نتوقف بالكورسات لفترة راح نرجع ننزل منشورات على شكل شَرح مثل قبل ، غداً .. خليكم جاهزين ❤️

CH : @SparkSecurity

يوم من الايام جان كدامي تحدي امني من النوع الصعب جداً ، نظام كامل كان مصاب بـ Rootkit هذا النوع من البرمجيات يتميز ب انه يكون مخفي وحسب تطور الروت كت مُمكن Anti-Virus مايكشفة ويتخطى الحماية ، كل المؤشرات بالنسبة الي كانت تشير ان الطريقة الوصوصل للحل هي تحليل الذاكرة العشوائية الميموري Memory Dump Analysis بديت بالعملية ب انشأء تفريغ للذاكرة باستخدام ادوات متخصصة والهدف جان واضح جداً هو انو اكتشف العمليات المشبوهة ف عناوين الميموري جانت مثل خريطة مليانة بالنقاط بعضها جان واضح والاخر مخفية ، اعتمدت على تقنية البوينترس ( المؤشرات) لتتبع العمليات داخل النظام ، البوينترس مثل الخيط يوصلك بين النقاط المختلفة داخل الذاكرة ومع الوقت كدرت ابني صورة شاملة كاملة لما كان يحدث داخل النظام ، العملية استغرقت 3 اشهر محاولات طبعاً اول خطوة نفذتها هي تحليل العمليات الجارية ( Running Process ) ومقارنتها بالبيانات المخزونة انتقلت بعدها الى استعراض RawData بمعنى انو البيانات الخام لان تكون مرتبطة بكل عنوان ذاكرة وهنا جانت الصدمة انو شفت بيانات مشبوهة تتصل بملفات النظام تبدو مابيها شي وطبيعية لكنها ب الواقع جانت معدلة من قبل الروت كت الموجود بالنظام مع المقارنة وضح هالشي بالنسبة لفك التشفير استخدم اداة تحليل مثل Volatility Framework اداة قوية لتحليل الميموري بالاضافة الى برامج تحرير بيانات مثل Hex Editors واللي جان متابع الستوريات ع الانستكرام من فترة جنت انشر عن الداتا من فترة لان العملية تتطلب جهد ووقت وتحليل مستمر عبر استرجاع المسارات والبوينترات كدرت احدد الكود البرمجي الملوير

يتبع ...

CH : @SparkSecurity

الكود البرمجي المرتبط ب الروت كت بعد تحليل جان عبارة عن
Kernel-Level RootKit
وهذا النوع من البرمجيات يعتبر من اخطر انواع لانه يعمل على مستوى نواة النظام الكيرنل مما يتيح الة صلاحيات واسعة للتحكم ب النظام واخفاء نفسة عن ادوات كشف كشف تقليدية الية عمل الكود هو جان يستغل درايفر وهمي يتم تحميلة اثناء اقلاع النظام هذا الدرايفر كان يحقن نفسة ب العمليات الاساسية للنظام مثل lsass.exe وsvchost.exe يسوي عمليات اعادة توجية الفانكشنات System Calls بحيث تخفي العمليات المرتبطة بيه وظيفة الروت كت هذا هو اخفاء الملفات واخفاء العمليات وفتح Backdoor للنظام العمليات اللي جان يديرها الروت كت ماتظهر بقائمة السيرفس لما تفتح التاسك منجر او حتى بعض ادوات التحليل العمليات الكود كان مشفر باستخدام خوارزمية لاخفاء الكود البرمجي بعد فك التشفير مكتوب بلغة C وكان يستخدم API من نواة النظام (Kernel API) مثل NtQuerySystemInformation وZwWriteVirtualMemory للتلاعب ببيانات النظام استخدمت أدوات مثل Volatility Framework لتحليل العمليات المشبوهة واستخراج ملفات الـ Driver الخبيث. سويت عملية حذف لـ جميع الإدخالات المتعلقة
بالـ Rootkit من Registry من خلال هذا المنشور نكتشف انو تحليل الذاكرة احد مفاتيح الحل الـ Memory Dump Analysis أعطاني نظرة عميقة داخل النظام،

CH : @SparkSecurity

نصيحة ❤️

التحليل الرقمي (Digital Forensics) يكشف أسرار Malwares المخفية داخل أنظمة التشغيل أحد أخطر التهديدات التي يمكن أن تواجهها هو
الـ Rootkit، اللي يشتغل على اختراق نواة النظام (Kernel) لإخفاء نفسه وتنفيذ أوامر المهاجمين لتفادي هذا النوع من التهديدات، يجب أن تطور مهاراتك في تحليل الذاكرة وتحليل العمليات المرتبطة بالنظام استثمر ب تعلم الأدوات المتخصصة وابحث عن التهديدات بشكل عميق تذكر، الخبرة تبدأ من الفضول والممارسة!

