي بيحتوي على أسماء الدوال اللي البرنامج بيستدعيها من ملفات النظام. الفايدة في عالم المالوير: من هنا الهاكرز ممكن يعرفوا إزاي برامج الحماية بتتعامل مع الملفات، ويغيروا البيانات دي عشان يقدروا يشتغلوا بدون ما يتكشفوا. 7. Sections Header (هيدر الأقسام) ده الجزء اللي بيحدد تفاصيل كل Section في الملف، زي مكانه في الملف وحجمه. الفايدة في عالم المالوير: الهاكرز ممكن يعدلوا البيانات دي عشان يغيروا أماكن وأحجام الأقسام لتجنب الكشف. المقالة دي بتديك تفاصيل تقنية عن كل جزء في ملف الـPE، والمعرفة دي مهمة جداً لأي حد مهتم بتطوير البرامج أو حتى المالوير. الهاكرز بيستخدموا المعلومات دي عشان يطوروا مالوير بيكون صعب الكشف عنه، وفي نفس الوقت مطوري البرامج بيستخدموها عشان يحموا برامجهم من الاختراق. رابط المقالة

مجموعة APT38 دي جزء من وكالة الاستخبارات الكورية الشمالية وبيتقال عليها كمان Lazarus Group ودي مجموعة بتشتغل بشكل أساسي على سرقة فلوس من المؤسسات المالية حوالين العالم بأساليب وتكتيكات متطورة جدًا بتعتمد على الاختراق والتجسس الإلكتروني الهدف الأساسي بتاعهم هو إنهم يمولوا النظام الحاكم في كوريا الشمالية عن طريق سرقات إلكترونية ضخمة بتوصل قيمتها لمليارات الدولارات المجموعة دي بتستهدف البنوك وشبكات التحويل المالي زي SWIFT وبتبدأ عملياتها باختراق مبدئي لأنظمة الشركة أو المؤسسة المستهدفة وده بيتم عن طريق أساليب زي التصيد الاحتيالي أو استغلال الثغرات الموجودة في الأنظمة أو التطبيقات وبعد ما يدخلوا على الشبكة بيبدأوا يوسعوا سيطرتهم ويجمعوا معلومات حساسة زي بيانات الحسابات والأنظمة المالية وبعدها بيستخدموا أدوات زي التنقل الجانبي جوا الشبكة علشان يوصلوا لصلاحيات المسؤول ويدخلوا على الأنظمة الحساسة زي أنظمة المعاملات البنكية أو قواعد بيانات العملاء المرحلة الأخيرة بتكون إنهم يحولوا الفلوس لحسابات بيتحكموا فيها وبعد كده يمسحوا أي أثر للهجوم علشان محدش يقدر يكتشفهم بالنسبة لأي هاكر بلاك هات المقالة دي ممكن تكون مصدر مهم جدًا لأنه ممكن يتعلم منها إزاي يخطط لعملية اختراق متكاملة ويتابع الأساليب اللي بتستخدمها مجموعة APT38 في اختيار الأهداف وتنفيذ الهجمات وكمان يتعرف على الأدوات اللي هما بيستخدموها زي البرمجيات الخبيثة المصممة مخصوص للاختراق وممكن البلاك هات يطبق نفس الأساليب دي في تطوير أدواته الخاصة سواء لسرقة بيانات أو فلوس وكمان يتعلم إزاي يخفي أثار هجومه علشان محدش يتتبعه ويقبض عليه أهم حاجة ممكن البلاك هات يستفيد منها هي إنه يتعلم إزاي يكون عنده خطة لكل خطوة بيعملها في الهجوم ويركز على إنه يحافظ على سرية العملية بالكامل ويستغل نقاط الضعف اللي موجودة في الأنظمة الأمنية التقليدية ويتعلم كمان استغلال الشبكات وإدارة الصلاحيات جوه أنظمة التشغيل بطريقة ذكية تصعب على أي حد اكتشاف الهجوم أو منعه رابط المقالة دي

