خبراء فريق Offensive Security ينجحون في عمل صاعقة !

[Fu'ad]

السلام عليكم...
مفاد الخبر أن خبراء عالميين من فريق Offensive Security قد نجحوا في تحدي 6 برامج حماية تعتبر من الأكثر مبيعا حول العالم و أقواها. بتاريخ 26-10-2009 كان التحدي بأن يقوموا بإيقاف عمل برامج الحماية في مدة تتراوح بين دقائق وأقل من ساعة وقد نجحوا في ذلك.
وكان الترتيب كالآتي: ( الزمن المستغرق لتتم عملية إيقاف برنامج الحماية )
McAfee في 1دقيقة و 56 ثانية ( الأقل مقاومة )
Norton في 4 دقائق
GDATA في 5 دقائق
AVG في 15 دقيقة
NOD32 في 32 دقيقة
Kaspersky في 40 دقيقة ( الأكثر صمودا )
وقد تم التصريح بأن التقنية المنفذة من قبل المشاركين في فريق Offensive Security لن تكشف لعامة للجمهور, ولكن الهدف من هذا التحدي هو إثبات ضعف هذه البرامج.
بينما أنا قمت ببحث موسع واستطعت أن أحصل على بعض المعلومات المفيدة.
وفيما يلي رؤوس الأقلام بما قام به الفريق للتغلب على برامج الحماية:

1- الأهداف و الشروط:
العثور على نقاط الضعف في برامج الحماية ، و إظهار كيف تمكن الفريق من تعطيل كل برنامج ( طبعا لمطورين برامج الحماية ).
استخدام معايير المعهد الأوروبي لأبحاث برامج مكافحة فيروسات الحاسوب ( EICAR ) لإثبات أن التعطيل ناجح.
◦ لا يجب استخدام البرامج الخبيثة !
◦ لا يجب استخدام للـ Reverse Engineering ( الهندسة العكسية - آلية تعنى باكتشاف المبادئ التقنية لنظام من خلال تحليل بنيته، و وظيفته وطريقة عمله. غالبا ما تتم هذه العملية بتحليل نظام ما (آلة ميكانيكية، برنامج حاسوبي، قطعة إلكترونية) إلى أجزاء أو محاولة إعادة تصنيع نظام مشابه له يقوم بنفس الوظيفة التي يقوم بها النظام الأصلي ).
◦ لا يجب عمل Restart ( إعادة تشغيل ) لجهاز الحاسوب.
◦ تم الاختبار على 6 برامج حماية : McAfee, Norton, G-DATA, Kaspersky, AVG, ESET
________________________

2- النتائج : ( قمت بكتابتها باللغة الإنجليزية لأن ترجمة بعض المصطلحات لا تفي بالغرض )

أولا Mcafee :

Disabled in 2 minutes
1.Gain SYSTEM privileges (“at” command)
2.Stop the service --> net stop

________________________
ثانيا : Norton

Virus scan done in kernel
Disabled by removing signatures
1.Create a RW shared folder for the “virusdefs” directory
2.Mount \\127.0.0.1\virusdefsas SYSTEM, and simply remove all signatures

________________________

ثالثا : GDATA

Disabled by removing driver
1.Open the Device Manager then show all non-PNP devices
2.Stop the main G-DATA driver and EICAR test is no longer detected

________________________

رابعا : AVG

Disabled through \Device\PhysicalMemory
1.Similarly, in-memory overwrite of the user-land scanning component
2.Detection no longer works

________________________

خامسا : NOD32

Disabled through \Device\PhysicalMemory (an XP-only trick, wouldn’t work on Vista/7)
1.Fill every page of ekrn.exe with nulls
2.Process crashed, detection disabled
POC code developed for this purpose

سادسا و أخيرا : Kaspersky

Disabled through \Device\PhysicalMemory
1.Trash all code pages of avzkrn, procmon, hips (user-land DLLs)
2.Detection no longer works

________________________

في النهاية أرجو أن أكون قد وفقت في إيصال المعلومة بشكل مفيد.

الخبر من موقع فرنسي وقد قمت بترجمته إلى اللغة الإنجليزية على هذا الرابط
رأيي الشخصي: إن مثل هذه الإختبارات ضرورية لشركات الحماية لتطوير برامجها والتحسين من حمايتها قدر المستطاع.
مع فائق الاحترام...

