البرمجيات الخبيثة (Malware) هي برمجيات تُتلف أو تُعطّل أنظمة الحاسوب، وتمنح منشئها سيطرة جزئية أو كاملة عليها لأغراض خبيثة كالسرقة أو الاحتيال. تشمل: الفيروسات، الديدان، أحصنة طروادة، Rootkits، Backdoors، Botnets، Ransomware، Spyware، Adware، Scareware، Keyloggers، وغيرها.
| المدخل | الوصف |
|---|---|
| تطبيقات المراسلة الفورية | استقبال ملفات عبر Messenger وWhatsApp وLinkedIn — مرسِل الملف ممكن يكون مهاجم اخترق حساب شخص معروف |
| وسائط الـ USB وأجهزة التخزين المحمولة | وصول فيزيائي للجهاز — نسخ برنامج حصان طروادة من USB للقرص الصلب |
| ثغرات المتصفح والبريد الإلكتروني | متصفحات أو برامج بريد قديمة — الزيارة لموقع خبيث قد تُصيب الجهاز تلقائيًا بدون أي تحميل |
| إدارة التصحيحات غير الآمنة | برمجيات غير مُحدَّثة — يستغلّها المهاجمون لحقن برمجيات خبيثة تتلف بيانات الشركة وتسرق بيانات اعتمادها |
| مواقع غير موثوقة وبرمجيات مجانية | تنزيل أدوات من مواقع "underground" — ممكن يكون وسيلة لهجوم حصان طروادة |
| مرفقات البريد الإلكتروني | الأكثر شيوعًا — المرفق ممكن يكون مستند أو ملف صوتي أو فيديو أو فاتورة أو رسالة عرض وظيفة |
| شبكات Bluetooth والـ Wi-Fi المفتوحة | أجهزة وبرمجيات مثبّتة على مستوى الراوتر لالتقاط حركة المرور وتفاصيل الحسابات |
| تثبيت بواسطة برمجية خبيثة أخرى | البرمجيات ذات الـ C&C بتُعيد الاتصال بسيرفر المهاجم عبر بروتوكولات التصفح الشائعة وتستقبل أوامر لتثبيت برمجيات إضافية |
| التقنية | الوصف |
|---|---|
| Black Hat SEO | تكتيكات SEO عدوانية (Keyword Stuffing، Doorway Pages) لرفع تصنيف صفحات البرمجيات الخبيثة |
| Social Engineered Click-jacking | حقن برمجيات خبيثة في مواقع تبدو شرعية لخداع المستخدمين للنقر عليها |
| Spear-phishing Sites | محاكاة مؤسسات شرعية (بنوك) لسرقة كلمات المرور وبيانات البطاقات |
| Malvertising | تضمين إعلانات محمَّلة ببرمجيات خبيثة في قنوات إعلانات أونلاين شرعية |
| Compromised Legitimate Websites | مواقع مخترَقة — المستخدم يثبّت البرمجية الخبيثة دون علمه بمجرد الزيارة |
| Drive-by Downloads | تحميل تلقائي غير مقصود عبر استغلال ثغرات المتصفح بمجرد زيارة موقع |
| Spam Emails | الأسلوب الأكثر شيوعًا حاليًا — مرفق خبيث أو كود مضمَّن في جسم البريد نفسه |
| RTF Injection | حقن Macros خبيثة في ملفات RTF مُستضافة على سيرفرات المهاجم — يُحمَّل القالب تلقائيًا عند فتح المستند متجاوزًا أنظمة الأمان |
| المكوّن | الوصف |
|---|---|
| Crypter | برنامج يُخفي وجود البرمجية الخبيثة ويحميها من التحليل العكسي لتجاوز مضادات الفيروسات |
| Downloader | نوع من أحصنة طروادة يُحمِّل برمجيات أو ملفات خبيثة إضافية من الإنترنت — عادةً يُثبَّت أول ما يحصل المهاجم على وصول |
| Dropper | ناقل سري للبرمجيات الخبيثة — يُخفي ملفاتها ويُنفَّذ عبر تثبيتها، بإمكانه نقل وتنفيذ كود خبيث دون كشف مضادات الفيروسات |
| Exploit | الجزء المحتوي على كود أو تسلسل أوامر يستغلّ ثغرة في نظام رقمي — محلي أو بعيد |
| Injector | يحقن Exploits أو كودًا خبيثًا في عمليات جارية ضعيفة ويُعدِّل طريقة التنفيذ للإخفاء |
| Obfuscator | يُخفي الكود الخبيث بتقنيات متنوّعة لصعوبة كشفه من آليات الأمان |
| Packer | يضغط ملف البرمجية الخبيثة لتحويل الكود والبيانات لصيغة غير مقروءة |
| Payload | الجزء الذي ينفّذ النشاط الخبيث الفعلي — حذف ملفات، فتح منافذ، تدهور الأداء |
| Malicious Code | قطعة الكود المحدِّدة للوظيفة الأساسية للبرمجية الخبيثة |
التطبيقات غير المرغوب فيها (PUAs/PUPs) — تُعرف أيضًا كـ Grayware/Junkware — تطبيقات ضارّة محتملة قد تشكّل مخاطر جدية لأمان وخصوصية البيانات.
