دراسة في علم الفايروسات وطرق القضاء عليها

[Wajdy Essam]

السلام عليكم ورحمه الله وبركاته ،،

ايمانا مني بضرورة نشر المعلومات وعدم وضعها فوق الأرفف ، فقد أرتأيت أن اضع مشروعي وذلك لكي يستفيد منه من بعدي ، وان كان المشروع أراه حاليا غير مفيد خاصه لمن لديهم معرفة جيدة بالمجال ، لكن على كلٍ فهذا جُهد المقل ، والفضل لله وحده، وما كان في بحثي من صواب فمن الله تعالى، وما كان من خطأ فمن نفسي ومن الشيطان.



كما أرحب بأي انتقاد أو سؤال أو حتى دعوة للمشاركة في مشروع متعلق بالمجال .. سواء كان مجاني أو تجاري

وكم أتمنى أن نرى ذات يوم منتديات ومجلات متخصصه بالعربية في مجال الفايروسات ومكافحتها ..

المشروع يتكون من من البحث موجود في ebook ، والكود المصدر للبرامج source code مرفق معها النسخ التنفيذيه ،، الحجم 6 ميغا ..

Computer Viruses strategies and detection techniques

ملاحظة: شكر خاص لكل من وقف وراء هذا العمل ومساعدتي ولو بأبسط الأشياء..جزاهم الله خيرا وأحسن اليهم..

والحمد لله رب العالمين ..

[ابن تاشفين]

السلام عليكم ..
ماشاء الله .. والحمدلله .. رغم أني حالياً لا استطيع حتى الإطلاع على هذا البحث إلا أنن أبارك لكل المهتمين بهذا المجال .. وأبارك لك أولاً أخي وجدي

ملاحظة: شكر خاص لكل من وقف وراء هذا العمل ومساعدتي ولو بأبسط الأشياء..جزاهم الله خيرا وأحسن اليهم..

(أبسط الأشياء) = البيبسي + العشاء داخل معانا ولا لأ

بارك الله فيك وجزاك خيراً

[FOOOOX]

شكلي بحذف الكاسبر و بنزل برنامجك يا وجدي

ماشالله عليك ... .مع ان مجال الهندسة العكسية و الفيورسات يعتبر بحر و عالم متشعب و نادر من يفكر في مشاريع كهذة في عالمنا العربي ( و أذكر طلع الشيب في رأسك و انت شغال في المشروع ) .. و كنت من الاوال الذين اطلعو على مشروعك من قبل وعلى قولتك حرام مشروع زي مشروعك يوضع فوق الارفف .. أسأل الله ان يجعله في ميزان حسناتك ...



موفق و إلى الامام دوما ...

[soldierofallah]

السلام عليكم ورحمة الله وبركاتة
ما شاء الله- الله يبارك فيكم
بالتوفيق

[Darwiesh]

ما شاء الله اخ وجدي ..عمل رائع والكتاب فعلا غني بالمعلومات القيمة ( تجميعه رائعه )

[al7re4]

مشكور بالجد شغل رائع


بالتوفيق للجميع

[أم أباذر]

ماشاء الله مشروعك جد ممتاز ويستحق النشر وهذا حصيله دراساتك وأجتهاداتك نشوفك في شركتك ونحنا مقدمين وظائف عندك (زي ماواعدتنا)ههه ههه..

[orderhack]

جارى التحميل والتجربة مشكور الاخ وجدى

[الخبير المعلوماتي]

جزاك الله خيرا ، وشكرا لك على هذا الموضوع الرائع
وفي الحقيقة ما أدهشني ، أنني وجدت جزء من مشروعك يتحدث عن تقنيات الأنتي فايروس حيث استفدنا من كتاب computer viruses and malware في مشروعنا ، وهو أحد المراجع التي استعنتم بها .
على كل حال ، بورك فيك ، ونسأل الله أن نتقدم إلى الأمام دائما مع الإستفادة من كل مفيد وجديد .

