Full transcript
0:00هل ترغب في رؤية هيكل جديد ومبتكر لهجمات " كليك فيكس " ( ClickFix ) لم أره من قبل ؟ نعم ، بكل سرور . تحية وشكر لجيري بلانكس على هذه النصيحة ، وعلى مشاركتها وإرسالها لي . أنا متصل بهذا الموقع الإلكتروني ، لكنه يحتوي على لافتة مزعجة لإدارة الموافقة . لذا ، قمت بالضغط على " موافقة " ، وظهر لي
0:16اختبار التحقق البشري من " كلاود فلير " ( Cloudflare ) . لكن ، هذا ليس اختبار تحقق حقيقي من " كلاود فلير " أو تأكيد " لست روبوت " . إنه طُعم لهجمات " كليك فيكس " . آه ، أخبرنا أنك إنسان . يرجى إكمال الخطوات أدناه . اضغط على مفتاح ويندوز مع حرف R ، ثم اضغط على Ctrl و V ، ثم
0:32اضغط على Enter . هذه كذبة . إنها عملية احتيال . إنه هندسة اجتماعية . لا ينبغي لنا الضغط على مفتاح ويندوز مع حرف R ، ثم Ctrl و V ، ثم Enter ، لأننا بذلك سنقوم بتنفيذ تلك البرمجيات الخبيثة . الآن ، ربما يكون المتابعون على دراية تامة بـ " كليك فيكس " ، لأننا غطيناه كثيرًا في هذه القناة .
0:51لقد رأيناه في كل مكان في الجرائم الإلكترونية ، والبرمجيات الخبيثة ، وسجلات برامج سرقة المعلومات ، وبرامج الفدية ، وأنشطة التهديدات المتقدمة ، وأي شيء تريده . لكن ، ألقِ نظرة على هذه الحمولة هنا . هذه الحمولة أكثر ذكاءً ومكرًا مما اعتدنا عليه على ما أعتقد . لم أرَ هذا كثيرًا من قبل . لا أعرف إن كان أي شخص
1:08آخر قد رآه ، لكن انظر إلى هذه الخدعة هنا . إنهم يستخدمون cmd.exe ، أي موجه الأوامر ، أليس كذلك ؟ يستخدمون cmd.exe مع الشرطة المائلة / c لإضافة وسيط لأمر يتم تشغيله ، ويستخدمون حلقة تكرار ( for loop ) للبحث في ملفات تعريف فايرفوكس ، وهو دليل يستند إلى متغير البيئة الخاص ببيانات التطبيقات المحلية (
1:28local app data ) ، مثل بيانات التطبيقات المحلية على جهاز ويندوز الخاص بك ، ويقومون بالمرور على كل ملف ، ثم يقومون بالتحقق من خلال شرط ( if ) إذا كان حجم هذا الملف يساوي 17,635 . إذا تحقق الشرط ، فإنهم ينسخون ذلك الملف ، باستخدام رمز النسبة المئوية لتغليف ذلك المتغير ، إلى دليل
1:48مؤقت باسم t.bat . إنهم لا يعرضون أي شيء من ذلك ، لكنهم يمضون قدمًا وينفذون ذلك البرنامج النصي المؤقت . الآن ، لنفترض أنني فتحت متصفح ويب مختلفًا . لنفترض أنني انتقلت إلى جوجل كروم . ما رأيك في ذلك ؟ دعني أعود إلى نفس الموقع الإلكتروني ، ونفس نوع الطُعم . النقر في أي مكان على هذه الصفحة
2:05هو ما سيؤدي إلى ظهور نافذة اختبار " الكابتشا " . نفس الذريعة تمامًا . لكن ، ما الموجود في حافظة النسخ الخاصة بي الآن ؟ لنضفه تحت مسار فايرفوكس . آه ، بيانات التطبيقات المحلية ، بيانات مستخدم جوجل كروم . دعني أجرب مرة أخرى . نحن نعرف الخدعة هنا . بمجرد النقر في أي مكان يظهر هذا الشيء ،
2:22والذي يقوم بالتحميل المسبق وتسميم الحافظة الخاصة بك بحمولة ضارة . كيف تبدو الصيغة بالنسبة لمتصفح " بريف " ( Brave ) ؟ آه ، نفس النوع من الإعداد تماماً ، لكننا نبحث الآن في بيانات " بريف " . هل ترى ما يفعله هذا هنا ؟ عبر كل متصفحات الويب هذه ، وبغض النظر عن إصدارها ، فهي تقوم