| النوع | الوصف |
|---|---|
| Adware | يعرض إعلانات غير مرغوب فيها ونوافذ منبثقة لخدمات أونلاين — ممكن يستدرج الضحايا للنقر على روابط خبيثة |
| Torrent | تطبيقات التورنت قد تُجبر المستخدم على تحميل برامج غير مرغوبة ذات خصائص مشاركة ملفات Peer-to-Peer |
| Marketing | تراقب الأنشطة الأونلاين وترسل تفاصيل المتصفح والاهتمامات لأصحاب تطبيقات طرف ثالث لأغراض تسويقية |
| Cryptomining | يستغلّ موارد الضحية المالية والشخصية للتعدين الرقمي لعملات مشفّرة كالبيتكوين |
| Dialers | برامج تُثبَّت تلقائيًا في النظام لإجراء مكالمات لجهات اتصال عديدة دون موافقة المستخدم — تُسبّب فواتير هاتف ضخمة |
APT هي نوع من هجمات الشبكة التي يحصل فيها المهاجم على وصول غير مصرَّح به للشبكة المستهدَفة ويبقى فيها غير مكتشَف لفترة طويلة. "Advanced" تعني استخدام تقنيات لاستغلال ثغرات النظام، "Persistent" تعني نظام C&C خارجي يستخرج البيانات ويراقب شبكة الضحية باستمرار، "Threat" تعني التنسيق البشري في التنفيذ.
APT attacks تستخدم كود خبيث محكم مع مزيج من عدة Zero-Day Exploits للوصول للشبكة المستهدَفة — تتضمّن تقنيات منسَّقة ومخطَّطة يمحو فيها المهاجمون أدلّة نشاطاتهم الخبيثة بعد تحقيق أهدافهم.
تحديد الهدف، إجراء بحث مكثَّف، تجميع فريق، بناء أو اقتناء أدوات، اختبار التحايل على الكشف.
Spear-phishing emails أو استغلال ثغرات سيرفرات متاحة علنًا — الروابط الخبيثة بتوجّه الهدف لمواقع تستغلّ متصفحه وبرامجه.
توسيع الوصول للشبكة المستهدَفة والحصول على بيانات اعتماد، تصعيد الصلاحيات للحصول على وصول إداري لأنظمة إضافية في الشبكة.
الحفاظ على الوصول للنظام المستهدَف من التحايل على أجهزة أمان الـ Endpoints حتى انتهاء الفائدة من البيانات.
تحقيق الهدف النهائي من استغلال الشبكة — الوصول لمورد قيّم أو استخدامه لمكسب مالي، مع استهداف بيانات أو مستندات محدَّدة.
إجراءات لمنع الكشف وإزالة أدلّة الاختراق — التهرّب من الكشف، محو أدلّة التسلّل، وأحيانًا التلاعب ببيانات البيئة المستهدَفة لتضليل المحلّلين الأمنيين.
