برمجة مضاد لفيروس shodi واستئصال الفيروس من الملف التنفيذي المصاب

اقتباس

وصديقي يسال عن حل ؟

لان جهازه مصاب، وبه تطبيقات العمل...

كم يدفع $ حتى نقوم بعمل ذلك :P التطبيقات غالية هذه الايام :D اليس لديه ال source لكي يقوم بانتاجها مرة اخرى :D

اقتباس

نريد كتابة برنامج يستاصل الفيروس من الملف التنفيذي وطبعا نبرمجه بدلفي

فكرة جميلة يا D معك باذن الله في العمل

المعلومات من المواقع غير كافية نهائيا, فكيف سوف نعرف ما هو الجزء الذي اضافه هذا الفيروس على ال exe حتى نقوم بعد ذلك بنزعه

انا شخصيا لم اعمل هكذا شيئ من قبل, و لكن يبدوا ان الامر ممتع و يستحق التجربة :^) افضل من قواعد البيانات المملة :s

اذا كان لديك نسخة عن الفايروس ارسل نسخة او ضع رابط لتحميله لنقم بدراسته

مع ان الكاسبركسي هو افضل فاحص يقوم على اصلاخ الخلل والابقاء على الملف سالم استغرب ناذكرته ...؟؟؟

هناك طريقة ظريفة لاسترجاع الملف الأصلي إذا كان مصاب بهذا الفيروس, وذلك تبعا لشرح كيفية عمله في موقع Symantec

اقتباس

When a file infected with W32.HLLP.Shodi.B is executed, the virus does the following:

Extracts the original host file to a file with a .ogr extension, and then executes it

ثم نسخ الملف ذو اللاحقة ogr والذي يمثل الملف الأصلي

ثم إنهاء التنفيذ

ثم حذف الملف المصاب

ثم إعادة تسمية الملف الذي نسخناه

:D

fh_feras You Hit The Nail

هذا هو الهدف من وضع الروابط، ومعظم من مر بالموضوع لم يتفحصها جيدا

-

من برمج هذا الفيروس ليس مبرمجا جيدا

بحيث لا يعرف كيف يصيب الملفات التنفيذية

فكان حله هو تخزين الملف المصاب داخل الفيروس

وعند تنفيذ الملف المصاب يقوم الفيروس باستخراج الملف السليم بلاحقة .usr مثلا

وينفذ الملف ذو الاحقة .usr

طبعا اللاحقة تختلف حسب الفيروس لان له اصدارات مختلفة

Shodi.a

Shodi.b

Shodi.d

...

waeldalol كتب:

كم يدفع $ حتى نقوم بعمل ذلك :P التطبيقات غالية هذه الايام :D اليس لديه ال source لكي يقوم بانتاجها مرة اخرى :D

لن يدفع شيئ :D

السوق مضروب...وفرص العمل شحيحة

fh_feras كتب:

تنفيذ الملف المصاب

ثم نسخ الملف ذو اللاحقة ogr والذي يمثل الملف الأصلي

ثم إنهاء التنفيذ

ثم حذف الملف المصاب

ثم إعادة تسمية الملف الذي نسخناه

:D

تنفع لكن تنفيذ الملف يؤدي لإنتشار الفيروس وانتقال العدوى لملفات تنفيذية اخرى

ولا نريد هذا...

نريد ان نبرمج...نستخدم دلفي...

هيا شيئ من التفكير يا شباب

هذا ملف مصاب بالنسخة d

قمن بتغيير اسمه من exe ل ex لكي لا ينفذ عن طريق الخطاء

والملف مضغوط بكلمة سر virus

sibus.rar

ان دمج ملف الفيرس يتم من خلال وضع اكواد الفيرس بعد او قبل اكواد الملف بعد او قبل الملف المصاب و يمكن روئيتها باي محرر هكس الفكره هي ان يتم قرائه الملف و البحث عن قيمه معينه الي قيمه معينه و يتم حذف ما بينهما

master of all كتب:

