ما هو فيروس Flame (فليم ) وكيف أتخلص منه أقوى فيروسات العالم 2012 ...حصرياً هنا

بسم الله الرحمن الرحيم


السلام عليكم ورحمة الله وبركاته

أخوتي أعضاء منتدى عرب هارد وير شكراً لكم ولإدراتكم الكريمة على هذا الموقع الأكثر من رائع وبارك الله بأهل مصر و سوريا والسعودية وكل البلاد العربية وحمهم الله من شرور الأشرار اليوم أقدم لكم هذا المقال المتواضع هو أول مقال لي على هذا المنتدى أتمنى لكم الفائدة منه لننطلق إلى المقال





أقوى فيروس من نوعه نعم يقولون أن من قام بتصميم هذا الفيروس مستحيل ان يكون شخص أو مجموعة بهل هي منظمة شديدة التنظيم والتعقيد تخيل ان هذا الفيروس يسجل لك كل مكالماتك التي تجريها على المايك من خلال الأنترنت ويقوم بإرسال تقرير كامل عن كل الملفات الموجودة في جهازك الجديدة والقديمة تخيل يستطيع أن يعرف كل تفاصيل جهازك ومن ثم يستخدم جهازك كمنصة لنشر
الفيروس في الشبكة أو حول العالم
moduleحيث أن الفيروس يتكون من عددة وحدات برمجية


كل وحدة برمجية لها وظيفة خاصة سوف أذكر لكم بعضها
أم الوحدات المكون منها فهي على الشكل التالي


Flame أسم الفيروس
https://dub110.mail.live.com/Handler...lame-virus.jpg
وهو يقولون أنه يستهدف الشرق الأوسط بشكل خاص ولكن هذا كذب حسب خبرتي بهذا المجال هذا الفيروس يستهدف العالم كله وهدفه التجسس لصالح منظمة عالمية ما هدفها خبيث نحو البشرية
لأن الفيروس يستغل الثغرات وهذه الثغرات مجودة في كل أجهزة الكمبيوتر








https://dub110.mail.live.com/Handler...f208193539.png

طبعاً هذا الفيروس موجودة في الأجهزة منذ زمن بعيد بعض المنظمات المختصة قالت موجود منذ 2007 وأخرى قالت منذ 2008 والأراء والجدل حول ذلك كثير ولكن موجود منذ زمن بعيد ولم يستطيع أحد في العالم أن يكتشف هذا الفيروس وهذه ضربة قوية الآن تهزني وربما تهز كل شخص في مجال تكنولوجيا المعلومات كلنا كنا تحت التجسس
https://dub110.mail.live.com/Handler...9%8a%d8%ab.jpg
يقوم هذا الفيروس من خلال البرمجيات الجزئية المتمثرة على الشكل التالي


Beetlejuice : في حال كان على الجهاز بلوتث تقوم بمعرفة بشكل دوري كل الأجهزة المحيطة التي يستطيع الجهاز اكتشفها من اجهزة البلوتث
Microbe :يقوم بتسجيل الصوت من خلال المايك الموصول على الجهاز ويستطيع معرفة كل الاجهزة الميديا الموصولة بالجهاز التحكم فيها
Limbo: يقوم بعمل باب خلفي في الشبكة التي تحتوي على دومين وإنشاء مستخدم على الدومين بأسم HelpAssistant في حال كانت الصلاحيات مفتوحة على الجهاز للمستخدم
Telemetry : يعطي إمكانية للمخترق من تسجيل الدخول إلى الجهاز عن بعد
Gator : عندما يتصل جهازك بالأنترنت يقوم بتحميل الملفات المطلوبة تحميلها مثل الأصوات المسجلة و يقوم أيضاً بتحدث نفسه ؟؟؟ في حال كان هناك تحديث ؟؟؟
Snack : يقوم بجمع معلومات حول الشبكة المتصل بها جهازك من خلال كرت الشبكة ويجمع معلومات من خلاله ليقوم بمهاجمة الشبكة الموجود فيها جهازك