الموضوع ده من أخطر الأساليب اللي بيستخدمها الهاكرز عشان يعملوا استغلال أو يزرعوا مالوير في الأنظمة بشكل ذكي ومن غير ما يثيروا شكوك السيستم أو برامج الحماية يعني باختصار فكرة DLL Sideloading بتعتمد على إن فيه برامج بتدور على مكتبات ديناميكية أو ملفات DLL عشان تستخدمها أثناء التشغيل وبدل ما البرنامج يلاقي الملف الصحيح اللي هو محتاجه الهاكر بيزود نسخة معدلة أو ملف DLL مختلف تماما في نفس المكان اللي البرنامج بيتوقع يلاقيه فيه وبالتالي البرنامج بيشغل الملف الغلط اللي بيحتوي على الكود الخبيث والميزة هنا إن البرنامج بيشتغل عادي جدا والمالوير كمان بيشتغل في نفس الوقت من غير ما يظهر إن فيه حاجة غلط دي طريقة ذكية جدا بتعتمد على استغلال نقاط ضعف في آلية تحميل الملفات داخل البرامج لو عايز تفهم أكتر الموضوع بيمشي إزاي خليني أوضحلك السيناريو أول حاجة الهاكر بيحدد برنامج بيستخدم ملفات DLL من مكان معين زي نفس فولدر البرنامج مثلا بعد كده بيعمل نسخة DLL خبيثة بنفس اسم الملف اللي البرنامج بيحتاجه ويحطها في نفس الفولدر ولأن البرنامج دايما بيعمل تحميل للملف من نفس المكان ده أول ما يشغل البرنامج يقوم يحمّل DLL الخبيث بدل الأصلي وهنا تبدأ الكارثة لأن DLL الخبيث ممكن يعمل أي حاجة الهاكر عايزها زي تشغيل كود مخصص سرقة بيانات أو حتى توصيل الجهاز بشبكة الهاكر الموضوع هنا مش بس خطير ولكنه كمان صعب الاكتشاف لأن من وجهة نظر السيستم البرنامج شغّال زي الفل ومفيش أي مشكلة وده بيخليها طريقة فعالة جدا للتهرب من برامج الحماية وده لأن المالوير بيشتغل تحت غطاء برنامج موثوق يعني حتى لو برامج الحماية بتراقب العمليات اللي شغالة على السيستم مش هيظهر إن فيه مالوير لأن البرنامج الأصلي نفسه هو اللي عمل التحميل للكود الخبيث الجزء المهم جدا هنا بالنسبة لأي حد شغال في مجال Malware Development أو Red Team هو إنك لو بتطور أدوات أو استغلالات الطريقة دي بتديك ميزة كبيرة في تنفيذ عملياتك بدون اكتشاف لكن ده ما يمنعش إنك تكون واعي إن مش كل برنامج بيقع ضحية للثغرة دي لأن فيه برامج بتستخدم آليات مختلفة لتحميل ملفات الـ DLL زي إنها تعتمد على مسارات محددة وثابتة أو تعمل توقيع رقمي للملفات قبل ما تشغلها كمان لازم تفهم إن البرامج اللي بتدعم Dynamic Linking بتبقى الهدف الأساسي لأن الفكرة كلها مبنية على إن البرنامج يقدر يحمّل ملف من خارج مسار النظام الرسمي ولو بنتكلم على تطبيقات ممكن تكون عرضة للهجوم ده فالألعاب والبرامج القديمة اللي ما بيتمش تحديثها بانتظام هي الأكثر عرضة لأن غالبا بيكون عندها طرق قديمة لتحميل ملفات الـ DLL ومش بتتبع معايير الأمان الحديثة عشان تستفيد أكتر من الموضوع لازم تدرس إزاي بتتعمل DLL Injection لأن الاتنين مرتبطين جدا والمهارات اللي هتكتسبها في المجال ده هتفتحلك أبواب كبيرة في عالم الـ Red Team لأن ببساطة هتقدر تدمج طرق الاستغلال دي مع تقنيات تانية زي Process Hollowing أو حتى Code Injection عشان ترفع مستوى التخفي بالنسبة لفوائد الطريقة دي ليك كهاكر فخليني أقولك إنها بتوفرلك استغلال مستمر ومتخفي لأن طالما البرنامج الضحية شغّال فالـ DLL الخبيث بتاعك شغّال وكمان تقدر تستخدمها عشان تسيطر على البرامج اللي بتحتاج صلاحيات عالية أو بتشتغل بامتيازات مرتفعة على السيستم وده بيخليك تقدر تعمل امتياز تصعيد أو Privilege Escalation بسهولة أكبر لكن عشان تكون ناجح في استخدام الطريقة دي لازم تدرس كمان إزاي تعمل هندسة عكسية للبرامج عشان تقدر تعرف أسماء الملفات اللي بتحتاجها البرامج الضحية وإيه أماكن تحميلها بالضبط وده بيحتاج أدوات قوية زي IDA Pro أو Ghidra وكمان لازم تكون فاهم APIs الخاصة بويندوز اللي بتتعامل مع الـ DLLs زي LoadLibrary و GetProcAddress لأن الفهم ده هو اللي هيخليك تتحكم في الاستغلال وتضمن نجاحه باختصار لو أنت شغال Red Team أو في مجال Malware Development الطريقة دي من الأدوات اللي لازم تكون في حقيبتك لأنها مش بس قوية ولكن كمان ذكية وصعبة الاكتشاف ومن أهم مزاياها إنها بتديك طريقة شغّالة ومتخفية للوصول للنظام وتحقيق أهدافك رابط المقالة