[event88]

يا سلام عليك وعلي أخبارك العلمية الجميلة يشرفني أن أكون أول من رد علي موضوعك
بس فس نقطة أنا ما فهمتها الزمن الموضوع هل هو الزمن المستهلكك للتوصل للإيقاف أم زمن الإيقاف نفسه؟

[one-zero]

شكرا اخي للموضوع جزاك الله خيرا


اخي event88 لك مني تقييم على توقيعك بارك الله فيك

[الفجر القادم]

اخي event88 لك مني تقييم على توقيعك بارك الله فيك

ومني ايضا

[event88]

شكرا اخي للموضوع جزاك الله خيرا


اخي event88 لك مني تقييم على توقيعك بارك الله فيك

ومني ايضا

والله الواحد مش عارف إيقولوكم إيه ألف شكر ليكم والله
الله يجمع وحدة المسلمين

[Fu'ad]

يا سلام عليك وعلي أخبارك العلمية الجميلة يشرفني أن أكون أول من رد علي موضوعك
بس فس نقطة أنا ما فهمتها الزمن الموضوع هل هو الزمن المستهلكك للتوصل للإيقاف أم زمن الإيقاف نفسه؟

السلام عليكم...
الزمن المسجل هو الزمن المستهلك لإيقاف برنامج الحماية.
وتم إضافة معلومات جديدة وتم تعديل الموضوع لعيونك !!!

[Tech_Admin]

مشكور يا ريس

[S@M]

تم التقيم ...لهاذا الموضوع الرائع وصاحبة ....


لآن فية افادة كبيرة ...على الآقل الناس من هنا ورايح تعرف هية لاازم تشتغل على اية ...من خلاال ازمنة تعطيل هذة البرامج ان اشخصيا قررت استخدم NOD 32 .

وشكرا لك يا عزيزى على هذا الموضوع الهام ..

[Fu'ad]

السلام عليكم...

مشكور يا ريس

لا شكر على واجب أخي , إفادة الجميع هي غايتي !!!

تم التقيم ...لهاذا الموضوع الرائع وصاحبة ....


لآن فية افادة كبيرة ...على الآقل الناس من هنا ورايح تعرف هية لاازم تشتغل على اية ...من خلاال ازمنة تعطيل هذة البرامج ان اشخصيا قررت استخدم NOD 32 .

وشكرا لك يا عزيزى على هذا الموضوع الهام ..

شكرا على التقييم ومرورك يشرفني !!!
مع فائق الاحترام...

[The Mysterious]

شكراً جزيلاً لك عزيزي على الإفادة، موضوع مميّز من شخص مميّز .

[Fu'ad]

شكراً جزيلاً لك عزيزي على الإفادة، موضوع مميّز من شخص مميّز .

السلام عليكم...
والله مرورك يشرفني أستاذنا, و جميع الأخوة الأعضاء.
أحب أن أضيف معلومة, منذ أكثر من 3 أعوام قمت بتشفير SERVER Prorat ( أيام ما كنت مشاغب :D ) ضد برامج الحماية وقمت برفعه على بريدي على الـ Yahoo Mail وطبعا المحرك الخاص بموقع Yahoo هو الـ Norton وصعقت حين لم يكتشفه وفرحت في نفس الوقت :D فقمت بفحص الملف على McAfee ولم يكتشفه أيضا, والسيرفر شغال 100% ويفتح بورتات PORTs بكفاءة, وما زلت أحتفظ فيه على البريد حتى هذا اليوم وبعد ما رأيت الخبر, قمت بتحميل الملف من جديد وللأسف الـ Norton مرة أخرى لم يكتشفه,وقمت بفحصه على الـ Kaspersky فتعرف عليه كاملا ( Trojan ) , ولكني فرحت أيضا من هذه النتيجة كوني أستعمل الـ Kaspersky , لذلك سأقوم بفحصه على موقع https://www.virustotal.com/ و أطلعكم بالنتائج إنشاءالله في أقرب وقت.
مع فائق الاحترام للجميع...

[event88]

والله ماشاء الله عليك يا صحبي كمان الزيادة هذه الموضوع بقي روعة الله يخليلي إياك

[Fu'ad]

والله ماشاء الله عليك يا صحبي كمان الزيادة هذه الموضوع بقي روعة الله يخليلي إياك

منور والله يا حبيبي ويشرفني إنك أول الناس اللي رد على الموضوع ( صباح الخير )

[event88]

منور والله يا حبيبي ويشرفني إنك أول الناس اللي رد على الموضوع ( صباح الخير )

الله يعطيك العافية
صباح كل الخيرات
دا أنا اللي لي الشرف أن أرد علي موضوع كهذا

[Fu'ad]

بس يا صاحبي ما عرفت هل أثر هذا الخبر على تفكيرك في برنامج الحماية اللي انت بتستعمله ؟
ولا انت مرتاح مع برنامجك الحالي؟