بالقياس من أسطورة الحصان الخشبي الإغريقي — حصان طروادة بيعمل بنفس مستوى صلاحيات الضحية. لو عند الضحية صلاحيات حذف ملفات ونقل معلومات وتعديل ملفات وتثبيت برامج، فالحصان بعد إصابته للنظام هيمتلك نفس الصلاحيات دي. وبإمكانه محاولة استغلال ثغرات لرفع مستوى الوصول أعلى من المستخدم الذي يشغّله.
| النوع | الوصف |
|---|---|
| Remote Access Trojans (RATs) | يمنح المهاجم تحكّمًا كاملًا في نظام الضحية — وصول بعيد للملفات والمحادثات والبيانات المحاسبية. يعمل كسيرفر يستمع على بورت غير متاح عادةً للمهاجمين عبر الإنترنت. مثال: njRAT — تسجيل لوحة المفاتيح، وصول للكاميرا، سرقة بيانات اعتماد المتصفحات |
| Backdoor Trojans | يتجاوز آليات المصادقة القياسية والـ IDS والـ Firewalls دون كشف. يُثبَّت دون علم المستخدم. مثال: TinyTurla-NG (تشغيله مجموعة Turla الروسية) — يستخدم مواقع WordPress مخترَقة كـ C2 |
| Botnet Trojans | يُصيب عددًا كبيرًا من الأجهزة لإنشاء شبكة Bots تتحكّم فيها عبر مركز C&C. أمثلة: RDDoS، Horabot، Qakbot، Ramnit، ZeroBot، XorDdos |
| Rootkit Trojans | يستهدف الـ Root أو نظام التشغيل ويوفّر تحكّمًا كاملًا — لا يُكشَف عبر مراقبة الخدمات أو قوائم المهام. يتكوّن من Blended Threat: Dropper + Loader + Rootkit |
| E-Banking Trojans | يعترض بيانات حساب الضحية قبل تشفيرها — TAN Grabber، HTML Injection، Form Grabber، Covert Credential Grabber. مثال: CHAVECLOAK — يجمّد الشاشة ويلتقط ضغطات المفاتيح وينشئ نوافذ خداعية |
| Point-of-Sale Trojans | يستهدف أجهزة POS لسرقة بيانات بطاقات الائتمان (TRACK1 و TRACK2). مثال: PrilexPOS — ينتج EMV Cryptograms لتنفيذ معاملات وهمية متجاوزًا أنظمة Anti-Fraud |
| Defacement Trojans | يتلف أو يُغيّر محتوى قواعد البيانات بالكامل — وعند استهداف المواقع يُغيّر HTML مما يُحدث خسائر كبيرة للأعمال الرقمية |
| Service Protocol Trojans | يستغلّ بروتوكولات خدمة ضعيفة — VNC Trojans (Vultur، Dridex، Gozi يستخدمون HVNC)، HTTP/HTTPS Trojans يتجاوزون الـ Firewalls عبر بورت 80 |
| Mobile Trojans | يستهدف الهواتف المحمولة — سرقة بيانات اعتماد البنوك والشبكات الاجتماعية، تشفير البيانات، قفل الجهاز. مثال: Chameleon (Android) — يستغلّ Accessibility Service لتنفيذ هجمات DTO وATO |
| IoT Trojans | يستهدف أجهزة IoT ويستغلّ Botnet لمهاجمة أجهزة خارج الشبكة. مثال: OpenSSH Trojan — استغلّ OpenSSH المعدَّل لتثبيت كود تعدين عملات مشفّرة |
| Security Software Disabler Trojans | يوقف عمل الـ Firewalls وIDS بتعطيلها أو إنهاء عملياتها — يُعدّ بوابة دخول تُمهّد لمستويات هجوم أعلى |
| Destructive Trojans | يحذف ملفات ومجلّدات ومداخل Registry ومحرّكات محلية وشبكية عشوائيًا — ممكن يُفضي لفشل نظام التشغيل. مكتوب كـ Batch Files بسيطة بأوامر DEL أو DELTREE أو FORMAT |
| Command Shell Trojans | يوفّر تحكّمًا بعيدًا في Command Shell على جهاز الضحية. أمثلة: Netcat، DNS Messenger، GCat |
الفيروس هو برنامج ذاتي التكرار يُنتج كوده بإلحاق نسخ من نفسه بكود تنفيذي آخر، ويعمل دون علم المستخدم أو موافقته. مثل الفيروس البيولوجي، هو مُعدٍ ويُلوِّث ملفات أخرى — لكنه يحتاج مساعدة بشرية لإصابة أجهزة خارجية.
