السلام عليكم ورحمة الله
رمضان كريم
قبل ان أدخل أخي القارئ في صلب المقالة لابد من التمييز وتسليط الضوء على نوعين من ملفات
الــ Autorun :
1- النوع الأول استطيع القول بانه كلاسيكي بسيط تستطيع التعرف عليه وعلى أوامره
.. بقراءة اقتباس اخونا مشرف القسم لمقالة أجنبية على مدونته الخاصة:
صورة لملف أوتران كلاسيكي:
2- النوع الثاني كان الفضل بظهوره لكاتبي دودة Kido (ملف ثنائي وليس ملف نصي تقليدي )
صورة لملف دودة Kido
سنناقش اليوم النوع الثاني من هذه الملفات عبر الاجابة عن الاسئلة التالية:
1-الغرض من كتابة هذه الملفات بهذه الطريقة ؟
2-التعلم كيفية كتابة هذه الملفات ؟
3- الخاتمة: طرح فكرة جديدة كنت قد أضفتها الى اخر Worm فيما يخص هذا الموضوع؟
السؤال الأول: لماذا تم كتابة هذه الملفات بهذه الطريقة؟
في البدايةوأثناء دراستي للملف الـ AutoRun الخاص بدودة Kido عند ظهوره,لاحظت هذا الحجم الكبير والمتغير للملف (الحجم من 50 الى 95 كيلوبايت)
مقارنة بملف AutoRun كلاسيكي عادي(بضعة بايتات) والهدف من هذاهو كما تبرر الشركات الامنية
وهذا اقتباس لاحدها:
اقتباسThe Kido worm inflates the size of its autorun.inf in an attempt to avoid detection by antivirus signature scanners. Binary characters are used to inflate the file size. These binary characters are ignored by the Windows operating system
هو تجنب ماسحات تواقيع الفيروسات من كشف واقتناص هذا الملف بسهولة...
السؤال الثاني: كيفية كتابة هذه الملفات؟
بعد رؤيتي الاولى لملف اوتوران دودة Downadup .. قررت بالمباشرة سريعا" بوضع خوارزمية جيدة لكتابته(هي الانسب من وجهة نظري) تقوم على شيئين:
1- توليد ملفات بحجوم متغيرة عن طريق الكتابة الثنائية للملف
2- حقن الاوامر المراد تنفيذها ثنائيا ضمن ما يسمى (Binary garbage) الكلام التافه الذي سيتجاهله ويندوز عند قراءة تعليمات ملف الاوتران
المخطط النهجي أدناه يبين ألية عمل الخوارزمية:
مثال: لنفترض بأنك تريد تنفيذ الاوامر التالية في ملف اوتران من الصنف الثاني:
[AuTORuN] oPen=WormName.exe e icOn=%SystemRoot%\sYsteM32\sHElL32.dlL,4 ActIon=Open folder to view files ShelL\Open\CommANd=WormName.exe e ...... ......
قمت بكتابة هذا الكود لمطوري VB6 و VB.NET 2008 للتحميل :
صورة للبرنامج :
صورة لملف الاوتران الناتج ذو الحجم المتغير من 40 الى 75 كيلو (يمكن زيادة الحجم بزيادة متحولات الخوارزمية)
لاحظ توضع أمر من أوامر الملف (ضمن المستطيل الاحمر)
السؤال الثالث : الفكرة الجديدة التي كتبتها تنطلق من التالي:
أولا":
تعلم عزيزي القارئ ان القيم الافتراضية لنظام التشغيل ويندوز بما يخص Autoplay
نستنتج من الصور أعلاه أن معظم أنظمة التشغيل سوف تظهر نافذة الـ ActIon لاختيار ما تريد تشغيله عند ادخال ميموري فلاش مثلا"
ثانيا":
الان لو اردت استثمار هذه القيم الافتراضية لخداع المستخدم بكتابة الامر التالي :
ActIon=Open folder to view files
السؤال ماذا لو كانت واجهة نظام التشغيل هي العربية مثلا" ماذا سيعرض ويندوز؟
الجواب على ذلك في الصورة أدناه:
(لاحظ هذا التعارض في اللغات - ايا" كان غباء المستخدم سوف يشك بان هناك Malware)
اذا" ماهي العبارة الصحيحة التي سوف نحقنها عند كتابة ملف الاوتران؟ بمعنى ما هي اللغة التي سنكتب بها العبارة داخل الملف؟
ان 90% من الحالات تفترض بأن الشخص حامل الـ Malware في الفلاش ميموري والشخص المهيأ لاستقبالها في حاسبه
لابد ان يكونا في دولة واحدة (اي لهم نفس اللغة)(اذ لا يعقل لشخص عربي ان يضع الميموري في حاسب شخص يتكلم الروسية مثلا", من اين يأتي بهذاالصديق؟!)
اذا" لتفادي هذه المشكلة لابد من قراءة هذه العبارة اولا" من الجهاز المصاب قبل حقنها في ملف الـ Autorun ..ان قراءةالقيمةالتي تحمل الـ ID رقم 17154
من String Resource في مكتبة الربط Shell32.dll تفي بالغرض أو يمكنك قرائتها مباشرة من مفتاح الريجستري التالي :
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
انظر الصورة :
نعم ... ان فعل ذلك بسيط جدا"و يعزز ويزيد احتمال الاصابة أليس كذلك؟ ..(صحح لي ان أخطأت... فــ هندستي ليست في الحاسوب!!!! :blush: )
سلام
