تلغيمة autoit سهلة

-
في هذا المقال سأشرح فك تلغيمة autoit مشهورة جدا 

أولا نفحص الملف و النتيجة كانت


مثل ما شفنا autoit

الأن سأستخدم الأداة المشهورة Exe2Aut
بسهولة نسحب الملف عالأداة و رح يظهرلنا الأتي


كما نرى وظيفة السكربت نسخ الملف 111 للتيمب و نسخ الملف الملغوم add list أيضا و تشغيل الملفين 
الأن سأنتقل لتحليل الملف 111
يبدو إنه مبرمج بمنصة دوت نيت و سأقوم بتحليله باستخدام dnspy


ندخل لنقطة دخول البرنامج و نستعرض 





أولا يتم عمل سليب لمدة 25000 ميلي ثانية ثم يتم اضافة قيمة ريجستري لتشغيل الملف مع كل بدء تشغيل
ثانيا يتم تنفيذ دالة wde()
التي كما سنرى الأن مسؤولة عن فك الملف و تشغيله لذلك سأضع نقطة توقف و أشغل البرنامج


عند الوصول كما في الصورة بالأسفل سيكون قد تم فك الملف و حفظه بالذاكرة يالي بمثله المتغير rawassemply



رح نستعرضه و نعمله حفظ 


طبعا بعد ما حفظناه للملف بعد الفك نفحصه و نرى إنه أيضا مبرمج بالدوت نت لذلك بعد استعراضه بال dnspy
نرى التالي و يبدو كل شيء واضح 


تعليقات

إرسال تعليق

المشاركات الشائعة من هذه المدونة

Oman National Cyber Security CTF Quals \ GUI I

-
صورة
  The challenge: Category : Malware Reverse Engineering Level : easy   Points : 50 The correct input is the flag,format flag{xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx} Challenge Link : https://s3-eu-west-1.amazonaws.com/hubchallenges/Reverse/GUI.exe The solution :  I open the GUI.exe using dnspy tool because it is a .net file  it contains form with 8 check boxes and button and 4 labels when you hit the button the label will change to number  when i take a look at the button click event i saw this the code is very simple  every time the button clicked it takes the number 2 raised to the power num2 num2 is the index of the checkbox that we checked it from array  then calculate the result and store it in num  so we Jumped into conclusion : checkbox1.checked = array(0) >> num = math.pow(2,0) = 1 checkbox2.checked = array(1) >> num = math.pow(2,1) = 2 checkbox3.checked = array(2) >> num = math.pow(...
قراءة المزيد

Hook-me write up

-
صورة
Syria National CTF (Finals) Hook-me challenge we had an android app named hook-me, back to the time of the competition we solved the challenge by de-compiling the apk and patching the smali code then recompile the app and signing it to get the flag , since that time i felt there should be another way to solve it using hooking so  i decide to write this write-up after finding the second way to solve this hook-me . by de-compiling the apk and viewing its source code using apktool and dex2jar or simply using Jadx if you have no idea what i'm talking about then i recommend you read this guide Android App Reverse Engineering 101 then back to continue reading this post. when you view the source code you will see the following : as you see we have to change DoSomeMagic(55); to DoSomeMagic(256); then the flag will be displayed so to do this without patching the apk we can use a great tool called Frida but i never used it before so i have to read the documentation https://frida.re/docs/andr...
قراءة المزيد

vbs malware المرض الذي ما زال مستشري

-
صورة
بدأت القصة في صبيحة يوم ماطر و الملل عم ياكل بعقلي ...فجأة يأتيني رابط ("عأساس برنامج اختراق الفيسبوك....بلا...بلا...بلا") كالعادة شفت الرابط الرابط كان تابع ل "http://rgho[.]st" أنا طبعا فتحت الرابط ...حملت الملف الذي كان للأسف ملف vbs حللتوا الكود و طلع مجرد encoded worm يعني شوية تمويه ....المهم أنا خطر على بالي فكرة ...وضعت بمربع البحث "vbs." لأتفاجأ بالكم الهائل من الملفات يالي كل أسمائها بتوحي بأنها ملوثة(كان موجود ملفات عمرها بالسنتين عالاستضافة..هل يعقل هالشي من الاستضافة ..كيف بتسمح بتواجد هالملفات) فضولي دفعني حمل مجموعة من هالملفات و حللها كان الشي الملاحظ وجود ملفات غير مشفرة حتى و لا زالت موجودة عالموقع مثل يالي بالصورة تحت الملفات ما كانت فقط worms...كان في عبارة عن ناسخ أو دروبر dropper فيروس تاني بصيغة تنفيذية (نجرات-سايبر غيت-بيفروست......) مثال عليه الملف يالي بالصورة تحت لما فكيت تشفيرو و تبين إنو ملف بينسخ قيم هيكس لسيرفر نجرات بمجلد ال temp  بالصورة تحت مثال عالكود المستخدم بحفظ القيم  و تنفيذها.... المشكلة الكب...
قراءة المزيد