مجال بحثي · تحليل الملفات الثنائية والتحليل الجنائي وكيلي
من الملف الثنائي إلى مسار الهجوم: فهم الشيفرة الخبيثة واشتقاق الكشف
لا يكتمل تحليل البرمجيات الخبيثة إلا حين يتحول فهم السلوك إلى كشف. ونربط الهندسة العكسية المدعومة بالذكاء الاصطناعي بالممارسة الجنائية الرقمية: إذ يساند وكلاء متخصصون في VamiReverse المحللين الذين يراجعون القواعد ومؤشرات الاختراق (IOCs) والربط بـ MITRE ATT&CK – وصولًا إلى تقييم الاختراق (Compromise Assessment) الذي يبحث في بيئتكم عن هذه الآثار تحديدًا.
- تحليل متعدد الوكلاء
- APK · PE/ELF · .NET
- YARA · Sigma · Suricata
- مؤشرات الاختراق وMITRE ATT&CK
- Frida
- تقييم الاختراق
- Honeypots والخداع
- دراسات معمّقة
- 4
- أوراق بيضاء
- 0
- حلول
- 1
لماذا لا ينتهي التحليل إلا بالكشف والتنظيف
كثيرًا ما يبقى المهاجمون دون اكتشاف: فوفق Mandiant M-Trends 2026 بلغ الوسيط العالمي لمدة بقاء المهاجمين 14 يومًا في عام 2025، ولم يُكتشف داخليًا سوى 52% من الحوادث المدروسة. ولا تجيب عيّنة منفردة في ذلك إلا عن القليل. فالمطلوب هو السلوك وآليات الاستمرارية ومسارات الاتصال، ومؤشرات يمكن البحث بها في بيئة المؤسسة نفسها، وقواعد كشف مشتقة منها.
وهنا تنطلق VamiReverse: إذ يعتمد وكلاء متخصصون على أدوات مُشغَّلة ذاتيًا مثل Ghidra وILSpy وjadx، ويحللون تطبيقات Android بصيغة APK وبرامج Windows وLinux بصيغة PE/ELF، بما في ذلك .NET. ويقدّمون شيفرة زائفة (Pseudocode) مشروحة بالذكاء الاصطناعي، وتحليلًا للسلوك، وفرضيات حول الثغرات، وقواعد YARA وSigma وSuricata، ومؤشرات الاختراق (IOCs)، والربط بـ ATT&CK. ويمكن فحص تطبيقات Android ديناميكيًا باستخدام Frida في بيئة Sandbox ومحاكي؛ يقترح الذكاء الاصطناعي، ويراجع المحللون.
ويُظهر تقرير الوضع الذي نشرناه في 31 أكتوبر 2026 بشأن إضافة Claude Code المتلاعب بها كيف تبدو هذه المؤشرات: مفتاح SSH يحمل التعليق svc-telemetry، ووكيل التشغيل (LaunchAgent) com.apple.sysmond أو المهمة المجدولة SysMon، واتصالات صادرة إلى خادم تابع للمهاجمين. وتستند هذه المعلومات إلى إشعار الأمان الصادر عن Cursor وإلى تحليلات OpenSourceMalware وStepSecurity – وهي تحديدًا نوع الآثار التي يبحث عنها تقييم الاختراق (Compromise Assessment).
أسئلة مفتوحة من الممارسة العملية
- 01
إلى أي مدى يمكن تفويض تحليل البرمجيات الخبيثة إلى وكلاء الذكاء الاصطناعي؟
نهجنا
بالقدر الذي يراجع فيه المحللون النتائج. ففي VamiReverse يساند وكلاء متخصصون المحللين بدلًا من أن يحلّوا محلهم: يصنّفون السلوك، ويقترحون القواعد، ويُعدّون تقرير تحليل. وتُشغَّل المنصة بوصفها SaaS على T Cloud Public حصريًا في مراكز بيانات ألمانية، أو On-Prem عند الطلب؛ ونموذج LLM قابل للاختيار، ولا يجري أي تدريب للذكاء الاصطناعي على بيانات العملاء.