ان دمج ملف الفيرس يتم من خلال وضع اكواد الفيرس بعد او قبل اكواد الملف بعد او قبل الملف المصاب و يمكن روئيتها باي محرر هكس الفكره هي ان يتم قرائه الملف و البحث عن قيمه معينه الي قيمه معينه و يتم حذف ما بينهما

اعد قراءة ما هو مكتوب فوق

الأمور داءما اسهل مما نتوقع... فقط نحتاج لنعرف كيف :D

ولعلمك 5 دقائق كافية لبرمجة مضاد يستخرج الملف الأصلي 100%

رؤية ملف مصاب هي الخطوة الأولى «والأخيرة في حالة هذا الفيروس» لعمل مضاد له

شكرا لتحميلك للملف المصاب

اقتباس

نريد ان نبرمج...نستخدم دلفي...

لقد اطلعت على الملف المصاب ولاحظت بصمة الفيروس الذي يستخدمها للصق البرنامج الأصلي وهي كالتالي:

Integer ويمثل موقع بداية الملف الأصلي

Integer ويمثل حجم الملف الأصلي

String البصمة ومحتواه USR_Shohdi_Photo_USR

وبهذا فقد أصبح صنع مضاد لهذا الفيروس أمر سهل

اقتباس

ولعلمك 5 دقائق كافية لبرمجة مضاد يستخرج الملف الأصلي 100%

ملاحظة: إن حجم الفيروس كبير جدا 600 كيلو بايت

اقتباس

من برمج هذا الفيروس ليس مبرمجا جيد

ملاحظة أخيرة: ملفك المصاب يا أخ محمد حجمه 4 كيلو بايت ليش مكتر! :D

SVFixer_Bin.zip

SVFixer_Source.zip

جيد

مبرمج الفيروس كان يضيف الملف الضحية لنهاية الفيروس ويسمي الملف بنفس اسم الضحية

شيئ مثل :

copy /b virus.exe+target.exe
del target.exe
ren virus.exe target.exe

fh_feras كتب:

ملاحظة أخيرة: ملفك المصاب يا أخ محمد حجمه 4 كيلو بايت ليش مكتر! :D

اخوك هاوي ملفات صغيرة :)

عامة استخدم ملفات صغيرة كطعم للفيروسات

بالمناسبة ما رايك بالملف 4k وما يعمل

يبدوا ان فكرة الفيروس سهلة و لم تكن كما اتوقع

اقتباس

مضاد الفيروسات لكسبرسكي يحذف الملف التنفيذي المصاب

استغرب هذا منه حيث ان طريقة مداوات الملف ليست صعبة مقارنة بالفيروسات الاخرى

D: راسل كسبرسكي و قل لهم عن الامر :P لعلهم يضعوك في ال about تبعهم :D

fh_feras: لقد قمت بالعمل لوحدك و لم تدع لنا شيئ

اقتباس

اخوك هاوي ملفات صغيرة

و لكنك لم تستطع منافسة الاخ dj-sibe عندما طرح مشاركته حول اصغر برنامج و التي الى الان لم يشرح لنا كيف قام بعمل ذلك

مبرمجوا الاسمبلي يتقنون صنعة البرامج الصغيرة بشكل اكبر

اقتباس

بالمناسبة ما رايك بالملف 4k وما يعمل

رهيب جدا

موضوع جميل وشيق والله

بس للعلم السيمانتك عمل له كلين!!!

waeldalol كتب:

يبدوا ان فكرة الفيروس سهلة و لم تكن كما اتوقع

الأمور دائما اسهل مما نوقع....لكن بعد ان نعرف كيف :)

waeldalol كتب:

D: راسل كسبرسكي و قل لهم عن الامر :P لعلهم يضعوك في ال about تبعهم :D

waeldalol كتب:

و لكنك لم تستطع منافسة الاخ dj-sibe عندما طرح مشاركته حول اصغر برنامج و التي الى الان لم يشرح لنا كيف قام بعمل ذلك

مبرمجوا الاسمبلي يتقنون صنعة البرامج الصغيرة بشكل اكبر

لا تحب التحديات...لكن في حالة وجود شرح ساشارك ببرنامج اصغر :)