| النوع | الوصف المختصر |
|---|---|
| System / Boot Sector Virus | يُصيب Master Boot Record أو Boot Sector الخاص بالقرص |
| File Virus | يُلحق نفسه بالملفات التنفيذية (.exe, .com) |
| Multipartite Virus | يُصيب كلًّا من Boot Sector والملفات في آنٍ واحد |
| Macro Virus | يُصيب Macros في مستندات Office ويُطلَق عند فتحها |
| Cluster Virus | يُصيب جدول FAT ويجعل جميع البرامج تُشير إليه |
| Stealth / Tunneling Virus | يُخفي وجوده بالتلاعب في استدعاءات نظام التشغيل |
| Encryption Virus | يُشفِّر نفسه لتجاوز الكشف بالتوقيع |
| Sparse Infector Virus | يُصيب أحيانًا فقط لتقليل احتمال الكشف |
| Polymorphic Virus | يُغيّر شكله مع كل نسخ مع إبقاء وظيفته — يُولِّد توقيعات مختلفة في كل مرة |
| Metamorphic Virus | يُعيد كتابة كوده كاملًا مع كل نسخ |
| Overwriting / Cavity Virus | يكتب فوق الكود الأصلي للملف المُصاب |
| Companion / Camouflage Virus | يُنشئ ملفًا مصاحبًا بنفس الاسم لكن بامتداد مختلف |
| Shell Virus | يُحوِّل نفسه لـ Shell حول البرنامج الأصلي |
| FAT Virus | يُصيب جدول File Allocation Table |
| Logic Bomb Virus | ينشّط نفسه عند تحقّق شرط زمني أو حدث معيّن |
| Web Scripting Virus | يُصيب صفحات الويب ويُنفَّذ في متصفح الزائر |
| Email Virus | ينتشر عبر مرفقات البريد الإلكتروني |
| الأسلوب | الوصف |
|---|---|
| Virus Hoaxes | إنذارات كاذبة بشأن فيروسات غير موجودة — تنتشر بسرعة وبعضها يحتوي مرفقات فيروسية فعلية. مثال: Google Critical Security Alert Scam — تنبيه مزيَّف بأنشطة حساب يخدع المستخدم للنقر |
| Fake Antivirus | برمجيات احتيال مبنية على برمجيات خبيثة تُشبه مضادات الفيروسات الحقيقية — تظهر في إعلانات ونتائج محركات البحث لتخدع المستخدمين بتثبيتها |
Ransomware هو نوع من البرمجيات الخبيثة يُقيِّد الوصول للحاسوب المُصاب أو الملفات الحرجة، ويطلب دفع فدية أونلاين لإزالة القيود. ممكن يُشفِّر الملفات أو يقفل النظام ويعرض رسائل تنتحل صفة شركات أو جهات قانونية.
Mallox Ransomware يستهدف Windows عبر سيرفرات MS-SQL الضعيفة — يُشفِّر الملفات ويُلحق امتداد ".mallox" ويُنشئ ملف فدية "RECOVERY INFORMATION.txt". أُطلق في يونيو 2021 وله أكثر من 600 متغيّر حتى الآن في عائلة STOP/Djvu.
عائلات Ransomware الشائعة: Phobos، LockBitBlack، DarkSideRaaS، Conti، Cerber، NETWALKER، Maze، RansomEXX.
ديدان الحاسوب هي برامج خبيثة مستقلّة تتكرّر وتُنفَّذ وتنتشر عبر اتصالات الشبكة بشكل مستقل ودون تدخّل بشري. معظمها مُصمَّمة للتكرار والانتشار بحيث تستنزف موارد الحوسبة المتاحة، مما يجعل سيرفرات الشبكة والويب والأجهزة تزدحم وتتوقّف عن الاستجابة. المهاجمون يستخدمون Payloads الديدان لتثبيت Backdoors تحوّل الأجهزة لـ Zombies وتُنشئ Botnet.
استخدام أدوات زي Internet Worm Maker Thing أو Batch Worm Generator مع Packers وCrypters كـ BitCrypter للتشفير وتجنّب الكشف.