Infectmedia : مسؤول عن أختيار الطريقة المناسبة من أجل أصابة الأجهزة الأخرى من خلال أصابة أجهزة الميديا مثل USB وينثر من خلال خاصية Autorun
Autorun_infector : هو المسوؤل عن أنشاء ملف Autorun الذي ينفذ أوامر معينة مخصصة من أجل تنفيذ المطلوب
Euphoria : يقوم بعمل حقن لملف سطح المكتب وجعله كختصار من اجل تشتغيل البرنامج ؟؟؟؟؟
Munch : مسؤول عن عمل جهازك HTTp سيرفر من أجل الأستجابة لطلبات بعض البرمجيات الأخرى


طبعاً يوجود أيضاً برمجيات أخرى ولكن حتى هذا التاريخ المتخصصين في مجال أمن المعلومات لم يستطيعه معرفة وظفتهم وجاري البحث


وأيضاً إلى الآن لم يتم معرفة الجهة التي وراء هذا الفيروس المعقد


وأيضاً تقوم الجهة الغير معروفة بتدمير هذا الفيروس بتطريقة يصعب تتبع من وراء هذا الفيروس ويصعب على المحققين التحقيق وعلى مهندسي النظم من تحليله بشكل صحيح


وما زال الصراع قائم والبحث قائم


بإعتقادي ا لشخصي أن المنظمة الماسونية ( إسرائيل وإمريكا بشكل خاص) وراء هذا الفيروس والله أعلم


وهذا فيديو يوضح آلية عمله أيضاً


https://www.youtube.com/watch?featur...&v=ljZK6ZmhurM






أم طريقة إزلة هذا الفيروس هو كتالي



في حال كان لديك مضاد فيروس قم بتحديثه حتى تاريخ هذا اليوم ثم قم بعمل Full Scan فحص كامل للجهاز وتأكد من أنك تستخدم مضاد فيروس جيد مثل كاسبر وبت دفندر


في حال لم يكن لديك مضاد فيروس استخدم الأدات التالية


https://labs.bitdefender.com/wp-content/plugins/download-monitor/download.php?id=TrojanFlamer_BDRemovalToolDropper_ x86.exe


https://labs.bitdefender.com/wp-content/plugins/download-monitor/download.php?id=TrojanFlamer_BDRemovalToolDropper_ x64.exe






والسلام عليكم ورحمة الله وبركاته


أخوكم في الله خليل حبيب
مهندس شبكات كمبيوتر في شركة طيبة للمجوهرات والذهب
مهندس معتمد من شركة مكروسوفت
مدرس في معهد زووم سابقاً في مدينة حلب
CCNA CCNP MCITP2008
خريج جامعة حلب كلية الأقتصاد تخصص حاسوب ونظم المعلومات
00966544976491




المراجع
https://www.kaspersky.com/flame


https://www.securelist.com/en/blog/2...nd_BeetleJuice


https://www.alekhteraq.com/2012/06/0...4%D9%8A%D9%85/


https://www.alekhteraq.com/2012/05/2...1%D8%A7%D9%86/

another information from dev-point

كنا قد نشرنا سابقا خبر اكتشاف فيروس فلام Flame أو الشعلة والذي يستهدف التجسس على مستخدمي الإنترنت في الشرق الأوسط على وجه الخصوص، واليوم ننشر تفاصيل في غاية الخطورة في رأيي ورأي كثير من باحثي أمن المعلومات في العالم: فيروس فليم استغل خاصية تحديث النظام في ويندوز (Windows Update) لينتشر ويصيب أجهزة الكمبيوتر الأخرى.

طبقا للمعلومات الجديدة، يوجد في الفيروس ثلاث وحدات (Snack، Gadget، Munch) تستخدم لعمل هجوم الرجل في الوسط (man-in-the-middle) ضد أجهزة الكمبيوتر الأخرى المتصلة بذات الشبكة.