- 02
متى يكفي مسح مؤشرات الاختراق (IOC Sweep)، ومتى تلزم عملية بحث قائمة على السلوك؟
نهجنا
تقارن مسوحات IOC الآثار الجنائية الرقمية بمؤشرات معروفة مثل بصمات الملفات (Hashes) وعناوين IP والنطاقات؛ فهي تعثر على ما هو معروف أصلًا. أما التحليلات القائمة على TTP فتبحث على امتداد MITRE ATT&CK عن تقنيات الهجوم، فترصد بذلك أيضًا النشاط الذي لا توقيع معروفًا له. وفي تقييم الاختراق نجمع بين الاثنين وبيانات القياس عن بُعد من EDR؛ ويتحقق المحللون يدويًا من النتائج اللافتة.
- 03
ما الذي يبقى على الجهاز بعد إزالة إضافة متلاعب بها؟
نهجنا
في حالة إضافة Claude Code بقيت مفاتيح SSH والنصوص البرمجية ووكيل التشغيل (LaunchAgent) أو مهمة مجدولة بعد إلغاء التثبيت. والترتيب مهم: فصل الجهاز عن الشبكة وتأمين الآثار، وإزالة آليات الاستمرارية، ثم تثبيت الإصدار النظيف وتغيير بيانات الاعتماد من جهاز نظيف. ويوضّح تقييم الاختراق (Compromise Assessment) بعد ذلك ما إذا كانت هناك أنشطة لاحقة.
- 04
ماذا تكشف Honeypots عن أدوات المهاجم؟
نهجنا
يتوقف ذلك على عمق التفاعل. فـ Honeypots منخفضة التفاعل تحاكي الخدمات بشكل سطحي فقط وتقدّم رؤى محدودة. أما Honeypots عالية التفاعل فتوفّر أنظمة حقيقية وتتيح تحليلًا معمّقًا للأدوات وأساليب العمل، لكنها تتطلب تأمينًا أكبر بكثير. وكي لا يتحول الطُّعم المخترق إلى نقطة انطلاق، نقيّد حركة البيانات الصادرة بصرامة.
ما نخلص إليه
- 01
حتى أسماء متغيرات البيئة تكشف مواضع الوصول
كان المُحمِّل (Loader) في إضافة Claude Code المتلاعب بها موجودًا في بداية extension.js، قبل الشيفرة الفعلية، وكان يعمل بمجرد التحميل؛ ولم تكن هناك حاجة إلى محادثة مع Claude. وأُرسل ملف تعريفي عن الجهاز وأسماء متغيرات البيئة، لا قيمها وفق التحليلات المتاحة حتى الآن. وهذه الأسماء وحدها تكشف بالفعل أين توجد بيانات الوصول.
المرجع: التلاعب بإضافة Claude Code في متجر Cursor: ما يجب أن تعرفه فرق التطوير عن الباب الخلفي عبر SSH
- 02
النتيجة السلبية لا تسري إلا على البيانات المتاحة
يقدّم تقييم الاختراق (Compromise Assessment) لقطة آنية لنطاق وفترة زمنية محددين. وإذا لم يعثر على نشاط للمهاجمين، فإن ذلك لا يُثبت خلوًّا مطلقًا من الاختراق. كما تقدّم تقييمات كثيرة نتائج هيكلية: فجوات في التسجيل وفي تغطية أجهزة الاستشعار، وفترات احتفاظ بالسجلات قصيرة جدًا – وهي نقاط ضعف تُصعّب المعالجة الجنائية الرقمية لاحقًا.
- 03
بيانات الحوادث أدلة إثبات – حتى دون ملاحقة جنائية
وفق NIST SP 800-61 Rev. 3 يجب الحفاظ على سلامة بيانات الحوادث المجمَّعة ومنشئها؛ ويصف ISO/IEC 27037 لذلك التعرّف والجمع والاكتساب والحفظ باستخدام قيم التجزئة (Hashes) وسلسلة العهدة (Chain of Custody). وبالنسبة إلى التحليل يعني ذلك: تأمين البيانات المتطايرة مثل الذاكرة العاملة أولًا، وعدم إعادة تثبيت الأنظمة المخترقة على عجل، لأن ذلك يُتلف الأدلة.
