التحليل الجنائي الرقمي وأول نظرة على البرمجيات الخبيثة

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1ترتيب التطاير وسلسلة الحيازة

أول قرار في الحادثة: لا تطفئ الجهاز. إطفاؤه يمحو الذاكرة، وفيها العمليات الجارية والاتصالات المفتوحة ومفاتيح التشفير، وأحيانًا برنامج خبيث لا يكتب شيئًا على القرص. اعزله عن الشبكة (عبر EDR أو بفصل الشبكة لا الكهرباء)، والتقط الذاكرة، ثم انسخ القرص. وكل دليل له سجل حيازة: من جمعه، ومتى، وبأي أداة، وتجزئته، ومن استلمه بعده.

بت واحد يغير التجزئة كلها، لهذا تثبت التجزئة أن النسخة طبق الأصل ولم يمسها أحد.

import hashlib, json, datetime

disk = bytes(range(256)) * 4096                 # stands in for a disk image
copy = bytearray(disk)

original_hash = hashlib.sha256(disk).hexdigest()
copy_hash = hashlib.sha256(copy).hexdigest()
record = {"item": "LAPTOP-HR-07 disk", "collected_by": "analyst A", "tool": "imager v4",
          "utc": datetime.datetime(2026, 11, 2, 9, 14).isoformat(), "sha256": original_hash[:16] + "..."}
print(json.dumps(record, indent=1))
print("copy verified:", copy_hash == original_hash)

copy[1000] ^= 1                                # one bit changes by accident
print("after one bit flips:", hashlib.sha256(copy).hexdigest() == original_hash)

2الذاكرة والخط الزمني

في الذاكرة ترى ما كان يعمل لحظة الالتقاط. بـ Volatility تسأل: ما العمليات؟ من أبوها؟ ما الاتصالات المفتوحة؟ هل توجد شيفرة محقونة في عملية سليمة (malfind)؟ ثم تبني خطًا زمنيًا واحدًا من كل المصادر: سجلات الأحداث، وPrefetch، وتواريخ الملفات، والبروكسي، والبريد. القصة تظهر حين تصطف الأحداث بالدقيقة.

# Volatility 3 on a memory image from the lab
vol -f laptop-hr-07.mem windows.pstree      # who started whom: winword.exe -> powershell.exe is a red flag
vol -f laptop-hr-07.mem windows.netscan     # open connections and the process that owns each
vol -f laptop-hr-07.mem windows.malfind     # memory regions that look like injected code
vol -f laptop-hr-07.mem windows.cmdline     # the full command line of every process

سبعة أحداث من خمسة مصادر تصبح قصة: بريد، فماكرو، فأداة تحكم، فبقاء، فانتشار. هذا قلب تقرير الحادثة.

events = [
    ("2026-10-28 09:02:11", "email",    "HR-07 receives 'Salary_review.docm' from an outside sender"),
    ("2026-10-28 09:05:40", "prefetch", "WINWORD.EXE runs"),
    ("2026-10-28 09:05:52", "sysmon 1", "winword.exe starts powershell.exe -enc ..."),
    ("2026-10-28 09:05:55", "proxy",    "HR-07 -> cdn-update-sync.net (first time ever)"),
    ("2026-10-28 09:06:30", "sysmon 11","file C:\\Users\\Public\\upd.dll written"),
    ("2026-10-28 09:07:02", "4698",     "scheduled task 'GoogleUpdateTaskCore' created"),
    ("2026-10-28 13:40:18", "4624",     "HR-07 logs on to FILESRV-01 with admin rights (type 3)"),
]
for when, source, what in sorted(events):
    print(f"{when}  {source:<9} {what}")
first, last = events[0][0][11:16], events[-1][0][11:16]
print(f"from first email ({first}) to the file server ({last}): the attacker spent ~4.5 hours inside")