مقال قادم 🥹

الكورس المعروض على منصة Udemy بعنوان "Antivirus Evasion Hard Core" بيستهدف تقديم محتوى متخصص لكل الهاكرز المهتمين بتطوير مهاراتهم في تجاوز أنظمة الحماية والـAntivirus بطريقة علمية وممنهجة والهدف الأساسي من الكورس ده إنه يعلمك إزاي تتجنب اكتشاف البرمجيات الخبيثة أو المالوير عن طريق برامج مكافحة الفيروسات اللي بتعتمد على تقنيات زي الـSignatures والـBehavioral Analysis والـHeuristic Detection علشان تكشف أي تهديد محتمل الكورس بيشرح بشكل عميق إزاي تقدر تكتب كود برمجي يكون صعب اكتشافه وده بيتحقق عن طريق فهم طريقة عمل برامج مكافحة الفيروسات واستغلال نقاط ضعفها زي إنك تستخدم Obfuscation Techniques علشان تخفي الكود أو تغير الـExecution Flow بتاع البرنامج المالوير نفسه وده بيعتبر أساسي لأي شخص مهتم بتخطيط الـAdvanced Persistent Threats أو الـAPT و في نفس الوقت الكورس بيهتم جدًا بتطوير الفهم الأساسي للتقنيات الجديدة اللي بتستخدمها شركات الحماية وبيشرح إزاي تتجنب تقنيات زي الـSandbox Detection والـRuntime Analysis وكمان بيغطي مواضيع زي الـPE Header Manipulation والـEncryption والـPacking اللي بتسمحلك إنك تطور مالوير بيقدر يتخطى حتى أقوى برامج الحماية الحديثة أهمية الكورس لأي هاكر مش مجرد إنه بيشرح الأدوات والتقنيات لكنه كمان بيعلمك العقلية اللي تخليك تفكر زي الباحثين في الأمن السيبراني اللي بيطوروا الحلول وده بيعني إنك هتكون دايمًا سابق خطوة قدام المنافسين الكورس كمان بيغطي إزاي تقدر تطور أساليبك بشكل مستمر علشان تتأقلم مع التغيرات اللي بتحصل في مجال الحماية والأمن السيبراني واللي هو مجال دايم التطور وده بيخليك قادر دايمًا على التخطيط للـAPT بفعالية عالية سواء كنت بتشتغل على اختبارات اختراق قانونية أو حتى لو كنت بتستخدم المهارات دي في بيئة هجومية متقدمة وده بيضيف ليك قيمة كبيرة كهاكر لأنك مش بس بتبقى فاهم الأدوات لكن كمان بتبقى قادر على التفكير زي المطورين اللي بيحاولوا يوقفوك ده رابط الكورس

