انواع الاختراق الجزء الخامس

البحث عن منافذ دخول هذا البرنامج :

قم بأجراء البحث عن المنافذ كما تم شرحه اعلاه التي عادة يدخل منها برنامج الـفجوة السوداء وقارنها بالمنافذ في القائمة ادناه فإن وجدتها من ضمن هذه القائمة فأن جهازك يكون قد اخترق عن طريق هذا البرنامج:

31338

31337

31666

54320

54321

أكتشاف ملف التجسس الخاص بهذا البرنامج :

قم بنفس الأجراء الذي شرحته بالفصل الأول للكشف عن ملف الباتش وبعد الدخول لملف تسجيل الويندوز توقف عند Current Version . الأن أنقر على المجلد RunServices وابحث عن اي ملف غريب بجهازك له امتداد exe ( أنت اعرف بجهازك من الأخرين) . إن وجدت اي ملف غريب لم تشاهده بجهازك من قبل فأنقر عليه بزر الماوس الأيمن ثم احذفه واخرج من ملف تسجيل الويندوز . اعد تشغيل الجهاز وتوجة الي مجلد الـ System في اعدادات بقائمة إبداء. الأن ابحث عن ملف يحمل نفس اسم الملف الغريب الذي حذفته وإذا لم تجده فأنقر قائمة (عرض) ثم ( خيارات المجلد) ثم (عرض) من قائمة الملفات المختفيه ثم ضع علامه على (اظهار جميع الملفات) ثم انقر تطبيق فموافق. ستعود مرة اخرى الي مجلد System فإذا وجدت الملف المطلوب فقم بمسحة وستجد ملفا اخر اسمه windll.dll قم بحذفه هو ايضا واعد تشغيل الجهاز . الأن تكون قد قطعت الطريق على المخترق وجعلته يبحث عن سراب.
- برنامج Sub Seven : من اشهر البرامج المستخدمة بمنطقة الخليج ، يسمونه "القنبله" وهو مرغوب ومطلوب وشعبي لبساطته وسهولة تعلمه وسهولة الأختراق عن طريقة . يتميز بمخادعة الشخص الذي يحاول ازالته فهو يعيد تركيب نفسه تلقائيا بعد حذفه من ملف التسجيل بالويندوز بالطرق الثلاث التي ذكرتها في الفصل السابق ولكن هناك طريقة جديدة وخارقه لحذفه سأشرحها لاحقا.

قبل شرح اعراض الاصابة التي يتركها هذا البرنامج بجهاز الضحية تأكد اولا من عدم فتح منافذ الاتصال الخاصة به في جهازك بنفس الطريقة السابقة وقارنها بالمنافذ التاليه فإن وجدتها فأن جهازك حتما مصاب وعليك متابعة الموضوع للتخلص من المخترق:

6711

6776

1243

1999

أعراض الأصابة :

تختلف اعراض اصابه هذا البرنامج عن البرنامجين السابقين فمن أهم أعراض اصابه هذا البرنامج ظهور رسالة شهيرة عند كل مرة يدخل فيها المخترق لجهاز الضحيه وهي ( قام هذا البرنامج بأنجاز عملية غير شرعيه ....) تريثوا .. لايعني من رأى منكم هذة الرسالة على شاشته أن جهازه قد اخترق .. قلنا بأن في هذا البرنامج الكثير من الخبث مما جعله مرغوبا خصوصا بمنطقة الخليج ، فهو حينما يعطي رسالة كهذه إنما يوهم المخترق بـأن هذه الرسالة شائعة ومعروفه ومن تظهر له فقد تعود عليها فلن يشك مطلقا قبل قراءة هذه الأسطر في أن جهازه قد اخترق . كيف نميز بين الرسالة الصادقة البريئة والرسالة الكاذبه الخبيثة

1- افتح ملف الـ win.ini الموجود بمجلد الويندوز وابحث في بداية السطور الأولى عن اي قيم شبيهة بالقيم التاليه:

run = xxxx.exe او run = xxxx.dl

load = xxxx.exe او load = xxxx.dl

لاحظ أن xxxx تعني اسم الخادم فإذا عثرت على اي قيمة منها فأحذفها فورا وبمعنى اخر يجب أن لايظهر اي سطر من السطور اعلاه في بداية السطور الأولى لملف الـ win.ini فإن ظهر فأحذفه على الفور.

2- افتح الملف system.ini الموجود بمجلد الويندوز وستجد بالسطر الخامس العبارة التالية :

Shell = Explorer.exe

إن كان جهازك مصابا فستجد شكل العبارة السابقة يكون هكذا:

Shell = Explorer.exe xxx.exe او shell = Explorer.exe xxx.exe

مع العلم بأن xxx هو اسم الخادم زمن اشهر اسمائة : rundlll6.exe و

Task_Bar.exe

أن وجدت جهازك مصابا فقم بمسح اسم الخادم فقط ليصبح السطر كما يلي :

shell=Explorer.exe

والأن انت تكون قد قطعت الطريق بين ملف التجسس واسم الخادم الخاص به ونشبه ذلك بمن قطع جهاز التنفس عن المريض فلا يبقى الا دفنه وعليك القيام بحذف ملف التجسس الخاص بهذا البرنامج كما تم شرحة في الفصل الأول . وبعد فكما رأينا خطورة الأختراق فإن الوقاية خير من العلاج والوقاية الأولى هي عدم السماح بزرع ملفات التجسس في اجهزتنا فهي حلقة الوصل الأولى لدخول المخترقين اليها .

