التحليل الديناميكي في بيئة معزولة

يشغّل التحليل الديناميكي البرمجية الخبيثة في بيئة مضبوطة لمراقبة سلوكها الفعلي: الملفات التي تنشئها، ومفاتيح السجل التي تعدّلها، واتصالات الشبكة التي تجريها، والعمليات التي تطلقها. وهو يكشف ما لا يستطيع التحليل الساكن كشفه.

تُغلّف بيئة الاختبار المعزولة نظام التشغيل بخطافات مراقبة تعترض استدعاءات النظام. وتسجّل السجلات السلوكية كل حدث يتعلق بالملفات والسجل والشبكة والعمليات. ومن بيئات الاختبار الشائعة: Any.run (تفاعلية)، وCuckoo (مستضافة ذاتيًا)، وJoe Sandbox.

استخدم VMware أو VirtualBox مع شبكة مخصصة للمضيف فقط أو VLAN مخصصة. أنشئ لقطة نظيفة قبل تشغيل العينات. لا توصل جهازك الافتراضي للتحليل بشبكات الإنتاج مطلقًا — فقد تحاول البرمجية الخبيثة التحرك جانبيًا.

أرسل العينة، وراقبها في جهاز افتراضي تفاعلي مباشر، ثم نزّل التقرير السلوكي الكامل. يحدد Any.run مؤشرات الشبكة، وأشجار العمليات، والملفات المُسقطة، ووسوم تقنيات MITRE ATT&CK تلقائيًا.

تُظهر شجرة العمليات علاقات الأصل والفرع. وتشير مشاهدة word.exe وهو يطلق powershell.exe الذي يطلق بدوره cmd.exe إلى أداة إسقاط تعتمد على وحدات الماكرو. وتُعد العمليات الفرعية غير المتوقعة مؤشرًا رئيسيًا على الاختراق.

تُظهر التقاطات الشبكة في بيئة الاختبار استعلامات DNS (حل نطاق C2)، وإشارات HTTP/S، واستخراج البيانات. دوّن عناوين IP الوجهة، والمنافذ، وسلاسل User-Agent، وأنماط URI — فجميعها تصبح مؤشرات اختراق للشبكة.

غالبًا ما تُسقط البرمجيات الخبيثة حمولاتها في %TEMP% أو %APPDATA% أو أدلة النظام. وقد تستبدل الملفات الثنائية الشرعية (اختطاف DLL) أو تضيف نصوصًا لتحقيق الاستمرارية. راقب الملفات التي أُنشئت وعُدّلت وحُذفت بعناية.

تظهر الاستمرارية عبر مفاتيح Run (HKCU\Software\Microsoft\Windows\CurrentVersion\Run)، وتثبيت الخدمات (HKLM\SYSTEM\CurrentControlSet\Services)، واختطاف COM جميعها كأحداث في السجل ضمن سجلات بيئة الاختبار.

تعمل Cuckoo على Linux وتدير أجهزة Windows الافتراضية بوصفها ضيوفًا للتحليل. تقبل REST API العينات، وتعيد تقارير JSON، وتتكامل مع منصات استخبارات التهديدات. وتلتقط الوحدات القابلة للتخصيص تفريغات الذاكرة وملفات PCAP للشبكة.

تفحص البرمجيات الخبيثة المتطورة آثار بيئة الاختبار: انخفاض عدد العمليات، وعدم وجود حركة للماوس، ومفاتيح السجل الخاصة بالأجهزة الافتراضية (VMware Tools)، وأنماط محددة لأسماء المستخدمين، أو مدة تشغيل قصيرة. استخدم أجهزة حقيقية أو بيئات اختبار تعمل لفترات طويلة للتغلب على أساليب التملص.

يؤكد التحليل الديناميكي ما اقترحه التحليل الساكن. فإذا اكتشف التحليل الساكن استيرادات مشبوهة، يوضح التحليل الديناميكي ما إذا كانت قد استُدعيت فعلًا، وبأي معاملات — وبذلك يُبنى ملف سلوكي متكامل.

ما الذي تسجله بيئة الاختبار أساسًا أثناء التحليل الديناميكي للبرمجية الخبيثة؟

يشغّل التحليل الديناميكي البرمجية الخبيثة بأمان داخل بيئة اختبار معزولة لالتقاط سلوكها الحقيقي. وترسم أشجار العمليات، وحركة مرور الشبكة، وتغييرات السجل، وعمليات الملفات معًا صورةً كاملة لوظائف البرمجية الخبيثة ومؤشرات الاختراق.