3فحص ملف مشبوه بأمان

القاعدة الأولى: لا تفتح العينة على جهازك أبدًا. استخدم جهازًا افتراضيًا معزولًا بلا شبكة حقيقية (أو بشبكة مزيفة مثل INetSim)، والتقط لقطة نظيفة لتعود إليها. ابدأ ثابتًا بلا تشغيل: التجزئة (هل يعرفها أحد؟)، والنصوص (عناوين، وأوامر، ورسائل)، والدوال المستوردة (هل تطلب حقن عمليات أو تشفير ملفات؟)، والإنتروبيا: قسم قريب من 8 بت لكل بايت يعني بيانات مضغوطة أو مشفرة تخفي شيئًا. ثم ديناميكيًا: شغّلها وراقب العمليات والملفات والسجل والشبكة.

العينة هنا بايتات مصنوعة للتعلم، لا برنامج حقيقي. لاحظ أن آخر الملف قريب من 8: هكذا يبدو الجزء المضغوط.

import hashlib, math, re
from collections import Counter

def entropy(data):
    counts = Counter(data)
    return -sum(c / len(data) * math.log2(c / len(data)) for c in counts.values())

def strings(data, minimum=6):
    return [s.decode() for s in re.findall(rb"[ -~]{%d,}" % minimum, data)]

sample = (b"MZ\x90\x00" + b"\x00" * 60 + b"This program cannot be run in DOS mode.\x00"
          + b"http://cdn-update-sync.net/gate.php" + b"\x00" * 20 + b"vssadmin delete shadows /all /quiet"
          + bytes((i * 167 + 13) % 256 for i in range(3000)))          # a packed-looking blob

print("sha256 :", hashlib.sha256(sample).hexdigest()[:24], "...")
print("entropy: header", round(entropy(sample[:200]), 2), "| last 3000 bytes", round(entropy(sample[-3000:]), 2))
for s in strings(sample):
    flag = "  <- suspicious" if re.search(r"http|vssadmin|delete", s) else ""
    print("string :", s[:60] + flag)

4YARA: قاعدة تعرف العائلة

بعد التحليل، احفظ ما تعلمته في قاعدة YARA: نصوص وبايتات مميزة وشرط يجمعها. تشغّلها على كل الأجهزة (عبر EDR أو Velociraptor) لتجد نسخًا أخرى من العائلة نفسها حتى لو تغيرت تجزئتها.

rule Darb_Lab_Loader_Family
{
    meta:
        author = "your name"
        description = "Loader seen in the HR-07 lab case: C2 gate + shadow-copy wipe"
        date = "2026-11-02"
    strings:
        $mz   = { 4D 5A }
        $gate = "/gate.php" ascii
        $vss  = "vssadmin delete shadows" ascii nocase
        $task = "GoogleUpdateTaskCore" ascii wide
    condition:
        $mz at 0 and filesize < 2MB and 2 of ($gate, $vss, $task)
}

مثال محلول

المسألة: المحلل في الوردية الليلية رأى تنبيه «PowerShell مشفر من Word» على جهاز في الموارد البشرية، وكتب: «أعدت تشغيل الجهاز ليتوقف البرنامج». ما الذي ضاع؟ وما الذي ما زال ممكنًا؟

الحل: ضاع: الذاكرة كلها: العمليات والاتصالات المفتوحة وأي شيفرة لم تُكتب على القرص، وربما مفاتيح. ما زال ممكنًا: (1) اعزل الجهاز الآن. (2) اجمع الآثار: Prefetch وAmcache ومفاتيح Run والمهام المجدولة (4698) وسجلات الأحداث وSysmon. (3) انسخ القرص بتجزئة. (4) اسحب من SIEM والبروكسي سجلات الجهاز. (5) ابنِ الخط الزمني. (6) افحص المرفق في مختبر معزول. (7) اكتب قاعدة YARA وشغّلها على كل الأجهزة. والدرس للفريق: «اعزل ولا تطفئ» في دليل الاستجابة.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك