كيف احصل على قاعدة بيانات للفايروسات؟

كان نفسي اساعدك بس مالى خخلفية بالموضوع

إن شاء الله الأعضاء يساعدوك

مع تحيات مبرمجة جديدة :blush:

كل شركة أمن معلومات غالبا ما يكون لها تواقيع فيروسات تختلف عن الشركة الأخرى، ثم ما هي طبيعة التواقيع في مشروعك: هل هي مثلا MD5 للفيروس، أم قيم عشواءية في الملف، أم ماذا بالضبط.

اتفضل اخوي

هذه قاعدة بيانات clamav وهو مفتوح المصدر

بنصحك تفتحو من داخل winrarعن طريق view file

مشان اتشوف التواقيع افضل من انك تفتحو بالnotepad

---------------------------

طبيعة هذه التواقيع بالhex

وفيها wildcard

database.rar

السلاام عليكم....كنت أنتظر أجاابة على هذا السؤاال من زمااان....لكم جززيل الشكر.... :happy:

A.S Hack كتب:

كل شركة أمن معلومات غالبا ما يكون لها تواقيع فيروسات تختلف عن الشركة الأخرى، ثم ما هي طبيعة التواقيع في مشروعك: هل هي مثلا MD5 للفيروس، أم قيم عشواءية في الملف، أم ماذا بالضبط.

السلام وعليكم اخي

في الحقيقة اني استعمل MD5 للتحقق من الفايروسات

وبما انه نحن نتكلم على الMD5 لدي سؤال بخصوصه :

لقد قمت بعمل برنامج لاستخراج MD5 من البرامج ونجح واستعملت هذه الطريقة لقتل الكثير من الفايروسات ولكن عندما قمت بالبحث في الكوكل لايجاد الMd5 للفايروسات وجدت ان هذه الMd5 لا يتطابق مع الMd5 الذي قمت باستخراجه ؟؟؟؟؟؟؟؟؟؟؟؟؟؟؟ لماذا؟

سأعطيك مثال لكي تفهم قصدي:

فايروس RECYCLER.exe (اظن انك سمعت به) قمت باستخارج التوقيع عن طريق برنامجي (برنامج استخراج MD5 من برمجتي) وهذا هو التوقيع: 6C90F70C5E6F4AB7F99587B29F82A33E واسمه العلمي هو Worm.Win32.AutoRun.hfp

ثم بحثت في الكوكل عن هذا الفايروس ولقد وجدت موقع للفايروسات جيد هو http://www.threatexpert.com/ وهذا الموقع يوفر معلومات عن اغلب الفايروسات في العالم وبحثت عن هذا الفايروس فوجدت ان الMD5 يختلف عن الMD5 الذي استخرجته وهذا هو التوقيع D902A7B3D943E3DCBBAF6007E4B3DDB4 وهذه هي الصفحة http://www.threatexpert.com/reports.aspx?find=Worm.Win32.AutoRun.hfp

لماذا هل لديك جواب لهذه الحالة؟؟؟؟!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

أخي Rasool Micro ...

يجب عليك أولا أن تتأكد من الفيروس الذي ذكرته، هل هو static أم متعدد الأنماط Polymorphism أو Metamorphism ؟؟!

أنْ تستخرج قيمة الـ MD5 ثم تكون تلك القيمة توقيعا للفيروسات، هي طريقة تصلح للفيروسات وحيدة النمط static، لأن الفيروسات من نوع Polymorphism تقوم بتعديل نفسها تلقائيا مما يؤدي إلى قيمة MD5 متغيرة لا يمكن الوقوف على واحدة منها كتوقيع.

ثم هل أنت متأكد من القيمة التي استخرجتها هي قيمة الفيروس النقي؟ فربما قمت باستخراج قيمة الفيروس محقونا في ملف آخر. فتأكد من هذه النقطة كذلك.

في حالة فيروسات Polymorphism فأسهل طريقة لعمل توقيع لها هو البحث عن ما تقوم به بشكل ثابت، فعندما تقوم هذه الفيروسات بحقن أي ملف تقوم بوضع byte flags في الملف المحقون، وفائدة هذه byte flags هو أن لا يقوم الفيروس بحقن نفس الملف عدة مرات، بالتالي ولاكتشاف هذا الفيروس تقوم شركات الحماية باستخراج هذه الـ byte flags من الملف المحقون على صيغة Hex string وستلاحظ أن به العديد من ؟ (wildcards) والـ wildcards هي ما لا يمكن أن يكون ثابتا في التوقيع.

مثال لملفين محقونين بنفس الفيروس:

الملف الأول:

A765BAFFF54FF86B577C875647788FF98866437D986B

الملف الثاني:

A765B444444FF86B522C875643333FF98833337D986B

التوقيع:

A765B??????FF86B5??C87564????FF988????7D986B

لاحظ ما هو أحمر في سلسلة التوقيع، هذه هي البايتات المشتركة في الملفين المحقونين بنفس الفيروس وهي ما عنيته بالـ Byte flags، وعلامات الاستفهام ما هو غير ثابت ويمكن أن يكون أي قيمة، لذلك أثناء عملية الفحص والمقارنة يتم تجاوز الـ ? أو الـ Wildcards.

اخي لقد فهمت قصدك ولكن هل يمكنك ان تزرودني بروابط عن هذا الموضوع؟