2:39فعلياً بتخزين الحمولة للمرحلة التالية كبرنامج نصي ( Batch script ) خاص بـ ويندوز . لكن السطر البرمجي الذي ستلصقه في مربع الحوار " تشغيل " يقوم في الواقع بنسخ أو جلب تلك الحمولة مما تم تهريبه بالفعل إلى نظام الملفات . يمكننا إلقاء نظرة فاحصة على هذا بالعودة إلى الموقع الإلكتروني . وإذا ضغطنا على F12 في لوحة المفاتيح أو
2:59فتحنا أدوات مطوري المتصفح ، يمكننا إلقاء نظرة على تبويب الشبكة ، ويبدو أنهم يجرون الكثير من الاتصالات بموقع منفصل هو cloudrecycled.com . وإذا قمت بالنقر والتشغيل هنا ، يمكنك رؤية أنه يصل إلى ملف آخر يسمى H حيث يرسلون طلباً إليه . ودعني أوسع هذا قليلاً هنا . يمكنك في الواقع رؤية
3:20أن بضعة طلبات واستجابات تتضمن " وكيل المستخدم " الخاص بنا ، وكأنها تحاول تحديد : " حسناً ، ما هو المتصفح الذي نستخدمه ؟ إذاً ، ما هي الحمولة التي يجب تقديمها ؟ " هذا الموقع ، للأسف ، مخترق ويقدم الآن حمولات " إصلاح النقرات " الضارة هذه المتعلقة بمتصفحك ، ثم يقوم بتهريب حمولة عبر ذاكرة
3:41التخزين المؤقت للمتصفح . لذا ، يمكننا أخذ أي واحد من هذه . دعني ألقِ نظرة على جوجل كروم ولنفترض أننا ذهبنا للنظر في ذاكرة التخزين المؤقت لبيانات المستخدم في دليل بيانات التطبيق المحلي الخاص بي . هناك حفنة من الأشياء هنا ، لكننا نتوقع ربما أن يتضمن الملف الشخصي الافتراضي الكثير من هذا في موقع التخزين
4:01المؤقت ، ونحن نحاول العثور في بعض بيانات التخزين المؤقت على أي شيء يطابق معايير percent tilde zf يساوي 17,600 . ما الذي يعنيه بحق الجحيم percent tilde zf ؟ حسناً ، يمكننا القيام بواجبنا هنا . مجرد بحث سريع في جوجل . دعنا نرى ما تقوله لنا خوارزميات الذكاء الاصطناعي . لا ، ليس كاميرا نيكون بدون مرآة . لست بحاجة لذلك .
4:23في ملفات ويندوز ( Batch ) ، يمثل percent tilde zf حجم الملف . أوه ، حسناً ، نحن نحاول العثور على عدد البايتات ، حسناً ، ربما 17 كيلوبايت . هل لدينا أي شيء داخل بيانات التخزين المؤقت يبدو قريباً من ذلك ؟ هذا واحد ، ربما 18 كيلوبايت عند تقريبه . أوه ، 17.2 ، يمكنك رؤيته
4:44في أقصى اليسار في الأسفل . إذا ألقيت نظرة على الخصائص هنا ، نعم ، الحجم متطابق . إذًا ، يجب أن تكون تلك بيانات مؤقتة من متصفح الويب الخاص بك وهي عبارة عن حمولة برمجية دفعية ( batch ) . دعني أضعهما جنبًا إلى جنب حتى أتمكن من سحب هذا إلى Sublime Text ، وحسناً ، ها هي حمولتنا للمرحلة
5:02التالية . بالمناسبة ، هناك شيء آخر يمكنك القيام به هنا إذا لم تكن ترغب في التعمق في البيانات المؤقتة ، يمكنك البدء من دليل بيانات المستخدم الذي ظهر لك داخل نص الحمولة الأصلي . لذا ، إذا قمت بسحب المجلد بأكمله ، فما أحب فعله بصراحة هو الضغط على Ctrl + Shift + F للبحث في جميع الملفات هنا . إذا
5:22افترضنا أن هذا سيكون ملفًا دفعيًا ، فما هو المؤشر الأكثر احتمالاً في نص برمجي دفعي ؟ على الأرجح هو echo off . لذا ، إذا قمت بالبحث عن ذلك ، فسنراه هنا مباشرة في الملف نفسه الذي وجدناه للتو يدوياً . والآن ، يمكننا البدء في الشعور ببعض الفضول . ما الذي تفعله حمولة المرحلة التالية هذه ؟ مهلاً ،