[abdu247]

البحث رائع فعلا ويستحق الاشادة
سوف اعمل على قراءته كاملا وانا واثق من انى سوف استفيد منه فعلا

[eng100]

السلام عليكم جميعا
اولا: اشكر الاستاذ وجدي علي هذا الكتاب الرائع وقليل (بل نادرا)مانجد ابحاث عربيه علي هذا المستوي ماشاء الله

ثانيا: عندي استفسار منك اخي وجدي في الرنامج المرفق مع الكتاب عن اخذ Hex Signiture ب dissassmbler واضعه في ال update generator ويقوم بتوليد file.VHDB واعندما اقوم بعمل update من ال AV Scanner يظهر error ويغلق البرنامج تعتقد اخي ماهو السبب في هذه المشكلة هل المشكلة في ملف الupdate?

وبعض الاحيان اخي الفاضل اذا قام بعمل ال update بدون مشاكل المشكله تظهر في ال AV scanner عندما يقوم ب detect الفيرس
يظهر الerror في ال AV scanner ويهنج وعطي رسالة خطاء close the program و Debug the program

او ماهي الطريقه المثلي والخطوات لعمل البرنامج جيدا بدون مشاكل وهل عندك اخي نسخه ليس بها مشاكل

-اما بالنسبة لل signiture هل له قواعد معينه مثل اخذه من ال Entry point وهل له طول محدد

وكيف اقوم بفتح الكود بال visual stedio والكود ليس بامتداد project ككل


اعتذر علي الاطاله وكثرة الاستفسارات
وجزاك الله خيرا عني وعن أخوانك المسلمين وجعله الله في ميزان حسناتك

[Wajdy Essam]

حياكم الله..

بالنسبة للبرنامج فبعد جلبك للتوقيع العادي Signature فعليك عمل تحديث من نوع signature وليس Hash والناتج سوف يكون ملف VSDB .

بالنسبة لأخطاء وقت التشغيل ، فهناك أخطاء تظهر عند فحص برامج معينة (مثلا MinGW) ويتوقف البرنامج من العمل.. لم التفت لها اثناء عملي ولكن اعتقد أن هناك عمل فحص للبرامج التنفيذيه المضغوطة أو المشفره قد يؤدي لحدوث مشكلة ما أثناء العمل.. الصحيح ان يقوم برنامج الأنتي فايروس أن يعرف ما نوع التشفير أو الضغط المستخدم ثم يقوم بفك هذا التشفير ثم فحص الناتج.. يقوم بفحص نوع الضغط أو التحقق بالطريقة التي تستخدمها برامج الPE Identifer وهي تعمل بنفس المفهوم (هناك قاعدة بيانات للتواقيع التي يولدها أي برنامج تشفير يشفر برنامج ما)، وبعد التعرف على ذلك البرنامج يقوم الأنتي فايروس بفك ذلك التشفير وهذا يتطلب معرفة أو شراء مكون يقوم بذلك!

أخذ التوقيع هذا موضوع لوحدة، لو لاحظت أني لم أجلب ولا توقيع في برنامجي.. والسبب أنه يجب أن يكون توقيع فريد لهذا الفايروس.. لم أبحث في ذلك المجال تلك الفترة ولكن كانت لدى فكرة تجميع مجموعه من الفايروسات ثم كتابة برنامج يقوم بجلب الفرق بينهم والتشابه بينهم في أول مثلا 50 بايت حتى أعلم مالذي يحصل هناك.. ولكن لم أقم بتلك التجربة..

اذا كنت مهتم بذلك، حاول أن تقوم بتنزيل كمية من الأوراق العلمية Scientific Papers من مثلا ACM أو IEEE وادرس ما هو موجود هناك.. حتى لا تضيع وقتك ثم تجد الفكرة موجودة منذ زمن طويل! عن نفسي لم أقرأ أي ورقة وقت المشروع بسبب ضيق الوقت في مشاريع التخرج.. اضافة كان اهتمامي لوضع نواة صغيره في المجال. ولكنها بالطبع ليس كتابة أوراق خارجة من باحث لديه سنوات في الخبرة، اضافة لعدم توفر موارد في الجامعة أستطيع الوصول لما أريد من الأوراق..

