29/09/2026
🚨 إذا شغّلت الملف هذا في الـPC الرئيسي تاعك، ممكن تكون راك تغامر بالجهاز تاعك بلا ما تحس.
في الأيام اللي فاتت، انتشر في GitHub مشروع اسمو AIGuardSIEM، وكاين كلام داير بلي المشروع تابع لحمزة بن دلاج، وحتى كاين حديث على تحدي بقيمة 5,000 دولار للي يقدر يفك الحماية تاع البرنامج.
بصح بعيدًا على شكون صاحب المشروع، وبعيدًا على حقيقة التحدي، كاينة نقطة أهم بزاف:
⚠️ محتوى الملفات بحد ذاتو يحتاج مراجعة أمنية جدية قبل ما تشغّل أي ملف EXE منه.
من الخارج، المشروع يبان احترافي ومقنع.
كاين ملفات C++ وGo، وSigma Rules، وeBPF، ومجلدات عندها علاقة بـ SIEM وXDR والـAI.
بصح داخل المسار:
"ml/models/reinforcement/2.1*zip"
تلقى Archive حجمو حوالي 488KB، وداخلو 3 ملفات مهمين.
أول ملف:
"utility*exe"
وهو LuaJIT v2.1.
والـSHA256 تاعو:
"e227d47facf0e2f5b9e5c54a23a86b31272696b64bbbb9932a31fe06973677bd"
كاين ثاني:
"Application*cmd"
والأمر اللي داخلو ببساطة هو:
"start utility*exe certificate*txt"
أما الملف الثالث:
"certificate*txt"
حجمو حوالي 193KB، وهو تقريبًا سكريبت Lua كامل موجود في سطر واحد، ومشوّش بدرجة كبيرة.
الموضوع هنا ماشي مجرد Obfuscation عادي.
السكريبت يستعمل Custom Base64 Alphabet، وTable Shuffling، وزيد كاين Anti-Tamper Mechanism.
يعني إذا الكود تبدّل، ولا حاولت تشغلو تحت Debugger، ممكن يخرجلك:
"Tamper Detected!"
وزيد الـStrings واستدعاءات Win32 APIs ماهمش موجودين مباشرة، وإنما يتم فكّهم وقت التشغيل باستعمال PRNG خاص.
وبعد فك عدد كبير من الـStrings، بانت مجموعة مؤشرات تستاهل التوقف عندها.
الكود يتعامل مع Windows API عن طريق FFI، ويقدر يقرا معلومات مباشرة من الذاكرة، وكاين كذلك إمكانية لطلب صلاحيات Administrator باستعمال PowerShell.
وكاين Strings عندها علاقة بـWindows Defender، منها:
"bypass_defender"
ومن ناحية الـPersistence، بان استعمال محتمل لـ:
"HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
وكذلك Scheduled Tasks بأسماء تشبه برامج معروفة، كيما:
"OfficeClickToRunTask"
"AdobeGCInvoke"
"OneDriveStandaloneUpdater"
"CCleanerSkipUAC"
وبان ثاني المسار:
"C:\Windows\Setup\Scripts\ErrorHandler*cmd"
بالنسبة لجمع المعلومات، كاين استدعاءات لقراءة:
• MachineGuid
• اسم المستخدم
• اسم الجهاز
• صلاحيات الحساب
وكذلك اتصال بـ:
"http://ip-api*com/json/"
باش يجيب معلومات كيما الدولة، المدينة والـTimezone.
والحاجة اللي تلفت الانتباه أكثر هي وجود دوال GDI كيما:
"CreateDIBSection"
"CreateCompatibleDC"
"BitBlt"
وهاذ الدوال ممكن تستعمل لالتقاط Screenshots من الشاشة، حسب الطريقة اللي راهي مستعملة بيها داخل البرنامج.
أما بالنسبة للاتصالات الخارجية، فكاين استعمال لـ Polygon RPC، مع محاولة الحصول على عنوان سيرفر عن طريق Smart Contract.
وهذا ممكن يسمح للبرنامج يجيب عنوان سيرفر جديد حتى إذا تبدل العنوان الأساسي، بطريقة تشبه Dead Drop Resolver.
ومن بين العناوين اللي بانت أثناء التحليل:
"polygon*drpc*org"
"polygon*publicnode*com"
وكذلك عنوان الـIP:
"89.169.12.21"
مع Endpoint:
"/api/"
⚠️ كاينة نقطة أخرى تستاهل الانتباه.
الـREADME تاع المشروع يوجّه المستخدم، إذا Windows عطاه Warning، باش يضغط:
More info
ومن بعدها:
Run anyway
ويوافق على صلاحيات Administrator.
وزيد الرابط الموجود مع المشروع كان يوجّه إلى:
"anonymous-conditionalreflex438*github*io"
ومن تما يتم تقديم ملف باسم:
"AIGuardSIEM_Setup*exe"
لهذا، إذا حملت المشروع ولا حاب تجربو:
❌ ما تشغّلش ملفات EXE أو CMD أو BAT منه في الـPC الرئيسي تاعك.
إذا حاب تحللو، استعمل بيئة معزولة كيما:
🔹 Virtual Machine
🔹 Sandbox
🔹 جهاز مخصص للتحليل
وإذا كنت شغّلت الملف من قبل، من الأحسن تراجع:
🔍 Task Scheduler
🔍 Registry Run Keys
🔍 Windows Defender History
وكذلك بدّل كلمات السر المهمة باستعمال جهاز آخر نظيف.
وبالنسبة للكلام اللي راهو داير بلي المشروع تابع فعلًا لحمزة بن دلاج، أو بلي كاين تحدي بقيمة 5,000 دولار، فهاذ المعلومات متداولة وما لازمش نعتبروها حقائق مثبتة غير على خاطر راهي منتشرة في السوشيال ميديا.
⚠️ والأهم:
أنا ما نقولش بلي وجود هاذ المؤشرات وحدو يثبت أن المشروع Malware.
بصح وجود مجموعة المؤشرات هاذي مع بعض يستاهل الحذر والتحليل الأمني قبل تشغيل البرنامج على جهاز شخصي.
لأن ببساطة:
ماشي أي برنامج مكتوب عليه AI ولا SIEM ولا XDR يكون آمن غير على خاطر شكله احترافي، ولا على خاطر مربوط باسم شخص معروف.
🛡️ افحص الأول… وشغّل من بعد.
💻 والـPC الرئيسي تاعك ماشي هو المكان المناسب باش تجرب فيه ملف EXE مجهول.