5:41بسرعة كبيرة ، قبل أن نستمر في التعمق أكثر ، دعوني أستغرق لحظة للحديث عن راعي فيديو اليوم ، Keeper Security . لا يحتاج المخترقون دائمًا إلى كلمة مرور للاختراق . إنهم لا يحتاجون إلى استهداف شخص أو أي إنسان على الإطلاق . اليوم ، تعد الهويات غير البشرية واحدة من أكبر المخاطر التي تهدد أمنك . وقد خمنت ذلك ، إنها وكلاء
6:01الذكاء الاصطناعي التي تنتشر في كل مكان . هناك مئات المرات من الهويات غير البشرية مقارنة بالمستخدمين البشر ، ومعظمها لديه وصول معتمد بدون أي رقابة . لكن ، يمكن لـ Keeper Security حماية مؤسستك من خلال منصة أمان الهوية ذات الثقة الصفرية التي تستخدمها أكثر من 95 ألف مؤسسة وملايين
6:21المستخدمين . إنهم يكتشفون الهويات في السحابة ويقفلونها في خزائنهم . ويفرضون وصولاً في الوقت المناسب مع جلسات مراقبة واعتمادات يتم تدويرها تلقائيًا . وهكذا ، يقضي Keeper على الامتيازات الدائمة . كما أن حل Keeper لنقاط النهاية يكشف وكلاء الذكاء الاصطناعي متلبسين . إذا حاول أي إنسان أو وكيل الوصول
6:42إلى شيء ما أو القيام بعمل لا ينبغي له القيام به ، يمكن لـ Keeper اعتراض الجلسة وإنهائها على الفور . كل ذلك مع منحك الرؤية والإدارة المركزية ، والتكامل بسهولة مع الأدوات التي تستخدمها بالفعل . سواء كان ذلك Slack أو Teams أو Jira أو ServiceNow أو أي أداة DevOps أخرى في نظامك . لست مضطرًا لتغيير سير عملك . ابدأ بحماية
7:03مؤسستك ليس فقط من الهويات البشرية ، بل من الهويات غير البشرية أيضاً . يمكنك البدء مع Keeper مجانًا تمامًا من خلال نسخة تجريبية لمدة 14 يومًا عبر الرابط الخاص بي أدناه في وصف الفيديو . jh.live/keeper . شكر كبير لـ Keeper على رعاية هذا الفيديو . حسنًا ، الآن يمكننا البدء في الشعور ببعض الفضول .
7:23ما الذي تفعله حمولة المرحلة التالية هذه ؟ تعيين العنوان إلى cloudflare ، تفعيل التوسيع المتأخر ، والبحث في بعض الأشياء التي قد تعدل المطالبة ، لجعل الأمر يبدو وكأن الجهاز يفتح وتظهر هذه الأكاذيب الصغيرة هنا حول الاتصال بخادم تحقق وإنشاء اتصالات آمنة . كل ذلك زائف . في النهاية ، يبدأ الأمر
7:45بالفعل بتنزيل جديد باستخدام curl لاسترداد المرحلة التالية من cloudrecycle.com وآخر هنا لتصميم واجهة figma . أه ، أي شيء آخر ؟ يجب أن أقوم بتفعيل الالتفاف النصي . عذراً . حسنًا ، هاتان هما القطعتان التاليتان اللتان سيتم سحبهما ، وهناك coyotefire - عذراً ، ما كان
8:06يجب أن أحاول نطق ذلك . typoleetspeakcloudflarechallenge.com يتم سحبه إلى ملف نصي يتم تنفيذه بعد ذلك من PowerShell مع بعض الأشياء الزائفة الإضافية مثل حل نقاط النهاية ، وكل ذلك في مخرج خطوة باستخدام ping لتأخير وقت المخرجات نوعاً ما . الكثير من الأشياء الأخرى هنا مثل إجراءات صيانة النظام
8:27تبدو كأنها صيغة أصلية للقدرة على فحص أو كشف معلومات النظام ، ومعلومات الشبكة ، والخدمات المهمة التي يمكنك رؤيتها هنا ، وحالة Windows Defender ، ومكافحة الفيروسات ، وتحديثات التخزين ، وما إلى ذلك . حسنًا ، هناك الكثير ، ولكن لم يتم استدعاء أي من هذا فعليًا . سأقوم بالتصغير . أنا آسف ، أعلم أن هذا مربك