عبر رسائل Phishing أو مواقع خبيثة أو مشاركات شبكية أو USB مُصابة.
عند نقر المستخدم على رابط Phishing أو تحميل ملف — تُنفَّذ الدودة باستخدام كود Exploit وسكربت آلي.
من خلال الجهاز المُصاب، الدودة تفحص أجهزة ضعيفة أخرى على الشبكة بطريقة تلقائية — فحص بورتات مفتوحة أو ثغرات معروفة.
تنسخ نفسها للأجهزة الضعيفة المكتشَفة وتُكمل دورة الإصابة.
تُثبِّت Backdoors أو تُعدِّل إعدادات النظام للبقاء نشطةً وتُسرِّب البيانات باستمرار من الأجهزة المُصابة.
أمثلة على ديدان حديثة: SSH-Snake، Raspberry Robin، P2PInfect.
البرمجيات الخبيثة الغير ملفية (Non-Malware) تُصيب برمجيات شرعية وتطبيقات وبروتوكولات قائمة في النظام دون ترك ملفات على القرص. تقيم عادةً في ذاكرة RAM وتحقن كود خبيث في عمليات جارية كـ Microsoft Word وFlash وPowerShell وWMI وJavaScript. صعوبة كشفها الأساسية أنها لا تُخزَّن على القرص، مما يجعل فحص التوقيعات التقليدية عديم الفائدة.
| الأسلوب | الوصف |
|---|---|
| Document Exploits | وثائق بـ Macros خبيثة (VBA/JavaScript) تُطلق عبر رسائل Phishing — الماكرو يستغلّ PowerShell لتشغيل Payload إضافي بدون أثر على القرص |
| In-Memory Exploits | حقن Payload مباشرةً في ذاكرة RAM تستهدف عمليات شرعية — استغلال APIs أو أدوات إدارة Windows (WMI، PSExec، PowerShell) |
| Script-based Injection | سكربتات بـ Binaries وShellcode مُخفَّفة ومُجمَّعة لتجنّب إنشاء ملفات على القرص — تُنفَّذ مباشرةً من الذاكرة عبر PowerShell. أمثلة: KOVET، POWMET، FAREIT |
| System Admin Tools Exploitation | استغلال Certutil وWMIC وRegsvr32 وRunddl32 لتشغيل DLLs خبيثة وتثبيت نسخ معدَّلة من أدوات Pen Testing |
| Phishing | روابط Spam تُوجَّه لمواقع تُحمِّل Flash وتُطلق الاستغلال — تفحص ثغرات PowerShell وWMI وJava plugins وتُحمِّل Payload وتُسرِّب بيانات الذاكرة |
| Windows Registry | تعديل ExecutionPolicy لـ "unrestricted" أو "bypass" لتسهيل تنفيذ سكربتات خبيثة — استغلال Kovter عبر تعديل mshta.exe في الـ Registry |
| Reflective DLL Injection | تحميل DLL في ذاكرة عملية جارية بدون كتابتها على القرص — تجنّب الكشف عبر الفحص القائم على القرص |
| النوع | الوصف |
|---|---|
| Type 1: لا نشاط على القرص | لا يكتب ملفات أبدًا — مثال: حزم خبيثة تستغلّ ثغرة تُثبِّت Backdoor في ذاكرة Kernel، أو كود في Firmware الجهاز (أصعب نوع في الكشف) |
| Type 2: نشاط غير مباشر على القرص | يستخدم ملفات للتواجد Fileless — مثال: حقن أمر PowerShell خبيث في WMI Repository لإعداد Filter يُنفَّذ دوريًا |
| Type 3: يحتاج ملفات للتشغيل | يحتاج ملفات لكن لا ينفِّذ الهجمات منها مباشرةً — مثال: استغلال مستند بـ Macro أو Java/Flash لحقن Payload ثم الحفاظ على الاستمرارية بدون ملفات |
,;cmd.exe,/c,;,echo;powershell.exeset a=Power &&set b=Shell && %a:~0,-1%%b%المهاجمون يُخزِّنون الـ Payload الخبيث داخل Registry الذي يحتفظ بإعدادات التطبيقات — عند تحميل الكود الخبيث في مفاتيح الـ Registry، يُنفِّذ نفسه مع كل إعادة تشغيل أو عند النقر على ملف اختصار. كمان يُمكن استغلال Windows Task Scheduler لتنشيط سكربتات في أوقات محدَّدة. مثال: LODEINFO — يبدأ برسائل Phishing تحتوي وثائق Word، وعند فتحها تُطلق VBA Macros لتنزيل وتنفيذ الـ Implant.
