http://www.solidfiles.com/v/zeXL8Vax4zNBr

(07-09-2021, 05:26 PM)siddigss كتب : هل من المتعمد أن نسخة 64-bit لا تعمل، فهي لأجهزة ARM64 ؟ بينما نسخة 32-bit تعمل.

#include "pch.h"
#include <Windows.h>
#include <mbstring.h>

const char* AT4RE = "AT4RE";
const char* DOT_AT4RE = ".AT4RE";

HWND p;
RECT WINDOW_RECT;

BOOL CALLBACK f(HWND h, LPARAM param) {
    
    char A[0xC8];

    memset(A, 0, 0xC8);
    p = h;
    _mbscpy((unsigned char*)A, (unsigned char*)AT4RE);
    //char tempBuffer[0xC];
    //strcat(A, itoa((int)p, tempBuffer, 0x10));
    strcat(A, (char*)p);
    strcat(A, DOT_AT4RE);

    HDC dc = GetDC(p);
    GetWindowRect(p, &WINDOW_RECT);
    int height = WINDOW_RECT.bottom - WINDOW_RECT.top;
    int width = WINDOW_RECT.right - WINDOW_RECT.left;
    int area = height * width;
    int modifiedArea = area * 4 + 39;
    HGLOBAL mem = GlobalAlloc(0x40, modifiedArea);
    
    *(short*)(mem) = 0x4D42;
    *(int*)((byte*)mem + 0x2) = 0xE;
    *(int*)((byte*)mem + 0xA) = 0x36;
    *(int*)((byte*)mem + 0xE) = 0x28;
    *(short*)((byte*)mem + 0xE + 0xC) = 0x1;
    *(short*)((byte*)mem + 0xE + 0xE) = 0x18;
    *(int*)((byte*)mem + 0xE + 0x8) = height;
    *(int*)((byte*)mem + 0xE + 0x4) = width;
    *(int*)((byte*)mem + 0xE + 0x10) = 0;

    HDC cdc = CreateCompatibleDC(dc);
    HBITMAP bitmapHandle = CreateCompatibleBitmap(dc, width, height);
    SelectObject(cdc, bitmapHandle);
    BitBlt(cdc, 0, 0, width, height, dc, 0, 0, 0x40CC0020);
    GetDIBits(cdc, bitmapHandle, 0, height, (LPVOID)((byte*)mem + 0x36), (LPBITMAPINFO)((byte*)mem + 0xE), 0);

    HANDLE file = CreateFileA(A, 0x40000000, 2, 0, 2, 0, 0);
    int numberOfBytes;
    WriteFile(file, mem, modifiedArea, LPDWORD(&numberOfBytes), 0);
    CloseHandle(file);
    GlobalFree(mem);
    
    return true;
}



int main() {
    char someArray[0x10];
    HWND windowHandle = FindWindowA("Notepad++", NULL);
    EnumChildWindows(windowHandle, f, (LPARAM)someArray);
    return 0;
}

00420277  | 83EC 0C                | sub esp,C                                   |
0042027A  | 6A 10                  | push 10                                     |
0042027C  | 8D4424 04              | lea eax,dword ptr ss:[esp+4]                | [esp+4]:"lW"
00420280  | 50                     | push eax                                    | eax:"AT4RE40104"
00420281  | 56                     | push esi                                    | esi:"lW"
00420282  | E8 A9082077            | call <msvcrt._ltoa>                         |
00420287  | 90                     | nop                                         |
00420288  | 50                     | push eax                                    | eax:"AT4RE40104"
00420289  | FF7424 1C              | push dword ptr ss:[esp+1C]                  |
0042028D  | E8 94FFFFFF            | call <JMP.&strcat>                          |
00420292  | 83C4 20                | add esp,20                                  |
00420295  | 90                     | nop                                         |
00420296  | 90                     | nop                                         |
00420297  | 90                     | nop                                         |
00420298  | E9 41FEFFFF            | jmp understand_me32.4200DE                  |

(07-09-2021, 09:27 PM)the9am3 كتب : راح يعمل سكرين شوت لل taskbar و بااسم AT4RET.AT4RE اذا نفتح الملف بالhex راح انشوف هيدر BM وهذه خاصة ب bmp اذا غيرنا صيغة الملف الى bmp يكون عبارة عن صورة لل taskbar

 
https://www.wired.com/2017/05/accidental-kill-switch-slowed-fridays-massive-ransomware-attack/  

(08-09-2021, 02:59 PM)siddigss كتب : وكما أسلف الأخ the9am3، البرنامج يلتقط صورا للنوافذ. في حالة وجد نافذة Notepad++ فإنه يلتقط صورة لنوافذها الجزئية (لست أدري بالضبط ما تعريف النافذة الجزئية) وإن لم يجد نافذة Notepad++ فإنه يلتقط صورا للنوافذ الموجودة في الجهاز.

(08-09-2021, 02:59 PM)siddigss كتب : يبدو أن هذه المشكلة تحصل بعض الأحيان في البرنامج الأصلي أيضا وبعض الأحيان لا تحصل، والحقيقة لست أدري لم يود البرنامج الوصول إلى العنوان p (ما الذي يمثله أو يؤشر إليه أصلا؟؟!).

(08-09-2021, 06:06 PM)overlap كتب : من المفروض ان يكون اسم الملف الناتج الذي يحتوي الصورة الملتقطة بهذه الطريقة:
AT4RE(x).AT4RE
x هي القيمة (عنوان) التي يؤشر اليها الهندل للنافذة التي يتم التقاط جزء من صورتها...
و هذا دفع الدالة strcat الى محاولة الحصول على قيم عشوائية من عناوين في الداكرة الحية كجزء من الاسم و بما ان الدالة strcat غير محمية و مصابة بطبيعتها (لا تقوم بفحص ما تحاول الوصول اليه) فانها سوف تسبب انهيار التطبيق في حالة عدم اتاحة العنوان او عند محاولتها معالجة نوع قيم تختلف عن ما تدعمه الدالة...

(08-09-2021, 06:06 PM)overlap كتب : من خلال هذا التطبيق، اردت ان اصلت الضوء على جزء مهم في تحليل البرمجيات اصبح مستعمل بكثر و هو تعمد كتابة شروط تؤثر بشكل مباشر في سير تنفيذ المهام التي يقوم بها تطبيق ما مع اضافة Bugs و خلل تدفع المحلل الى تجاهل تحليل التطبيق يظن انه غير مكتوب باحترافية...

(08-09-2021, 06:45 PM)siddigss كتب : ألن يؤثر هذا على عمل التطبيق وسينهار كل فترة ؟؟ أم أنها غير تجارية؟