المرجع: الاستجابة للحوادث
- 04
جودة الكشف تتفوق على درجة التغطية
يفهرس MITRE ATT&CK التقنيات المرصودة، لكنه ليس كتالوج تدابير ولا قائمة تحقق للامتثال. وقد تولّد الخرائط الحرارية للتغطية (Coverage Heatmaps) أمانًا زائفًا حين تغطي قواعد ضعيفة كثيرة التقنيات اسميًا فقط. ولا تُحدث القواعد المستمدة من تحليل البرمجيات الخبيثة أثرها إلا حين يُجمع مصدر البيانات المناسب ويُختبر الكشف مقابل سلوك حقيقي للمهاجمين.
المرجع: MITRE ATT&CK
كيف نعمل
يقدّم التحليل الثابت والديناميكي فرضيات. ولا تصبح موثوقة إلا بمراجعة المحللين والربط بـ MITRE ATT&CK والبحث في البيئة المتأثرة.
تحليل وكيلي للملفات الثنائية
وكلاء متخصصون يعتمدون على Ghidra وILSpy وjadx: شيفرة زائفة (Pseudocode) مشروحة بالذكاء الاصطناعي، وتحليل للسلوك، وفرضيات حول الثغرات لملفات APK وPE/ELF بما في ذلك .NET.
تحليل ديناميكي لتطبيقات Android
تُشغَّل تطبيقات Android باستخدام Frida في بيئة Sandbox ومحاكي، وتُفحص أثناء التشغيل.
قواعد الكشف ومؤشرات الاختراق
قواعد YARA وSigma وSuricata، ومؤشرات الاختراق (Indicators of Compromise)، والربط بـ MITRE ATT&CK بوصفها نتيجة قابلة للفحص للتحليل.
مسوحات IOC وTTP
مقارنة الآثار الجنائية الرقمية بالمؤشرات المعروفة، والبحث السلوكي عن تقنيات الهجوم، مع استكمال ذلك ببيانات القياس عن بُعد من EDR والتحقق اليدوي.
حفظ الأدلة وفق ISO/IEC 27037
التعرّف على الأدلة الرقمية وجمعها واكتسابها وحفظها – باستخدام نسخ عمل وقيم تجزئة وسلسلة عهدة (Chain of Custody) متصلة دون انقطاع.
Honeypots وHoneynets
طُعوم تبدو واقعية في مقاطع Honeynet معزولة لرصد تقنيات المهاجمين – مفصولة بصرامة عن الشبكة الإنتاجية، وينتهي الخداع عند حدود الشبكة الخاصة.
هكذا تبدؤون
- 1تأمين الأثر وتشريحهتأمين العيّنة بطريقة جنائية سليمة، وتحليلها تحليلًا ثابتًا وديناميكيًا، واستخلاص السلوك وآليات الاستمرارية ومسارات الاتصال.
- 2اشتقاق الكشف وفحصهيراجع المحللون مقترحات الوكلاء ويشتقون القواعد ومؤشرات الاختراق (IOCs) والربط بـ ATT&CK – موثّقة بشكل قابل للتتبع في تقرير التحليل.
- 3البحث في البيئة وتنظيفهامسوحات IOC وTTP ضمن تقييم الاختراق (Compromise Assessment)؛ وعند وجود اختراق نشط انتقال منظَّم إلى الاستجابة للحوادث مع التنظيف وتغيير بيانات الاعتماد.
دراسات معمّقة وأوراق بيضاء وتحليلات
دراسات معمّقة 4
من المجال البحثي إلى التطبيق
مجالات بحثية ذات صلة
ملف مشبوه أو سلوك لافت في الشبكة؟
نحلل العيّنات، ونفحص بيئتكم ضمن تقييم الاختراق (Compromise Assessment)، ونرافق عملية التنظيف. وعند وجود اشتباه عاجل يمكن الوصول إلى فريق CSIRT لدينا في أي وقت عبر csirt@vamisec.com.