وقد انتشرت برامج الحماية والبرامج المضادة للاختراقات انتشارا كبيرا قد يصاب معه المستخدم بالحيرة فيما يختاره منها خصوصا اذا ما ادركنا بأن بعض – وليس كل تلك البرامج- تقوم هي ذjنها بأنشطه تجسسية لصالح الشركة المصنعه لها ولكنه لا يكون سواء تجسس إحصائي لمعرفة عدد المستخدمين للبرنامج المذكور ، اما مانسمعه من وجود برامج للحماية تقوم تلقائيا بفتح منافذ معينه بالأجهزة فأن هذا لم يثبت بعد في تقارير رسمية والشركات تدرك اليوم بأن المستخدم العادي وفي اي بلد كان على جانب كبير من الوعي الذي يؤهله لأكتشاف الثغرات الأمنيه بالبرنامج –ان وجدت- وشركات كتلك تهمها السمعه اولا وأخيرا لأن ذلك يتوقف عليه نجاحها في السوق وبالتالي مكسبها وخسارتها.

طرق برامج الحماية :
للحماية من الاختراقات والتجسس هناك عدة طرق تستخدمها برامج الحماية لأداء مهامها ويمكن تصنيف هذه الطرق الي اربعة على النحو التالي:

تخزين قاعدة بيانات بالبرنامج تخزن فيه عدد كبير من اسماء احصنه طرواده ويتم عمل مسح لكافة الملفات الموجودة بجهاز المستخدم ومطابقتها مع الموجود بقاعدة البيانات تلك للتعرف على الملفات المطابقه . يتم تحديث قاعدة البيانات دوريا اما من خلال الاقراص اللينه التي تحدث اولا بأول كما كانت تفعل سابقا شركة مكافي ببرنامجها الشهير انتي فيروس او يتم ذلك مباشرة من خلال الانترنت كما يفعلا نورتون ومكافي في الوقت الحالي .


البحث عن وجود تسلسل محدد من الرموز التي تميز كل ملف تجسسي والتي تميز احصنه طروادة وغيرها وهذا الملف يعرف تقنيا بأسم Signature وايضا هذة الطريقة تحدث دوريا كما تم شرحه اعلاه .


الكشف عن التغيرات التي تطرأ على ملف التسجيل Registry وتوضيح ذلك للمستخدم لمعرفة ان كان التغيير حصل من برنامج معروف او من حصان طرواده. هذه الطريقة يتبعها برنامج اللوك داوون الشهير.


مراقبة منافذ الاتصالات بالجهاز (اكثر من 65000 منفذ) لأكتشاف اي محاولة غير مسموح بها للأتصال بالجهاز المستهدف وقطع الاتـصال تلقائيا واعطاء تنبيه بذلك في حالة وجود محاولة للأختراق . هذة هي طريقة برنامج الجامر المعروف .

ومن اشهر البرامج المستخدمه للحماية : سنكتفي بشرح الثلاثة الاولى منها لشيوعها بين المستخدمين التقليديين :
1- برنامج Lock Down 2000

2- برنامج Jammer

3- برنامج ‘99 Internet Alert

4- برنامج Norton AntiVirus 2000

5- برنامج The Cleaner

6- برنامج Guard Dog

7- برنامج Hoe Guard

8- برنامج At Guard

الأول : برنامج Lock Down 2000

الشركة المنتجة : Harbor Telco Security Corp.

الموقع على الأنترنت : http://www.lockdown2000.com/

الحجم : 2 MB

السعر: $ 99

المحاسن : برنامج قوي وشامل للحماية الفردية

العيوب : تنطلق صفارة التحذير عند كل تغيير يحدث بلمف الـ Registry وعند استقبال الكوكيز الغير مضرة للمواقع التي تتم زيارتها. اشهر البرامج المستخدمه للحماية ، يعمل كجدار ناري حيث يقوم بفحص الجهاز عند بدء التشغيل للبحث عن احصنة طروادة ومن ثم الغاء الملف مباشرة مع ترك رسالة تعلم المستخدم بذلك . يمنع كذلك المخترقين ويسجل محاولات الدخول في تقرير مختصر يشمل وقت الدخول وعنوان الـ IP كما انه يعطي معلومات عن جهة الأتصال والبلد.

ملحوظة : اشارت بعض التقارير التي نشرت بكتاب Firewalls and Internet Security الي ان هذا البرنامج قد قام بفتح المنفذين رقمي 12345 و 1243 ببعض الأجهزة المحدوده بالولايات المتحدة خلال عام 1999 ولكن هذة الأتهامات لم تثبت بشكل قاطع كما ان الشركة المنتجه لم تعلق على الموضوع .

الثاني : برنامج Jammer

الشركة المنتجة : Jammersoft Corp.

الموقع على الأنترنت : http://start.at/jammer/

الحجم : 1.6 MB

السعر : $ 19.95