[ تحليل برمجيات ] تشريح وفحص البرمجيات الخبيثة (Malware Analysis): إزاي تفكك التروجان وتعرف اتصالاته وسلوكه بدون ما تأذي جهازك؟

[محـارب]

يا مرحب بكل أبطال وخبراء الأمن السيبراني في نقطة التطوير

كل يوم بنسمع عن هجمات فيروسية، برمجيات فدية (Ransomware)، وتروجانات بتخترق الأجهزة وتسحب البيانات الحساسة. كباحث أمني أو محلل برمجيات خبيثة (Malware Analyst)، دورك هو إنك تاخد العينة دي في بيئة آمنة، تشرحها بدقة، وتعرف: جاية منين؟ بتعمل إيه في الجهاز؟ وبتتصل بيا سيرفرات خارجية (C2 Servers)؟

في المقال ده، هنتكلم عن المنهجية الصحيحة لتحليل أي ملف مشبوه خطوة بخطوة.

1. الخطوة صفر: إعداد معمل التحليل المعزول (Isolated Lab)
قاعدة رقم 1: إياك تشغل ملف مشبوه على جهازك الأساسي نهائياً!
البيئة الاحترافية لازم تكون:

• نظام وهمي معزول (Virtual Machine): استخدام VMware Workstation أو VirtualBox مع نظام مجهز بالكامل زي FLARE VM من شركة Mandiant.
• عزل الشبكة (Host-Only Network): أو استخدام أدوات محاكاة الإنترنت زي INetSim و FakeNet-NG عشان توهم الفيروس إنه متصل بالنت وهو في الحقيقة متصل بمحاكي محلي داخل جهازك.
• اللقطات اللحظية (Snapshots): خد Snapshot للنظام وهو نظيف، عشان ترجعله بضغطة زرار بعد انتهاء كل عملية فحص.

2. التحليل الساكن الأولي (Static Triage)
قبل ما تشغل العينة، في كنز من المعلومات تقدر تطلعه في ثواني:

• حساب الهاش (Hash Calculation): احسب MD5 و SHA256 للملف وابحث عنه في VirusTotal لمعرفة هل هو معروف مسبقاً وتصنيفه إيه.
• فحص التغليف والحمايات (Detect It Easy): هل الملف مشفر بـ UPX، Themida، أو باكر مخصص؟
• استخراج النصوص (Strings & FLOSS): أداة FLOSS من أقوى الأدوات لأنها مش بس بتطلع النصوص العادية، دي بتفك السلاسل المشفرة (Obfuscated Strings) وتكشف عن عناوين الـ IP وروابط الدومينات ومفاتيح التشفير المخفية.
• فحص جدول الاستيراد (Import Table - IAT): الدوال المستوردة بتكشف نوايا الملف (لو مستورد URLDownloadToFileA أو WSASocket يبقى فيه اتصال خارجي، لو مستورد CreateRemoteThread أو WriteProcessMemory يبقى فيه حقن كود في العمليات).

3. التحليل الديناميكي ومراقبة السلوك المباشر (Behavioral Analysis)
دلوقتي بنشغل أدوات المراقبة ثم نشغل الملف الخبيث:

• Process Hacker / Process Explorer: لمراقبة شجرة العمليات والبرامج اللي بيتم توليدها في الخلفية وفحص الذاكرة.
• ProcMon (Process Monitor): الأداة الجبارة لمراقبة كل ملف بيتكتب على الهارد وكل مفتاح ريجستري بيتعدل.
• Wireshark & TCPView: لمراقبة حزم البيانات الصادرة وتحديد منافذ وبروتوكولات الاتصال بسيرفر التحكم (C2).
• RegShot: بياخد صورة من الريجستري قبل وبعد تشغيل الفيروس عشان تكتشف ملفات التثبيت التلقائي (Persistence Mechanisms زي Run Keys و Scheduled Tasks).

خلاصة وتوصيات للأمان:
تحليل البرمجيات الخبيثة فن ممتع جداً وبيحتاج صبر ودقة ملاحظة. المعرفة دي بتخليك مش بس قادر تحمي نفسك، لكن بتخليك فاهم إزاي تبني برمجيات دفاعية قوية تقف في وش أعتى الهجمات.

هل حابين نعمل موضوع قادم عن تشريح عينة رانسوم وير حقيقية وفك خوارزمية التشفير بتاعتها؟ شاركوني رأيكم في الردود!