التحليل الديناميكي

يشغّل التحليل الديناميكي البرمجية الخبيثة في بيئة مضبوطة ويراقب سلوكها: الملفات التي تنشئها، وتغييرات السجل، والعمليات التي تطلقها، وحركة الشبكة.

ويكشف ما تفعله العينة فعلياً، بما في ذلك السلوك المخفي عن التحليل الساكن بسبب التغليف.

شغّل البرمجيات الخبيثة فقط في بيئة اختبار معزولة: جهاز افتراضي يحتوي على لقطة نظيفة يمكنك الرجوع إليها.

استخدم شبكة للمضيف فقط أو شبكة وهمية حتى لا تتمكن البرمجية الخبيثة من الوصول إلى الإنترنت أو أنظمتك الحقيقية. لا تحللها مطلقاً على جهاز متصل بشبكة إنتاج.

قبل إطلاق العينة، أنشئ لقطة نظيفة للجهاز الافتراضي. وبعد التحليل، ارجع إليها لمحو أي تغييرات أجرتها البرمجية الخبيثة.

يتيح لك ذلك تشغيل العينة مراراً من حالة بداية متطابقة.

يسجل Procmon (مراقب العمليات) نشاط الملفات والسجل والعمليات في الوقت الفعلي. ويعرض التصفية حسب اسم عملية العينة ما تلمسه بالضبط.

ويكشف ذلك الملفات التي أُسقطت ومفاتيح السجل التي أُنشئت وآليات الاستمرارية.

يعرض كل من Process Explorer وProcess Hacker العمليات قيد التشغيل وعلاقات الأصل والفرع والخيوط المحقونة.

غالباً ما تطلق البرمجيات الخبيثة عمليات فرعية أو تحقن نفسها في عمليات شرعية مثل explorer.exe للاختباء.

استخدم Wireshark لالتقاط حركة الشبكة، واستخدم INetSim أو FakeNet-NG لمحاكاة خدمات الإنترنت. تظن البرمجية الخبيثة أنها وصلت إلى خادمها، بينما تسجل الطلبات بأمان.

يكشف ذلك نطاقات القيادة والتحكم والمنارات ومحاولات إخراج البيانات.

تجمع من خلال التحليل الديناميكي مؤشرات الاختراق (IOCs):

• تجزئات الملفات وأسماء الملفات المُسقطة.
• مفاتيح السجل المستخدمة للاستمرارية.
• نطاقات C2 وعناوين IP.
• أسماء كائنات Mutex.

تساعد مؤشرات الاختراق المدافعين على اكتشاف التهديد وحظره.

راقب كيفية بقاء البرمجية الخبيثة بعد إعادة التشغيل. تشمل الأساليب الشائعة ما يلي:

• مفاتيح Run في السجل.
• المهام المجدولة.
• الخدمات.
• إدخالات مجلد بدء التشغيل.

يُعد موضع الاستمرارية مؤشراً عالي القيمة للاختراق وهدفاً للإزالة.

تكتشف البرمجيات الخبيثة المتطورة بيئات الاختبار وترفض التشغيل. وقد تتحقق من آثار الأجهزة الافتراضية، أو قِصر مدة التشغيل، أو قلة أنوية CPU، أو وجود مصحح أخطاء.

وقد تؤخر بعض البرمجيات التنفيذ أو تتطلب تفاعلاً من المستخدم. ويُعد التعرف على حيل التملص هذه جزءاً من التحليل الديناميكي.

تؤتمت أدوات مثل Cuckoo Sandbox والخدمات المتوفرة عبر الإنترنت (Any.Run وHybrid Analysis) إطلاق العينات وتنتج تقارير سلوكية.

وهي تسرّع الفرز الأولي، لكن التحليل اليدوي الدقيق يظل يرصد ما تفوّته الأتمتة، ولا سيما العينات المتملصة.

يكمل التحليل الساكن التحليل الديناميكي. يكشف العمل الساكن الإمكانات والمؤشرات، بينما يؤكد العمل الديناميكي ما يُنفَّذ فعلياً.

عادةً ما يتنقل المحلل بينهما: فسلسلة يعثر عليها ساكنياً توجّه ما ينبغي مراقبته ديناميكياً، والسلوك المرصود يعيد توجيهه إلى التعليمات البرمجية التي يجب قراءتها في أداة التفكيك.

تذكّر خطوة الأمان الأساسية قبل إطلاق البرمجية الخبيثة.

أصبحت تفهم الآن التحليل الديناميكي للبرمجيات الخبيثة:

• شغّل العينة في جهاز VM معزول مع لقطة نظيفة وشبكة محاكاة.
• راقبها باستخدام Procmon وProcess Explorer وWireshark + INetSim.
• اجمع مؤشرات الاختراق وحدد آليات الاستمرارية.
• راقب حيل التملص المضادة للتحليل.

ستقرأ في الخطوة التالية التعليمات البرمجية نفسها باستخدام التفكيك.