البرنامج مكتوب بسي++ ولكني لم أستخدم أي IDE وقت التطوير وانما اكتفيت بمحرر النصوص فقط ومحرر موارد Resource Editors .. أعلم أنها فكرة سيئة جدا.. ولكن ذلك الوقت لم يكن لدى الوقت لتعلم أي Framewrok جديدة.. يمكنك اذا أردت العمل أن تستخدم Qt مثلا فسوف توفر عليك كثير من الوقت في مجال الGUI وتجعلك تركز على المفيد.

بعد ذلك singature based ليست طريقة فعالة حيث يستوجب التحديث المستمر.. جميع الأنتي فايروس الأن يستخدم طرق متقدمة لذلك لا تتوقف عند تلك النقطة. اذا كنت تريد البحث في ذلك المجال وأردت البحث في مجال التوقيع فيمكنك البحث عن طريقة اوتماتيكية لجلب التوقيع (أظن IBM فعلت ذلك باستخدام طرق أحصائية ) ، أيضا انظر للخوارزميات التي تبحث عن أكثر من patterns في نفس الوقت وليس التي تبحث عن واحد فقط كالتي استخدمتها BM.

وفقكم الله وسدد خطاكم..

[SudaNix]

تأكد من تشغيل البرنامج بصلاحيات Admin ، كذلك البرنامج لا يعمل جيدا في فيستا .

[eng100]

بالنسبة للبرنامج فبعد جلبك للتوقيع العادي Signature فعليك عمل تحديث من نوع signature وليس Hash والناتج سوف يكون ملف VSDB .
..

شكرا علي الرد اخي الفاضل
انا اختار الupdate من نوع signature ولاكن للاسف مايظبط معي
ظبط معي مره واحدة فقط من محاولات كثيرة جدا جدا حتي اني شككت في طريقة اختياري للsiginture
والعجيب نفس الامر مع الhash update لايعمل ابدا
واللي خلاني اصر علي محاوله تشغيله انو ظبط مره واحده من من محاولات كثيره جداززوكنت اتمني اني اعرف السبب من اختياري لل sig او في update genrator

في العموم مجهود جبار ماشاء الله والكتاب مفيد جدا جدا
حتي اني قد قرات قبله بعض المواضيع في كتابTHE ART OF COMPUTER VIRUS RESEARCH AND DEFENSE
ولاكن ماشاء الله بحثك وضح لي كثير من النقاط
شكرا لك

[eng100]

تأكد من تشغيل البرنامج بصلاحيات Admin ، كذلك البرنامج لا يعمل جيدا في فيستا .

ماذا تقصد اخي وكيف
لان الOS عني admin فقط وليس مفعل اي user mode

بالنسبه للمشكله فعلا لايعمل علي الفيستا

ولاكن المشله اللتي اتحدث عنها الخاصه بال sig update علي ال xp
هل عملية ال signiture update تعمل معك اخي وماهو رايك في المشكله
وهل عندك البرنامج من غير مشاكل

و جزيت خيرا علي اهتمامك اخي

[Wajdy Essam]

أخي الفاضل ، البرنامج لم يخرج لأي من Production Environment بل حتى الTesting Scale كان صغير جدا جدا.. مجرد فحص على مسارات معينة في الجهاز وليس حتى فحص كامل للجهاز.

لذلك فاحتمال وجود أخطاء في عملية تحديث التوقيع أو في أي عملية أخرى هي شيء وارد جدا،، حيث لم أقم الا بعمل تحديث توقيع واحد (وهو ملف Testing) كما يتبين في اخر فصل في البحث.. ولم تحدث أي مشاكل حينها..

مرة أخرى أأكد لك ان البرنامج لم يدخل أصلا مرحلة Testing حقيقية لكي يعمل في أي جهاز.. فكونه لا يعمل في فيستا أو أي نظام أخر فلم أضع ذلك في الاعتبار وقت التطوير..

تطوير بريمج كهذا بحيث يكون Stable يتطلب بضعا من الوقت والكثير من الأختبارات Quality Testing , Unit Testing ،، حاليا الأفكار الأساسية في الSignature Based Scanning اتضحت ويمكن تطوير برامج أكثر موثوقية!

لديك السورس يمكنك التلاعب به ومعرفة سبب المشكلة في ذلك،
بالتوفيق..