8:45قليلاً لأن هناك الكثير . بعد كل هذا الذي تم الإعلان عنه على الأقل بالأسفل مع زوج من هذه التسميات وكود " السباغيتي " المعتاد لملفات batch ، فإن الجزء العلوي من هذا الملف لا يفعل أيًا من ذلك . الخطوة الوحيدة التي يستخدمونها هي العودة ، كما أعتقد ، إلى نهاية الملف . ربما أكون مخطئًا . يرجى التحقق مني في
9:02التعليقات ، لكنني مهتم أكثر بمعرفة ما هي هذه المواقع الخارجية التي نسحب منها . هل يمكننا الوصول إلى هذا الموقع cloud recycled ؟ نعم . أوه حسنًا . هل هذه مجرد علامة تحكم وسيطرة للإشارة إلى التقدم الذي تم إحرازه في السلسلة ؟ دعونا نرى ما يفعله تصميم واجهة Figma . قد يكون ذلك ، بالنظر إلى هذه المتغيرات
9:23وذلك المعامل K الخاص بـ HTTP get ، أتساءل عما إذا كانت هذه مجرد ، نعم ، حسنًا ، ربما مجرد تكرارات . لا يزال الأمر يشير فقط إلى أنه وصل إلى هذه النقطة في سلسلة الهجوم . إذن ، موقع ciudfirechallenge.com الخاص بنا هو الذي سيكون الحمولة التالية ، أليس كذلك ؟ دعنا ننتقل إليه . نعم . حسنًا ، لنأخذ كل هذا ،
9:43أرجوكم . إذن ، ما هذا ؟ أوه ، المرحلة الثانية ؟ أين نضع هذا ؟ يمكننا فقط وضعه على سطح المكتب . هذا جيد . نحن نعلم أن هذا PowerShell ، أليس كذلك ؟ .ps 1 . ربما يمكننا تحسين مظهر هذا قليلاً . أعتقد أن VS Code يسمح لنا بذلك ، لأنني أشعر بالفضول فحسب ، أعني ، أتساءل أين تبدأ
9:59وتنتهي جملة if هذه ؟ لأن لديهم حرفياً ما يشبه حركة الروليت هنا . إذا كان الحصول على رقم عشوائي بين صفر واثنين يساوي صفراً ، فإننا ننفذ الكثير من هذه الأجزاء ، ولكن أين نهاية قوس هذا الشرط ؟ أوه ، إنه في السطر 12 عند جملة else . حسناً ، هذه مجرد الأجزاء والقطع التي من المحتمل أن يحصلوا
10:19منها على الجوانب التالية . لكن انظر كيف يمثلون عناوين IP هنا . هذا يبدو كعنوان URL كامل . IRM هو اختصار PowerShell لـ Invoke Rest Method . أجل ، هذا هو IRM . كنت أفكر في Invoke Web Request ، وكلاهما يعمل بنفس الطريقة واقعياً ، على الأقل في سياق ما نراه من حيل البرمجيات الخبيثة . وهم يستخدمون
10:39أيضاً الاختصار IEX ، محاولين استخدام علامة النجمة كحرف بدل لإخفاء ذلك . لكن هذا لا يزال عنوان IP . أعلم أنك لا ترى النقاط الثلاث لتمثيل أجزاء العنوان . إنهم لا يزالون يمثلون ما يمكن أن يكون ، هل هو تمثيل عشري أم بقية بيانات الرقم لتتمكن من تحويله ؟ Tack NOP تعني no profile . Tack EP تعني تجاوز
10:59سياسة التنفيذ execution policy bypass . يمكننا محاولة سحب ما قد يكون عليه هذا الشيء ومتغيراته . لا أعرف لماذا لديهم تمثيل مختلف لـ IP هناك ، لكن دعنا نرى ما هذه . تحقق من هذا . انظر إليه . انظر ، HTTP ، دعني أضيف المخطط هنا ونقوم باللصق ، أنا أعلم أن ما لا يبدو كعنوان IP حقيقي سيظل يُكشف
11:18كعنوان IP الفعلي الخاص به ثم المرحلة التالية . دعني ألقِ نظرة على هذا . دعني أحضر الآخر أيضاً . المزيد من PowerShell من الإنترنت . ما الذي يفعله باقي هذا البرنامج النصي إذن ؟ يأخذ PowerShell ، ويشغله ، ويعرض نموذجاً صغيراً لـ CDN . أوه ، تحدي أمان