الأدوات المستخدمة في التحليل
Volatility Framework

لتحليل بيانات الذاكرة العشوائية (Memory Analysis) واكتشاف العمليات المشبوهة
Rekall Framework

أداة قوية أخرى لتحليل الـ Memory Dumps بطرق متقدمة
Process Hacker

لفحص العمليات النشطة في النظام وكشف العمليات الخفية.
Sysinternals Suite (من مايكروسوفت)

أدوات مثل Autoruns، وProcess Explorer، وTCPView للتحقيق في العمليات والشبكات
WinDbg

أداة تصحيح الأخطاء (Debugger) لتحليل العمليات والذاكرة على مستوى منخفض
IDA Pro

لتحليل الكود (Static Code Analysis) للـ Rootkit أو أي كود مشبوه
HxD

محرر Hex لتحليل بيانات الملفات والذاكرة الخام
Live CD (مثل Kali Linux أو Ubuntu)

لاستخدام نظام تشغيل خارجي للوصول إلى الملفات المصابة دون تشغيل النظام المصاب

CH : @SparkSecurity

المصطلحات التي يجب البحث عنها
Memory Dump Analysis
Kernel-Level Rootkit
System Calls Hooking
Volatility Plugins
Pointer Arithmetic
Hidden Processes
TCP Connections Monitoring
Static vs. Dynamic Analysis

CH : @SparkSecurity

RAMMap v1.61

RAMMap allows you to see how the Physical Memory (RAM) on the computer is being used. You can see how much RAM there is, for what purpose it is being used, and if there has been any memory pressure (not enough memory). We also cover a lot of Memory Management theory to understand the data in RAMMap.


CH : @SparkSecurity

منشور جديد على الانستكرام 💜

اضغط هنا لمشاهدة المنشور

CH : @SparkSecurity

كِتاب بعد قليل من الكتب الفخمة وسعره 45$ 👀

وأكيد مجاناً إلكم 😉.

CH : @SparkSecurity

‏📘Pro Windows Subsystem for Linux (WSL): Powerful Tools and Practices for Cross-Platform Development and Collaboration


هذا الكتاب هو دليلك العملي لاستخدام WSL بكل احترافية، إذا كنت تريد تجمع قوة لينكس مع بيئة ويندوز وتبني بيئة تطوير قوية ومتناسقة الكتاب ياخذك خطوة بخطوة ويعلمك شلون تستغل أدوات لينكس مباشرة على ويندوز، بطريقة تخليك تعيش تجربة النظامين بدون تعقيد

شنو راح تستفاد؟ 👀
- تشغيل أوامر لينكس على ويندوز بسهولة وكأنك تشتغل على لينكس.
- بناء مشاريع متكاملة: تطوير باستخدام أدوات النظامين بوقت واحد
- أفضل أساليب التطوير: تحسين كفاءة شغلك وسرعة إنجاز المشاريع ،إذا فريقك يشتغل على ويندوز ولينكس، WSL هو الحل

CH : @SparkSecurity

Snadbox 📦

تخيل يوصلك ملف غريب او برنامج مشبوهة وماتعرف اذا هو امن او خطر ، الحل هو بيئة عمل مُقيدة بالامن السيبراني نسميها Sandboxing

شنو يعني الـ Sandboxing ؟ 🌐

هو مكان افتراضي يتم عزل بيه البرامج والملفات عن النظام الاساسي حتى لو كان الملف او البرنامج " Malware " مستحيل ياثر على جهازك او بيانات ب حاسوبك الاساسي ، يعني تجربة آمنة من غير مخاطرة

ليش الـ ساند بوكس مُهم ..