بالمناسبة اول نسخة من هذا الفيروس ضهرت سنة 2004 :)

waeldalol: يمكنك المشاركة بكتابة مضادك لكن دون النظر لسورسfh_feras

اقتباس

يمكنك المشاركة بكتابة مضادك لكن دون النظر لسورسfh_feras

المشكلة اني نظرت الى الكود, و لكن سوف احاول عمل ذلك بطريقة اخرى

اقتباس

و لكن سوف احاول عمل ذلك بطريقة اخرى

ليس هناك فائدة من عمل ما فعله fh بطريقة اخرى, لان ما قام بعمله هو الطريقة المثالية و لا يوجد طريقة اخرى افضل.

لقد قمت بتطوير البرنامج الذي قام بعمله فراس ليصبح Removable Tool لهذا الفيروس

حيث يتم البحث عن هذا الفيروس في مجلد يتم تحديده و بعد ذلك يمكنك اصلاح كل الملفات التي تمت اصابتها بهذا الفيروس.

بقي شيئ واحد, كيف سوف نقوم باصلاح الملف المصاب في حال كان قيد الاستخدام, اذكر انه كان دالة Native API لكي تدلك في حال كان الملف مستخدم ام لا

و لكن لا اذكر اسمها الان, هل سوف نقوم باغلاق البرنامج و من ثم اصلاحه و من ثم فتحه

SVFixer_Source.rar

waeldalol كتب:

ليس هناك فائدة من عمل ما فعله fh بطريقة اخرى, لان ما قام بعمله هو الطريقة المثالية و لا يوجد طريقة اخرى افضل.

يوجد دائما طريقة اخرى على الأقل لفعل نفس الشيئ :D

waeldalol كتب:

لقد قمت بتطوير البرنامج الذي قام بعمله فراس ليصبح Removable Tool لهذا الفيروس

حيث يتم البحث عن هذا الفيروس في مجلد يتم تحديده و بعد ذلك يمكنك اصلاح كل الملفات التي تمت اصابتها بهذا الفيروس.

اي اولا فحص كل البرامج Processes التي تعمل بالذاكرة

في حالة وجوده يتم ايقافه

غير ذلك ستنقل العدوى في باقي المجلدات المفحوصة...

waeldalol كتب:

بقي شيئ واحد, كيف سوف نقوم باصلاح الملف المصاب في حال كان قيد الاستخدام, اذكر انه كان دالة Native API لكي تدلك في حال كان الملف مستخدم ام لا

و لكن لا اذكر اسمها الان, هل سوف نقوم باغلاق البرنامج و من ثم اصلاحه و من ثم فتحه

ادعك تكتشفها بنفسك

قم بتثبيت WinRAR وانظر بمجلده، ثم قم بتثبيته مرة ثانية وانظر في مجلده لتكتشف كيف...

السلام عليكم.

أنا ايضا واجهت هذه المشكلة مع هذا الفيروس وهو منتشر بكثرة في الشبكات.

من خلال مراقبتي للفيروس وجدت انه يقوم بكتابة نفسه في الملفات التنفيذية عن طريق إظافة section في الملف ثم يغير نقطة بداية البرنامج إليها و في اخر القطعة يوجد كود للعودة للبرنامج الأصلي وكما قال الأخ FH بأن البرنامج يضع ملف في مجلد الويندوز بإسم USR_Shohdi_Photo_USR .

بعد تشغيلك للملف المصاب يقوم بإنشاء ملف بإسم أسم الماف المصاب.usr و إعادة كتابة نفسه على املفات الغير مصابة به و اظن أن الفيروس يهدف إلى إستهلاك الذاكرة الظاهرية للنظام و هذا ماحدث في بعض الشبكات حيث ان الجهاز يصبح ثقيل و يكره :s .