الشيل اللي موجود في المشروع على GitHub المعروف بـALFA TEAM SHELL TESLA 4.1 هو أداة خطيرة جدًا مصممة بلغة PHP وبيتم استخدامها من البلاك هات لاختراق السيرفرات والسيطرة عليها من غير ما يحتاجوا أي صلاحيات مسبقة الشيل ده معمول علشان يكون سهل الاستخدام وفعال جدًا في استغلال الثغرات اللي ممكن تكون موجودة في المواقع أو السيرفرات زي ثغرات رفع الملفات أو تنفيذ الأوامر عن بعد أو حتى استغلال ضعف إعدادات الأمان الموجودة على السيرفر بمجرد ما يتم رفع الشيل ده على السيرفر عن طريق ثغرة معينة بيقدر المخترق يعمل أي حاجة تخطر على بالك سواء إدارة الملفات زي رفع أو حذف أو تعديل الملفات أو تنفيذ أوامر النظام بشكل كامل كأنه أدمن السيرفر الحقيقي بالإضافة إنه بيقدر يخترق باقي الشبكة المرتبطة بالسيرفر المستهدف من خلال البروتوكولات زي SSH وFTP ده غير إنه بيدعم تعدد الوظائف اللي بتخليه يستخدم في هجمات أكبر زي تحويل السيرفر لبوت يعمل في شبكة Botnet أو تنفيذ هجمات DDoS استخدام الشيل ده بيعتمد بشكل أساسي على اكتشاف الثغرات في السيرفر ورفع الملف باستخدام واحدة من الثغرات دي زي مثلا ثغرات Local File Inclusion أو Remote File Inclusion اللي بتسمح للمخترق يرفع ملفات أو يشغل أكواد على السيرفر الهدف أو ثغرات SQL Injection اللي ممكن المخترق يستغلها علشان يدخل على لوحة التحكم ويرفع الشيل بشكل مباشر لما يتم رفع الشيل على السيرفر لازم يكون متوفر صلاحيات معينة علشان ينفذ الأوامر بشكل كامل وفي بعض الأحيان لو السيرفر مش بيقبل تنفيذ أوامر معينة أو لو الحماية قوية ممكن المخترق يستخدم الشيل ده كقاعدة انطلاق علشان يكتشف ثغرات أو نقاط ضعف تانية في النظام الشيل ده بيتميز إنه بسيط وسهل الاستخدام وده بيخليه خطير جدًا خصوصًا لو اللي بيستخدمه عنده معرفة قوية بالبرمجة وأمن المعلومات لكن على الناحية التانية ممكن يكون أداة مفيدة جدًا لو اتستخدمت بطريقة قانونية زي مثلا في اختبارات الاختراق اللي بتتعمل للسيرفرات علشان تتأكد من سلامة النظام وتأمينه الشيل ده ممكن يكون مفيد لأي شخص مهتم بفهم ازاي بيشتغل المخترقين البلاك هات علشان يقدر يحمي أنظمته رابط الشيل

كارسيت أداة معمولة بلغة بايثون وهي نسخة مبسطة من الأداة الشهيرة سيت بيلت واللي تعتبر من أهم الأدوات اللي بيستخدمها الهكر في مجال اختبار الاختراق والوعي الأمني الأدوات دي بتكون مخصصة لاستكشاف نقاط الضعف في أنظمة ويندوز وجمع بيانات تفصيلية عنها الأداة دي مصممة علشان تساعد البلاك هات أو حتى الريد تيمرز في فهم البيئة التشغيلية للهدف وتحليل مكوناتها علشان يعرفوا يستغلوا أي ثغرة أو نقطة ضعف موجودة بشكل احترافي الأداة بتركز على تحليل شامل للنظام بطرق متعددة وبتدعم تنفيذ الأوامر عن بعد باستخدام امتيازات عالية كمدير النظام علشان الهكر يقدر ينفذ الأداة لازم يجهز البيئة بتاعته الأول ويثبت المكتبات الضرورية زي impacket اللي مسؤولة عن التعامل مع بروتوكولات الشبكات ومكتبة pefile اللي بتستخدم لتحليل ملفات الويندوز الأداة بتشتغل بأسلوب واضح وبسيط وبتسمح للهكر انه يختار ينفذ أوامر فردية أو حتى مجموعات أوامر في نفس الوقت عن طريق كتابة الأوامر في صيغة معينة مثلا لو عاوز تتأكد من وجود برامج مكافحة فيروسات على جهاز الضحية تقدر تكتب