من خلالة نكدر نسوي الكشف المبكر وتحليل ونجرب بدون خسائر بمعنى انُ محاولات الاتصال بسيرفرات مشبوهة او تعديل الملفات من خلال الساند بوكس نكدر نراقب الملفات اذا تسوي هذا الشي من محاولات اتصال بسيرفرات خارجية نراقب سلوك البرامج وكل العمليات اللي تجري تعرف شلون البرمجية هاي تشتغل وتفهم ميكانيكية الهجوم نفسه كل شي يصير داخل البيئة الافتراضية هاي ميأثر على جهازك الاساسي ، معزول


اذا تريد تاخذ الامور لمستوى اقوى شي تكدر تستخدم Vmware

مثل ما نعرف انُ الفي أم وير هو بيئة افتراضية كاملة تكدر تنصب بيها انضمة تشغيل مختلفة وتتحكم بيها كانها اجهزة مستقلة

شنو اللي يخلي الـ VM قوي يعني اذا اشتغل فد كود برمجي ونعتبر هذا الكود البرمجي هو ملوير وخربت النظام ، نرجع للنقطة القبلها ، صور لحضية للنظام اللي هي الـسناب شوتس ( Snapshots ) بنفس الوكت نكدر نسوي تكوين لشبكات افتراضية خاصة يعني الـ VPN و الـ Proxies وغيرها وهذا الشي يسمحلك تحاكي هجمات حقيقية على بيئة معزولة

🌟 نصيحة احترافية

دائماً جرّب البرمجيات والملفات المشبوهة داخل بيئة افتراضية لا تثق بأي شي حتى لو كان من مصدر موثوق واستخدم الـ VMware كأداة تحليل متكاملة تضيفها لترسانة أدواتك.

CH : @SparkSecurity

مو تنزل الفايروس بحاسبتك وتنقلة للـVmware ، هنا كل شي مسوينا لعد 🤣

شلون EDRs تراقب الـ API Calls وشلون نكدر نلتف عليها؟ 🤔


أغلب أنظمة كشف التهديدات EDRs (Endpoint Detection and Response) تعتمد على متابعة استدعاءات الـ API عن طريق الـ DLL Hooks. مثلاً، لما برنامج يستخدم kernel32.dll لاستدعاء دوال ويندوز، واللي بدورها تستدعي الـ Native API في ntdll.dll، الـ EDR يربط نفسه بهالملفات ويراقب أي استدعاءات مشبوهة مثل VirtualAlloc أو CreateThread، لأن هاي الدوال غالباً تُستخدم لتحميل الشل كود (Shellcode)

تمام لحد هنا هنا تمام


⚠️ ملاحظة
هاي العملية بيها تفاصيل وتقنيات عميقة تتطلب خبرة مسبقة بالـ EDR Bypass والـ Malware Development، فدير بالك وانت تشتغل. وإذا كنت مبتدئ بهالمجال، حاول تفهم الخطوات قبل التجربة

هاي الطريقة تشرح خطوات وتكنيكات متطورة بالـ Red Teaming اللي تركز على تجاوز أنظمة الحماية مثل OpenEDR والـ Windows Defender
خلي بالك، الشرح هنا تعليمي فقط


CH : @SparkSecurity

راح نستخدم مكتبة Dlnvoke واللي فكرتها الاساسية هي نسخ الـ DLLs داخل الذاكرة وتحميل استدعاءات الـ API ديناميكياً بدلا من الاعتماد على استدعائات جاهزة من الـ DLL

مكتبة Dlnvoke
رابط المشروع على GitHub
-
البيئة اللي نشتغل بيها راح تكون ك التالي

Windwos VM مثبت عليه Visual Studio
مفعلين بيه Windows Defender وOpenEDR، ويا مستثني مجلد
الـ Administrator Documents حتى نشتغل بحرية

شلون نعدل على شل كود موجود؟ 🤔

بدلاً من البدء من الصفر، نكدر نعدل على مشروع جاهز لشيل كود لودر باستخدام DInvoke المشروع الأصلي تم تطويره بواسطة Kara-4search

🔗 مشروع Kara-4search على GitHub
رابط المشروع

بعد ما تفتح المشروع داخل Visual Studio، راح تلكي الكود يحتوي على شيل كود هارد كودد (Hardcoded Shellcode)، وكل اللي عليك تبدل الشيل كود الموجود بشيل كود خاص بيك

CH : @SparkSecurity