DATA_SNIPER كتب:

من خلال مراقبتي للفيروس وجدت انه يقوم بكتابة نفسه في الملفات التنفيذية عن طريق إظافة section في الملف ثم يغير نقطة بداية البرنامج إليها و في اخر القطعة يوجد كود للعودة للبرنامج الأصلي وكما قال الأخ FH بأن البرنامج يضع ملف في مجلد الويندوز بإسم USR_Shohdi_Photo_USR .

بعد تشغيلك للملف المصاب يقوم بإنشاء ملف بإسم أسم الماف المصاب.usr و إعادة كتابة نفسه على املفات الغير مصابة به

من اين لك بهذه المعلومات ؟؟؟؟ وعن اي نسخة من الفيروس تتحدث ؟

هذه المعلومات من خلال مراقبتي للفيروس.

اما النسخة فلست اذكرها لكن هي النسخة المنتشرة اكثر.

DATA_SNIPER كتب:

هذه المعلومات من خلال مراقبتي للفيروس.

اما النسخة فلست اذكرها لكن هي النسخة المنتشرة اكثر.

غريب، كل متغيرات التي اعرفها لا تضيف

هل يمكنك ارفاق نسخة للفحص

محمدعبد العزيز كتب:

هناك طريقة بسيطة جدا

ادعك تكتشفها بنفسك

قم بتثبيت WinRAR وانظر بمجلده، ثم قم بتثبيته مرة ثانية وانظر في مجلده لتكتشف كيف...

نعم أستاذ محمد أنا قمت بتثبيت winrar مرة أخرى ووجدت وجود ملف من نوع tmp

وظهر لي أنه مكتبة ربط ماذا بعد ذلك هل يجب أن نقوم بتحليله.

ليش يا أستاذ وائل ما كملت أدخل وكمل الله يباركلك لأنو صار عندي :blink: confuse والموضوع

بحاجة لخبراء

ودمتم في أمان الله

capture كتب:

أنا قمت بتثبيت winrar مرة أخرى ووجدت وجود ملف من نوع tmp

وظهر لي أنه مكتبة ربط ماذا بعد ذلك هل يجب أن نقوم بتحليله.

ماقصدته من برنامج WinRar هة الفكرة

-

عندما تنثبنه فان به مكتبة RarExt.dll

عند محاولة تنبيته لا يمكن ان يقوم بحذف تلك المكتبة فيقوم بتغيير اسمها

الفكرة انه مع البرامج التي تعمل لا يمكن حذفها و انما يمكن تغيير اسمها مؤقتا و تاجيل حذفها بعد اعادة تشغيل الجهاز Reboot

اقتباس

ليش يا أستاذ وائل ما كملت أدخل وكمل الله يباركلك لأنو صار عندي blink.gif confuse والموضوع

بحاجة لخبراء

و الله انا اسف بسبب الانشغال في الامتحانات و في المشاريع للدراسة عدا عن المشاريع في العمل

سوف نكمل الموضوع باذن الله

اقتباس

عند محاولة تنبيته لا يمكن ان يقوم بحذف تلك المكتبة فيقوم بتغيير اسمها

الفكرة انه مع البرامج التي تعمل لا يمكن حذفها و انما يمكن تغيير اسمها مؤقتا و تاجيل حذفها بعد اعادة تشغيل الجهاز Reboot

رهيب يا محمد :) , لم اكن اعرف انه يمكن تغيير اسم الملف وهو شغال في الذاكرة كنت اظن انه لا يمكن حذفه و لا يمكن اعادة تسميته

سوف اكمل المثال الذي كنت اعمل عليه و ارفقه فيما بعد

يا سادة لم تنهوا الموضوع

ثم الم يكن من المنطقي ايها السادة ان توضحوا لنا كيف يقوم برنامج بحقن نفسه في اخر ؟

romanof كتب:

يا سادة لم تنهوا الموضوع

ثم الم يكن من المنطقي ايها السادة ان توضحوا لنا كيف يقوم برنامج بحقن نفسه في اخر ؟

هو لا يحقن نفسه

وانما يغير لاحقة البرنامج

ثم ينسخ نفسه باسم البرنامج

ثم يضيف نسخة من البرنامج على نفسه بالاسم الجديد

راجع هذا الرد السابق