عندما يقوم جهاز ما بمحاولة الإتصال بخدمة تحديث ويندوز (Windows Update) يقوم الفيروس بخداع هذا الجهاز ويجعله يتصل بجهاز آخر مصاب بالفيروس والذي يقوم بدوره بإرسال تحديث وهمي للجهاز الأول، والذي ما هو إلا عبارة عن الجزء الرئيسي من الفيروس ليتم تثبيته على الجهاز الذي تم خداعه.

طبقا لفريق سيمانتيك للإستجابة للطوارئ الأمنية، فإن الجزء المسمى (Snack) يقوم باعتراض طلبات (NetBIOS) التي تتم على الشبكة المحلية والمسماه (NetBIOS name resolution) والتي تسمح لأجهزة ويندوز بالتعرف على بعضها البعض على الشبكة الداخلية.

عندما يقوم جهاز ما بطلب الكشف عن اسم أحد الأجهزة على الشبكة (name resolution) وبالتحديد القيام بطلب يسمى (WPAD) أو (Web Proxy Auto-Discovery Protocol)، يقوم فيروس فليم عندها بانتحال صفة خادم (WPAD) ثم يقوم بتقديم ملف إعدادات وهمي لبروتوكول (WPAD) لخداع الجهاز العميل (wpad.dat)، وتسمى هذه التقنية بتقنية إختطاف بروتوكول (NetBIOS WPAD) وهي منتشرة ويوجد كثير من برامج الهاكرز التي تستغل هذه التقنية في عملها.

والآن يبدأ الجزء الممتع، فبمجرد أن يقوم الجهاز المخدوع – والذي لم تتم إصابته بالفيروس بعد – باستلام ملف (wpad.dat) فسيقوم بتعديل إعدادات خادم البروكسي وجعلها تشير إلى الجهاز المصاب بفيروس فليم، وبالتالي فإن كل طلبات الإنترنت (web traffic) وحركة البيانات التي يقوم بها هذا الجهاز لا بد أن تتم عن طريق الجهاز المصاب بفيروس فليم.

وهنا تأتي دور الوحدة المسماه (Munch) وهي عبارة عن خادم ويب مدمج في فليم والتي تتلقى كل طلبات الويب التي تمت إعادة توجيهها من الجهاز الذي تم خداعه، ثم تقوم هذه الوحدة بالبحث عن مجموعة محددة مسبقا من الطلبات من ضمنها الطلبات المتضمنة عناوين الويب (URL) لخدمة تحديث النظام في ويندوز (Windows Update)، طبعا اختطاف خدمة تحديث ويندوز ليست بالأمر السهل لأن التحديث يجب أن يكون موقعا (signed) عليه بواسطة مايكروسوفت، ولكن فليم يقوم بتجاوز هذه العقبة عن طريق استخدام شهادة صادرة وموثقة من مايكروسوفت لعمل توقيع (signning) لنفسه وكأنه تحديث موثوق به وآتي من مايكروسوفت مباشرة، وهكذا عندما يصل طلب تحديث ويندوز إلى الجهاز المصاب بفليم، يقوم الجزء المسمى (Gadget) بتوفير أحد أجزاء الفيروس – والموقع بشهادة مايكروسوفت المسروقة – للجهاز الغير مصاب باستخدام الوحدة (MUNCH) والتي تقوم بإرسالها إلى الجهاز الأول والذي تم خداعه ليقوم بتثبيت الفيروس على نفسه.

طبعا استجابت مايكروسوفت لهذه المعلومات الجديدة بقولها أنها ستقوم بعمل مراجعة أمنية شاملة لنظام التحديث في ويندوز لجعله أكثر أمانا مستقبلا؟؟!!.