11:39CloudFlare . إنهم يزيفون نموذجاً كاملاً في PowerShell . ماذا ؟ هل يمكنني تشغيل هذا ؟ أريد تشغيل هذا . أريد استدعاء هذا الكود على جهاز الكمبيوتر الخاص بي فقط لأرى كيف يبدو . مستحيل . هذا مضحك جداً . سأفعلها . سأضع هذا موضع التنفيذ . لن نقوم
12:00بتفجير كل أجزاء البرمجيات الخبيثة الفعلية ، لكنني أريد حقاً رؤية مدى مضحك مظهر النموذج . أعطني PowerShell . أعطني PowerShell الآن . لا أهتم . ألصقها هنا . أريد أن أرى . معرف عقدة مزيف ، ومعرف شعاع مزيف ، مع عرض كل هذه النماذج والنوافذ المختلفة التي يجب أن تظهر ، وربطها لتبدو
12:22واقعية ، لكنها ليست كذلك على الإطلاق . يا إلهي ، هذا رائع . عليك أن ترفع القبعة احتراماً ، حسناً ؟ أعطِ الشيطان حقه . حسناً . إذن ، هذا هو التشتيت البصري لكي لا تلاحظ حقيقة أن هذه المراحل الأخيرة ، vel cap
12:433D أو أي شيء آخر من عناوين IP التي تبدو سخيفة ، تجلب هذا إلى الجزء المثير للاهتمام حيث حاولوا إزالة بيئة وقت التشغيل VTC1 . إنهم يتتبعون بضعة أشياء مختلفة ، ويتحققون من إصدار PowerShell حتى يتمكنوا من استخدامه ، أوه ، هل يقومون بتنزيله ؟ أوه ، هل هذا
13:05خاص بإصدارات PowerShell ؟ هل يقومون برمي عملة معدنية لأول واحد أم لديهم وسيطات عملية ثم وسيطات p args fb ربما للرجوع إليها حيث تكون نفس الحالة تماماً هنا مثل البحث عن ذلك أعلاه وأدناه . ما الفرق في هذا ؟ أوه ، أوه . أوه ، velcap 3D مقابل
13:26velcap 3B . لم ألاحظ حتى . كنت أنظر فقط إلى عناوين IP . إذن ، أيهما لدي الآن ؟ Velcap 3E ؟ يا إلهي . ما هذا ؟ لا HTTP من فضلك . أوه . حسناً . حسناً ، لنحفظ حمولة base64 ، على ما أعتقد . لا أعرف ما إذا كنت
13:46سأتمكن من تتبع كل جانب من هذه الجوانب الصغيرة للسلاسل المختلفة من أجل فيديو يوتيوب ، ولكن هناك وظيفة هنا لتشغيل أمر PS1 فقط لاستدعاء وتنفيذ PowerShell مع وسيطة مشفرة بـ base64 مقدمة كمعلمة هنا . يروننا ونراهم يشغلون ذلك باستخدام get content path لـ app data runtime BTC1 PowerShell
14:08cab.dat موجه إلى IEX . إذن يجب تنفيذ ذلك . ينتظر لمدة 60 ثانية ، ثم ينظف كل شيء . لذا يجب أن يكون هذا هو السبب في محاولته إزالته في البداية ، وتنزيل أياً كان ، ثم كتابته في app data renv بيئة وقت التشغيل ثم بيئة وقت التشغيل BTC1 . حسناً ، كل هذا يترابط معاً بشكل جيد . من الواضح أن
14:29حمولة base64 الجديدة الخاصة بنا هي ملف مضغوط . ما الفرق بين هذا والمرحلة الأخرى ؟ أوه ، هذا ينتقل إلى عنوان IP كامل هذه المرة . هل هذا هو نفس الرابط ؟ نعم ، هو كذلك . نعم . أنا قلق من أنني فوتت بعض هذه الأشياء . نعم ، فعلت ذلك لأن هناك 3C تعتمد على واحدة مختلفة . انظر ،
14:47كلها ملفات zip مشفرة بـ base64 ، حسناً ؟ لنسمِّ ذلك الملف بـ 3 C.b 64 . سأقوم بإدخاله في CyberChef لتسهيل الأمر وفك تشفير base64 ، ونعلم أن النتيجة ستكون بايتات خام . يمكنك رؤية صيغة PK هنا . أوه ، وها هو ملف PowerShell cab.dat الخاص بنا متروك في الداخل . لنقم بتحميله ، أليس كذلك ؟ download.zip .