تطوّر AI أدّى لتحوّل المجرمين الإلكترونيين لاستغلال خوارزميات التعلّم الآلي لإنشاء برمجيات خبيثة أكثر تخفّيًا وصمودًا. أبرز متغيّراتها: BlackMamba، WormGPT، FraudGPT، Stuxnet، DeepLocker، Mylobott.
| المرحلة | الوصف |
|---|---|
| Infiltration (التسلّل) | الوصول للنظام المستهدَف عبر رسائل Phishing أو أجهزة سيّئة الإعداد أو برمجيات خبيثة قائمة |
| Establishment (التثبيت) | تأمين موطئ قدم باستغلال الثغرات أو تقنيات تهرّب متقدّمة |
| Learning (التعلّم) | استخراج بيانات النظام والشبكة والسلوك وآليات الأمان لاكتساب رؤى |
| Adaptation (التكيّف) | تعديل الكود المصدري بناءً على رؤى مرحلة التعلّم لتجاوز مضادات الفيروسات واعتماد استراتيجيات جديدة |
| Execution (التنفيذ) | تنفيذ الأنشطة المقصودة — سرقة بيانات، تشفير، إنشاء Backdoors |
| Propagation (الانتشار) | الانتشار لأنظمة أخرى باستغلال ثغرات أو أساليب هندسة اجتماعية |
| Evolution (التطوّر) | التحوّل لشكل أكثر تطوّرًا بالتكيّف مع كل التغييرات المواجَهة في المراحل السابقة |
مصطلح مستوحى من زراعة الخراف (غمس الخراف في محاليل كيميائية لتنظيفها من الطفيليات) — في أمان المعلومات هو تحليل ملفات مشبوهة وبرمجيات خبيثة محتملة على جهاز معزول عن بقية الشبكة لمنع انتشار أي إصابة. المهام النموذجية: تشغيل مراقِبات المستخدم والعمليات والبورتات والشبكة والمحرّكات والملفات والـ Registry والـ Kernel.
| النوع | الوصف |
|---|---|
| Static Malware Analysis (Code Analysis) | فحص الكود التنفيذي الثنائي بدون تشغيله — آمن لأن المحقّق لا يثبّت أو يُشغِّل الملف المشبوه. يتضمّن: File Fingerprinting، فحص محلي وأونلاين، بحث Strings، تحديد Packing/Obfuscation، معلومات PE، تبعيات الملف، Disassembly، تحليل ELF وMach-O وVBA Macros وPDF |
| Dynamic Malware Analysis (Behavioral Analysis) | تشغيل كود البرمجية الخبيثة لفهم تفاعلها مع النظام المضيف وأثرها بعد الإصابة — في بيئة محكومة (VM وSandbox). تعتمد على: Port Monitoring، Process Monitoring، Registry Monitoring، Network Traffic Analysis، وغيرها |
يُوصى دائمًا بإجراء كلا نوعَي التحليل معًا للحصول على فهم شامل لوظيفة البرمجية الخبيثة.