python CarSeat.py domain/user:password@IP

اAntiVirus ولو عاوز تشوف حاجات زي العمليات المثيرة للاهتمام اللي بتكون شغالة أو الملفات اللي بتشتغل عند بدء التشغيل أو حتى الأحداث الأمنية اللي حصلت مؤخرا كل ده متاح الأداة دي مش بس بتوفر أوامر عادية لكنها كمان بتديك القدرة انك تجمع بيانات حساسة زي مفاتيح التشفير وملفات كلمات السر المخزنة وأسماء المستخدمين والأحداث اللي بتوضح مين اللي عمل تسجيل دخول للنظام في آخر فترة وبالتالي الهكر بيقدر يستخدم المعلومات دي في تقوية استهدافاته أو حتى التجهيز لحقن أكواد خبيثة الأداة بتستخدم فكرة المجموعات أو الجروبات اللي بتجمع أوامر مع بعض وتنفذها دفعة واحدة علشان تسرع عملية الفحص والتجميع الهكر اللي بيستخدم الأداة ممكن يستفيد منها في تحليل أنظمة زي تحليل الشبكات السحابية اللي فيها حسابات AWS أو جوجل أو أزور ودي بتكون مفيدة جدا لو عاوز تخترق بيئة تشغيل سحابية كمان الأداة بتقدر تحدد وجود أدوات الدفاع الأمني زي انظمة كشف التسلل أو حتى الجدران النارية وكمان تقدر تستخرج ملفات التاريخ لمتصفحات زي كروم وفايرفوكس ودي ممكن تكشف حاجات زي المواقع اللي تم زيارتها مؤخرا واللي ممكن تساعد الهكر في فهم سلوك الضحية بشكل أفضل لو انت بلاك هات عاوز تستفيد من الأداة دي لازم تكون عندك فكرة قوية عن نظام الويندوز وازاي تقدر تستغل البيانات اللي هتجمعها وتستخدمها بشكل فعال وكمان لازم تفهم كويس ازاي تتعامل مع الأدوات المرتبطة زي كيربيروس أو ملفات الهاش علشان تسهل عملية التوثيق بشكل خفي ومش مكشوف الأداة تعتبر مناسبة لأي هكر محترف لأنها بتجمع بين سهولة الاستخدام والقدرة على تقديم تفاصيل دقيقة وفعالة عن النظام الهدف ودي ميزة كبيرة لأي حد بيشتغل في الاختراق رابط المشروع على جيت هوب

الأداة دي اسمها Thor APT Scanner ودي أداة مهمة جدًا للفرق الأمنية اللي شغالة في الدفاع الـ Blue Team الأداة دي بتُستخدم في الكشف عن التهديدات المتقدمة والبرمجيات الخبيثة على الشبكات الكبيرة باستخدام تقنيات تحليل متطورة زي تحليل السلوك والملفات ومقارنة النتائج مع قواعد بيانات تحتوي على توقيعات التهديدات أو مؤشرات الاختراق اللي هي Indicators of Compromise و لوجات ورسائل تظهر بشكل فوري أثناء الفحص الصورة اللي انت بعثتها بتوضح تشغيل الأداة في بيئة افتراضية أو شبكة داخلية وده باستخدام ملف إعدادات محدد غالبًا بيكون ملف بصيغة YAML الملف ده بيحتوي على تفاصيل السيرفرات أو الأجهزة اللي الأداة هتفحصها وده واضح من قائمة Hosts اللي ظهر فيها أسماء أجهزة زي win-7-s1 و win-2k16dc-s1 دي كلها أسماء للأجهزة اللي الأداة بتمر عليها وتحلل حالتها الأداة بتشتغل من خلال سطر الأوامر وبتعمل فحص شامل لكل جهاز بيتم تحديده وبتظهر لك نتايج الفحص في أكتر من مكان زي Console و Thor Events وده بيتيح تتبع الخطوات اللي الأداة بتنفذها بشكل فوري الأداة مش بس بتكشف التهديدات دي كمان بتحاول تعمل تنظيف للأشياء الغريبة أو الملفات المؤقتة المرتبطة بالتهديدات وده واضح في الرسائل اللي بتتكلم عن Remote Deleting THOR service أو Remote Deleting THOR pioneer service الأداة كمان بتمسح المسارات المرتبطة زي TEMP أو ملفات md5 الخاصة بالتحقق الأداة دي بتفيد أي فريق أمني في حماية الشبكة لأنها بتوفر نتايج دقيقة جدًا وبتشتغل بشكل آلي على أكتر من جهاز في وقت واحد زي ما واضح في خانة Status اللي بتبين عدد الأجهزة اللي شغالة أو اللي خلصت الفحص الأداة دي مش بس مفيدة للـ Blue Team لا دي كمان ممكن الهاكرز يستغلوا المعرفة بيها في تطوير تقنياتهم لفهم طريقة عمل الفحص الدفاعي وبالتالي تطوير أساليبهم لتجاوزها أهميتها في مجال الحماية إنها بتديك رؤية شاملة عن حالة أجهزتك وبتساعدك تعرف لو فيه حاجة غريبة أو مؤشر لاختراق معين وده بيعزز قدراتك في الحفاظ على أمن الشبكة