15:08تباً ، أي واحد كان ذلك ؟ هل كان 3C أم 3E ؟ كان ذلك هو 3E . الآن سنحصل على 3C . ما الذي نفعله في هذه القناة على يوتيوب يا جماعة ؟ حسناً ، لنقم باستخراج كل منهما . سأكون صريحاً ، أرغب في سحب كليهما إلى Sublime Text لنستمر في الغوص في هذا الأمر . حسناً ، لا ،
15:29هذا PowerShell . ماذا عنك ؟ أيضاً PowerShell ، كما هو متوقع ، صحيح ؟ لقد مررنا بالكثير من أوامر IEX . لكن كل واحد منهما ، أوه لا ، لماذا ؟ أوه ، بعض أكواد C # المضمنة وبعض الأنواع التي يحاولون التحقق منها . إذاً ، بالتأكيد سندخل في بعض ملفات التجميع المدارة .NET . ستكون هذه الأكواد
15:50مبهمة . انتظر . المجلد النقطي مليء بأكواد C # مقسمة إلى أجزاء مختلفة . مجرد دمج لبضعة أجزاء وقطع مختلفة . مثير للاهتمام . حسناً . إذاً ، هم
16:10يقومون بتقسيم الكود بالكامل هنا لضمان تشغيله وتفجيره مجمعاً بالكامل مع shellcode للاستدعاء عبر الانعكاس . ما هو هذا الـ shellcode في sc.paste ؟ بالتأكيد . حسناً . أريد أن أفترض أن هذا هو كل شيء . توقف . توقف . توقف
16:30عن إعطائي كل هذا . ما الذي تحمله معك ؟ هل تأخذ كل شيء مثل GCC ، و GDB ، و make ، و MinGW ، و cur-Python ؟ يجب ألا نكون قادرين على رؤية كل شيء من مخرجات Sublime Text . إذاً ، ما الذي كان في DT أو dat ؟ كل واحد منهم ، أوه لا ، لديهم فقط
16:52رخصهم وشروط النسخ ولا توجد ملفات ثنائية هنا . لماذا توجد هذه الملفات هنا ؟ هل هي مجرد عشوائية ؟ هل يحاولون فقط إحداث ضجيج ؟ هل يحاولون فقط إضافة بعض الأشياء الزخرفية الإضافية ؟ تعبئتها . هذا مثير للضحك حقاً . إذاً ، أعتقد أن الـ shellcode هو المرحلة التالية التي يجب أن نهتم بها ، أليس كذلك ؟ يمكننا محاولة
17:12استخدام شيء مثل SCD bug أو Speakeasy . هل يمكننا استخدام Speakeasy ؟ يمكننا اختيار الخيار السهل ورمي هذا في بيئة تحليل ديناميكي ، أو any run ، أو أي شيء لنرى كيف ينكشف . لا ، هل تعلم ؟ بصراحة ، هذا الفيديو طويل بما فيه الكفاية . بصراحة ، الشيء الوحيد الذي أردت حقاً عرضه عليكم لأنه بدا لي
17:30ممتعاً ورائعاً هو تقنية " إصلاح النقر " الغريبة تلك ، التي تمكنك من سحب ما هو موجود بالفعل في ذاكرة التخزين المؤقت لمتصفح الويب الخاص بك ، ثم الحصول على حمولة برمجية خاصة بكل متصفح تستخدمه ، ومن ثم القدرة على تنفيذها وتفجيرها . لذا ، اعتقدت فقط أن هذا كان رائعاً . دعونا نمضِ قدماً ونستخدم القليل من
17:46رموز الغش . دعونا نمضِ قدماً ونقوم برفع ملف stage 2.ps 1 الذي من المحتمل أن يكون كافياً لربط كل شيء ببعضه . آه ، هل يمكنني زيادة هذه ؟ حسناً جداً . إذاً ، يبدأ تشغيل PowerShell . أوه ، وهناك هراء CloudFlare المزيف الغبي الخاص بنا . جميل . أم وبالطبع ، يمكننا رؤية الاتصالات التي سيتم سحبها . أوه ، وبعض
18:06الأشياء مثل rundll32 تحدث . ماذا ، ماذا ، مهلاً . يا إلهي . ها هي لغة #C تبدأ في العمل . هل هناك المزيد مما يطلقه هذا الشيء ؟ أعلم أنه يشغل ما يبدو أنه Edge و Chrome بنسخة معطلة وضع الحماية . ملف timeout.exe هو الذي يبدو مريباً للغاية . لقد تم استدعاؤه بوضوح من أماكن لم يكن ينبغي أن
18:25يظهر منها . servicehost.exe والكثير من الأشياء الروتينية الخاصة بمايكروسوفت التي كنت أتوقعها . كان هذا هو PowerShell من التحميل الأصلي ، ثم يقوم timeout.exe بالمزيد من الحيل المشبوهة . طلبات DNS . انتظر ، هل كان هناك أي شيء في غير محله هناك ؟ انتظر ، نعم ، multifilehost.com عند عنوان IP الغريب الذي رأيناه ، أليس كذلك ؟ عذراً ، يجب
18:46أن أركز فقط على طلبات HTTP لأننا نستطيع رؤية الرابط الدقيق الذي سحبوا منه ، وهم يحصلون على multifilehost connect chunk chunk chunk complete ومهام العميل النهائية . ما هذا ؟ هل يقومون برفع هذا ؟ ما الذي ... هذه هي ، نعم ، إنه يقوم بالرفع وتجهيزه إلى جزء
19:06multifilehost الخاص بكل الأشياء التي كانت موجودة على ذلك الجهاز . مثل هذه هي البيانات الوصفية لبيئة AnyRun ، الكمبيوتر الذي من المفترض أن يتم التفجير منه . إذن ، فهو يقوم تماماً برفع تفاصيل برمجيات سرقة المعلومات ليصبح له مكان يمكنه زيارته لاحقاً . استضافة
19:27الملفات المتعددة هذه هي الطريقة التي يبثون بها كل - ملفات تعريف الارتباط ! برمجيات سرقة المعلومات وسجل المتصفح . حسناً ، حسناً . لكن نعم ، هذا الشيء يقوم بالتسريب بالكامل . أردت فقط معرفة ما إذا كان ذلك النطاق موجوداً على VirusTotal في حال اكتشفه أي شخص من قبل ، لكنه يظهر كأنه غير مرئي . تم
19:47فحص الرابط مرة واحدة قبل 5 أيام . لذا ، يتم استخدامه للتسريب ، على أية حال . نرى ذلك مع تلك الحمولة ، بالتأكيد . مرحباً ، لا أعتقد أنني أستطيع قضاء المزيد من الوقت على هذا . بصراحة وواقعية ، أعتقد أن الجزء الأكثر إثارة وقيمة هو بداية سلسلة الهجوم ، حيث نرى " كليك فيكس " الذي شاهدناه
20:06مراراً وتكراراً . لا أعلم ، ربما يحمل تلك الحيلة الجديدة أو الزاوية أو الطُعم حيث يكون لديهم بالفعل جزء من الحمولة مخبأ في ذاكرة التخزين المؤقت من الموقع الذي زرته ، ثم تقوم الحمولة الفعلية بفك تشفيره وسحبه من ذاكرة متصفحك . ظننت أن ذلك كان ذكياً . شكراً جزيلاً لكم جميعاً على المشاهدة . آمل أنكم استمتعتم بهذا
20:25الفيديو . يرجى القيام بكل تلك الأمور المتعلقة بخوارزميات يوتيوب ، وبالتأكيد لا تنسوا دعم راعينا الموجود في الأسفل . شكراً جزيلاً على المشاهدة . أراكم في الفيديو القادم .