كشفت شركة “كاسبرسكي لاب” عن معلومات جديدة تتعلق بفيروس Flame الذي كان قد تم كشف النقاب عنه الأسبوع الماضي، والذي صنفه الخبراء الأمنيون على أنه أكبر الهجمات الالكترونية التي تم اكتشافها حتى الآن وأكثرها تعقيداً.
وقالت الشركة بأن الجهة التي تقف وراء فيروس Flame التجسسي قد استهدفت بشكل رئيسي أجهزة كمبيوتر في إيران عبر استخدام أكثر من 80 إسم نطاق مختلف لسرقة تصاميم، وملفات بي دي إف، ورسائل الكترونية من الضحايا.
وقد قامت الجهة المجهولة التي تقف خلف الفيروس بإغلاق البنية التحتية لمركز القيادة والتحكم الذي تنطلق منه الهجمات مباشرةً بعد انكشاف الفيروس وانتشار الأخبار عنه الإثنين الماضي. ويُقدر الخبراء بأن الفيروس يعمل بنشاط منذ عامين على الأقل دون أن يتم اكتشافه. وقد شنت الجهة التي تقف خلفه الهجمات باستخدام 80 إسم نطاق مختلف مسجلة بأسماء وعناوين وهمية.
وقال “آلكساندر جوستاف” كبير خبراء كاسبرسكي بأن أسماء النطاق التي كانت مصدر الفيروس قد تم تسجيلها بناءاً على قائمة كبيرة من الهويات الوهمية وعبر شركات تسجيل مختلفة، ويعود تاريخ تسجيل بعضها إلى العام 2008. وقد سجل كل شخص وهمي إسمين أو ثلاثة أسماء نطاق فقط، أو 4 أسماء في حالات نادرة على حد تعبيره.

وعدا عن الأسماء المزيفة فقد تم استخدام عناوين وهمية تبين أن بعضها تعود إلى عناوين فنادق في أوروبا، أو عناوين محال تجارية ومؤسسات أو عيادات أطباء. ونظراً للتأثير والتعقيد العاليين للفيروس وكونه يستهدف إيران وبعض الدول الشرق أوسطية، يعتقد الباحثون بأن “دولة غنية” تقف خلفه.
واعتمدت البنية التحتية لمركز القيادة والتحكم بالفيروس على مجموعة متنقلة من المخدمات تتغير عبر الوقت. وتتوزع هذه المخدمات على كل من هونغ كونغ وتركيا وألمانيا وبولونيا وماليزيا ولاتفيا وسويسرا. كما اعتمدت على 22 عنوان إنترنت IP على الأقل، وعملت المخدمات التي كانت مسؤولة عن الفيروس على نظام أوبونتو لينوكس واستخدمت بروتوكولي SSL و SSH لتشفير المعلومات.
وللحد من كمية وأحجام المستندات وتجنب رفع البيانات غير الهامة بالنسبة لمشغّلي الفيروس، يعمل Flame على استخراج عينة يبلغ حجمها 1 كيلوبايت فقط من ملفات بي دي إف أو مستندات إكسيل ومستندات تطبيقات معالجة النصوص، ثم يقوم الفيروس بضغط ورفع عينات النصوص إلى مركز القيادة والتحكم حيث يقوم المهاجمون بإلقاء نظرة على المحتويات ثم إعطاء الأمر للفيروس بالحصول على المستندات الهامة فقط.
ويُذكّر هذا الفيروس بفيروس آخر شهير وهو Stuxnet والذي كشفت تقارير أخيرة بأن كل من الولايات المتحدة وإسرائيل قامتا بتطويره بهدف ضرب المنشآت النووية الإيرانية. ويشير البعض بأصابع الاتهام إلى الولايات المتحدة وإسرائيل أيضاً على أنهما الجهة التي تقف خلف فيروس Flame الذي قال الخبراء بأنه أخطر بمراحل من Stuxnet.

ارفع لك القبعة ياسيدي على المعلومات الهامة والمفيدة

الحقيقة انا ابحث عن الاستزادة عن امن المعلومات لاني اود ان شاء الله ان ادرس هذا التخصص بعد سنة من الان
لاني حقيقة احب هذا المجال واريد ان التحق به .