اي استفسار تواصل معايا : @EIPDZG

لما تيجي تبدأ تفهم أساسيات تطوير البرمجيات الخبيثة أول حاجة لازم تعرفها هي إزاي النظام اللي هتستهدفه بيشتغل من جواه علشان تقدر تلاقي نقاط الضعف اللي ممكن تستخدمها في اختراقه أول نظام لازم تدرسه هو نظام ويندوز لأنه الأكثر شيوعًا وانتشاره بيخليه هدف مهم جدًا خلينا نتكلم عن هندسة ويندوز ونفهم كل حاجة فيه بشكل تفصيلي عشان أي هاكر يقدر يبني أساس قوي في الفهم ونبدأ بنمط المستخدم اللي بيشتغل فيه معظم التطبيقات العادية اللي بنستخدمها يوميًا زي المتصفح أو التطبيقات البسيطة لما تطبيق زي Notepad يشتغل بيتم تشغيله كعملية مستقلة في نمط المستخدم ودي ميزة في النظام لأنه كل عملية ليها المساحة الخاصة بيها في الذاكرة ومش بتأثر على العمليات التانية لكن هنا التطبيقات دي ما تقدرش تتعامل مع الأجزاء الحساسة في النظام زي الذاكرة الفيزيائية أو الأجهزة المباشرة لأنها مقيدة بنمط المستخدم علشان ما تضرش النظام نفسه من أهم الحاجات اللي بتشتغل في نمط المستخدم هي ملفات الـDLL ودي مكتبات بتوفر وظائف للتطبيقات زي ملف kernel32.dll اللي بيشمل وظائف التعامل مع الملفات أو user32.dll اللي بيشمل وظائف التعامل مع واجهات المستخدم وملف ntdll.dll اللي بيكون الوسيط بين نمط المستخدم ونمط النواة وبيساعد البرامج إنها تطلب خدمات من النواة باستخدام آلية الاستدعاء للنظام دلوقتي بقى خلينا نتكلم عن نمط النواة اللي يعتبر عقل النظام ومركز التحكم فيه في النمط ده كل حاجة في الجهاز بتكون تحت السيطرة زي الذاكرة الأجهزة وحدات المعالجة وجدولة العمليات وكل حاجة النظام هنا عنده امتيازات كاملة إنه يعمل أي حاجة زي إنه يحدد إزاي الموارد بتتوزع على التطبيقات أو يتعامل مع الأجهزة بشكل مباشر ولما تطبيق في نمط المستخدم يحتاج يعمل حاجة بتتطلب صلاحيات عالية زي التفاعل مع الأجهزة أو الوصول لموارد النظام الحساسة لازم يتم الانتقال من نمط المستخدم لنمط النواة وده بيتم باستخدام استدعاء النظام اللي هو syscall في الأنظمة 64 بت أو sysenter في الأنظمة 32 بت لما التطبيق يطلب خدمة معينة النظام بينقل التحكم للنواة عشان تنفذ العملية وبعد ما تخلص بيرجع تاني للنمط المستخدم فهمك للآلية دي مهم جدًا لأن البرمجيات الخبيثة بتعتمد على استغلال الفجوة دي أو تلاقي طريقة تتجاوز القيود دي عشان تحصل على صلاحيات أكبر الملفات زي ntdll.dll بتكون هدف مهم للهاكرز لأنها الوسيط اللي بيتعامل مع الاستدعاءات للنظام لو قدرت تتحكم فيه تقدر تتحكم في جزء كبير من تعامل التطبيقات مع النظام بالنسبة لفكرة الفوائد من الانتقال بين نمط المستخدم ونمط النواة فهي واضحة لأن النظام بيحافظ على أمان الموارد الحساسة عن طريق إنه يمنع أي تطبيق في نمط المستخدم من إنه يلمسها مباشرة لكن ده بيخلق فرصة للهاكرز لأنهم لو لقوا طريقة يدخلوا نمط النواة هيكون عندهم القدرة على التحكم الكامل في النظام زي إنهم يقرأوا الذاكرة أو يعدلوا على برامج تانية أو حتى يتحكموا في الأجهزة زي الكيبورد أو الماوس النقطة اللي لازم تفهمها كويس هي إن نظام ويندوز مصمم علشان يفصل بين الأنماط دي بشكل محكم لكن دايمًا في ثغرات ممكن تستغلها وعلشان كده لازم تدرس بعمق وتفهم كل تفصيلة زي إزاي ملفات الـDLL بتتفاعل مع بعضها أو إزاي الذاكرة بتتوزع على العمليات كل التفاصيل الصغيرة دي ممكن تكون المفتاح لاكتشاف نقطة ضعف تخترق بيها النظام وتنفذ أهدافك

