أساسيات التفكيك

يحوّل التفكيك التعليمات البرمجية الآلية للملف الثنائي إلى تعليمات Assembly سهلة القراءة. ويتيح لك قراءة ما سينفذه CPU بالضبط.

وهذا ضروري عند عدم توفر التعليمات البرمجية المصدرية، كما هو الحال دائماً مع البرمجيات الخبيثة.

ينتج التفكيك تعليمات Assembly. أما إلغاء الترجمة فيتقدم خطوة أخرى، إذ يعيد بناء شيفرة شبه برمجية تقريبية عالية المستوى شبيهة بلغة C.

تكون الشيفرة شبه البرمجية أسرع في القراءة، بينما Assembly دقيقة. ويستخدم المحللون كلتيهما، ويتنقلون بينهما حسب الحاجة.

إن Ghidra حزمة مجانية مفتوحة المصدر للهندسة العكسية من NSA. وهي تفكك العديد من البنى، وتتضمن مترجمًا عكسياً قوياً.

يجعل سعرها وإمكاناتها منها أداة البداية المفضلة لدى معظم المحللين.

إن IDA Pro هو المعيار التجاري الراسخ منذ زمن طويل، والمعروف بأداة التفكيك القوية ومترجم الشيفرة العكسي (باستخدام إضافة Hex-Rays).

يُعد كل من IDA Free وأدوات أخرى مثل Binary Ninja وradare2/Cutter بدائل شائعة.

تستورد العينة إلى الأداة، التي تحللها تلقائياً: فتحدد الدوال والمراجع التبادلية والسلاسل النصية.

وتبني الأداة خريطة للبرنامج يمكنك التنقل فيها، بدءاً من نقطة الدخول أو عمليات الاستيراد المهمة.

تنقل تعليمات Assembly البيانات وتجري العمليات عليها. إليك بعض تعليمات x86 الشائعة:

• mov: نسخ البيانات.
• push / pop: عمليات المكدس.
• call / ret: استدعاء الدوال والعودة منها.
• cmp / jmp / je: المقارنة والتفرع.

تُظهر المراجع التبادلية (xrefs) مواضع استخدام دالة أو سلسلة نصية. ويؤدي العثور على مراجع تبادلية لواجهة API مشبوهة مثل CreateRemoteThread إلى نقلك مباشرةً إلى التعليمات البرمجية ذات الصلة.

ويتيح لك ذلك التنقل وفقاً للسلوك بدلاً من قراءة البرنامج من أوله إلى آخره.

تكشف استدعاءات Windows API المستوردة عن الهدف. إن رؤية VirtualAlloc ثم WriteProcessMemory ثم CreateRemoteThread تمثل تسلسلاً كلاسيكياً لـحقن العمليات.

ويُعد التعرف على هذه الأنماط جوهر الهندسة العكسية للبرمجيات الخبيثة.

توفر أدوات فك التجميع عرضاً بيانياً يعرض الكتل الأساسية والتفرعات التي تصل بينها. ويعمل ذلك على تصور تدفق التحكم في الدالة، مما يجعل تتبع الحلقات والشروط سهلاً.

وهو أكثر قابلية للقراءة بكثير من قائمة التعليمات الخطية عند التعامل مع المنطق المعقد.

يتكامل فك التجميع الساكن جيداً مع مصحح الأخطاء. عندما تكون التعليمات البرمجية مموهة أو ذاتية التعديل، يمكنكم تعيين نقاط توقف والتنفيذ خطوة بخطوة أثناء التشغيل لرؤية التعليمات الفعلية.

ويُعد هذا الجسر إلى التحليل الديناميكي ضرورياً للعينات المضغوطة، التي يتناولها الدرس التالي.

كلما فهمتم الدوال والمتغيرات، أعيدوا تسميتها وأضيفوا تعليقات في أداة فك التجميع. إن تحويل sub_401000 إلى decrypt_config يجعل بقية التحليل أسهل بكثير.

وتُعد هذه التسمية التدريجية الطريقة التي يعيد بها المحللون بناء المنطق الكامل لعينة برمجية خبيثة تدريجياً.

تذكروا الفرق بين مخرجي Ghidra الرئيسيين.

أصبحتم الآن تفهمون أساسيات فك التجميع:

• ينتج فك التجميع لغة التجميع، بينما تنتج إزالة التجميع شيفرة زائفة.
• تُعد أداتا Ghidra (المجانية) وIDA Pro الأداتين الرئيسيتين.
• استخدموا المراجع التبادلية وأنماط استدعاءات API (مثل تسلسلات الحقن) للتنقل وفقاً للسلوك.
• يصور العرض البياني تدفق التحكم؛ اقرنوه بمصحح أخطاء عند تحليل الشيفرة المموهة.

ستتعلمون بعد ذلك التغلب على أدوات التغليف من خلال فك التغليف.