🔤🔤🔤🔤🔤🔤 🔤🔤🔤🔤

برنامج XAMPP هو واحد من أشهر الأدوات التي بيستخدمها الهاكرز وخصوصاً البلاك هات في تنفيذ العمليات الهجومية ورفع البوت نت على سيرفرات Apache البرنامج ده بيعتبر بيئة تطوير محلية كاملة بتضم حزمة متكاملة من البرامج والخدمات زي Apache MySQL PHP Perl FTP Server والعديد من المكونات اللي بتوفر للهاكر منصة تشغيل متكاملة تقدر تحاكي بيها سيرفرات حقيقية واللي بيميز XAMPP إن تركيبه سهل جداً ومناسب لأي شخص حتى لو كان مبتدئ لأنه بيجي جاهز بكل المكونات اللي محتاجها أي سيرفر ويب الموضوع بياخد أبعاد مختلفة لما بنتكلم عن البلاك هات اللي بيستغلوا XAMPP في رفع البوت نت وده لأنهم بيعتمدوا عليه لتشغيل سكريبتات البوت نت وإدارتها بشكل فعال ومرن سيرفر Apache اللي بيجي مع XAMPP بيوفر بيئة مثالية لتشغيل الأكواد الخبيثة زي برامج التحكم عن بعد اللي بتستخدم لاستهداف الأجهزة المصابة والسيطرة عليها بالإضافة إلى ذلك XAMPP بيشتغل محلياً على جهاز المهاجم قبل ما يقرر ينقل العملية لسيرفر خارجي وده بيخليه يقدر يختبر ويحاكي الهجمات ويشوف النتائج بدون الحاجة لاتصال إنترنت خارجي ده بيعطيه ميزة في تجنب الكشف عن طريق أنظمة الحماية من الأسباب الرئيسية اللي بتخلي البلاك هات يفضلوا XAMPP إنه بيشتغل على مختلف أنظمة التشغيل زي ويندوز ماك ولينكس وكمان بيدعم كل لغات البرمجة الرئيسية زي PHP وPython وPerl اللي كتير من البوت نت الحديثة مبنية عليها وعلاوة على ذلك الهاكر بيقدر يستخدم MySQL اللي بييجي مع XAMPP في إدارة قواعد بيانات البوت نت اللي بتحتوي على معلومات الأجهزة المصابة وطرق الاتصال بها XAMPP كمان بيتميز إنه بيتيح خيارات كتيرة للتخصيص زي تغيير البورتات أو إضافة موديولات معينة لتوسيع إمكانياته وده بيساعد الهاكر إنه يتجنب أنظمة الحماية اللي ممكن تكتشف العمليات الهجومية بسهولة لأنه بيقدر يغير أي إعدادات حسب الحاجة كمان بيستخدم البلاك هات XAMPP لأنه بيمنحهم مرونة في نقل الملفات الخبيثة باستخدام FTP Server المدمج في البرنامج ده بيخليهم يقدروا يرفعوا الملفات بسهولة على السيرفر المحلي أو حتى يشاركوا الملفات مع أجهزة مصابة الدور الرئيسي لبرنامج XAMPP في عمليات البلاك هات بيتضمن إدارة البوت نت وتنفيذ الأكواد الخبيثة اللي بتتحكم في الأجهزة المصابة وكمان تشغيل السيرفرات الوهمية اللي بتستخدم لإخفاء الهوية وتضليل أنظمة الحماية ده بالإضافة إلى إن Apache Server بيعتبر نقطة البداية لتشغيل سكريبتات الفدية والتجسس وسرقة البيانات لأن بيئته المفتوحة بتسمح بتشغيل أي سكريبت بدون قيود تقريباً وفي النهاية XAMPP بيبقى أداة أساسية في ترسانة أي بلاك هات بسبب سهولة استخدامه مرونته ودعمه الكامل لتشغيل أكواد معقدة وخطيرة ⚔️⚔️⚔️⚔️⚔️⚔️⚔️⚔️ عشان تحمل البرنامج زور الرابط ده

صور توضيحية للبروسيس