| التقنية | الوصف والأدوات |
|---|---|
| File Fingerprinting | حساب هاش للكود الثنائي (MD5، SHA-1، SHA-256) لتحديد البرمجية وتتبّعها ومقارنتها. أداة HashMyFiles (nirsoft.net) تحسب MD5/SHA1/CRC32/SHA-256/SHA-512. أدوات إضافية: Hashing، SHA-256 Calculator، Hash Tool، MD5sums |
| Local and Online Malware Scanning | فحص محلي بمضادات فيروسات محدَّثة أو رفع الملف على VirusTotal (virustotal.com) الذي يحسب الهاش ويقارنه بقواعد بيانات معروفة. أدوات إضافية: Any.Run، Hybrid Analysis، JoeSandbox Cloud، Jotti، Valkyrie Sandbox |
| Performing Strings Search | البحث عن سلاسل نصّية مُدمَجة في الكود الثنائي تكشف الوظيفة الخبيثة — URLs أو أوامر شبكية أو مسارات ملفات. أداة BinText تستخرج نصوص ASCII وUnicode وResource Strings |
| Identifying Packing/Obfuscation | تعبئة/تشويش الملفات التنفيذية لتجنّب الكشف — PEiD يُعرِّف أكثر من 600 Packer ومُجمِّع. DIE (Detect It Easy) للـ ELF (Linux/macOS). أدوات إضافية: Macro_Pack، UPX، ASPack، VMprotect |
| Finding PE Information | صيغة PE تحتوي Metadata عن البرنامج — وقت الإنشاء والتعديل، دوال Import/Export، وقت الترجمة، DLLs، سلاسل نصّية. أداة PE Explorer لفتح وعرض وتعديل ملفات EXE وDLL وActiveX وSCR وغيرها |
| Identifying File Dependencies | مكتبات واستدعاءات دوال يعتمد عليها الكود — Dependency Walker يبني مخطّطات هرمية لكل الوحدات المُعتمدة ويكشف مشاكل شائعة كوحدات مفقودة وتعارضات |
| Malware Disassembly | تفكيك الملف التنفيذي للكود الثنائي لدراسة وظائفه — يُحدِّد لغة البرمجة وAPIs المستخدَمة. أداة IDA Pro — Disassembler وDebugger متعدّد المنصّات يعرض التعليمات بصيغة Assembly |
| Analyzing ELF Executable Files | ELF الصيغة القياسية للملفات التنفيذية في Linux — يحتوي ELF Header وSections وSegments. أداة readelf لاستخراج Symbols وProgram Headers ومعلومات ELF Header |
| Analyzing Mach-O Files | صيغة Mach Object لـ macOS وiOS — تحتوي أجزاء __PAGEZERO/__TEXT/__DATA/__OBJC. أدوات: LIEF (قراءة وتلاعب)، otool (فحص المكتبات المرتبطة)، Hopper Disassembler (Reverse Engineering) |
| Analyzing Malicious MS Office Documents | أداة oletools (Python) لتحليل ملفات OLE2 الخاصة بـ Office — oleid لمراجعة المكوّنات المشبوهة، oledump لتحليل Macro Streams، olevba لعرض كود VBA وتحديد الكلمات المفتاحية المشبوهة |
| Analyzing Suspicious PDF Documents | PDFiD لفحص PDF وعرض هيكله والسكربتات — PDFStreamDumper لفحص العناصر الداخلية وسكربتات JavaScript المُخفَّفة والاستغلالات المعروفة. YARA لإنشاء قواعد مخصَّصة للكشف عن أنماط الإصابة في الملفات |
تحليل ديناميكي بيدرس سلوك البرمجية الخبيثة بتشغيلها في بيئة مُراقَبة — يُوفِّر معلومات قيّمة حول الملفات المُنشأة والبورتات والـ URLs المُتَّصل بها والمكتبات المُستدعاة والتغييرات في الإعدادات. يستلزم VM وSandboxes آمنة مع أدوات تلتقط كل تصرّف للبرمجية.
| نوع المراقبة | الوصف والأدوات الأساسية |
|---|---|
| Port Monitoring | البرمجيات الخبيثة تفتح بورتات للاتصال بسيرفرات بعيدة. Netstat لعرض اتصالات TCP النشطة. TCPView (Sysinternals) لقائمة تفصيلية بكل TCP وUDP Endpoints مع الحالة |
| Process Monitoring | البرمجيات الخبيثة تختفي خلف خدمات Windows أو تحقن نفسها في عمليات كـ explorer.exe. Process Monitor (Sysinternals) يُظهر نشاط نظام الملفات والـ Registry والعمليات في الوقت الفعلي. إضافي: Process Explorer، ESET SysInspector |
| Registry Monitoring | البرمجيات الخبيثة تُضيف مداخل Registry لضمان تشغيلها مع كل إقلاع. jv16 PowerTools لفحص ومراقبة الـ Registry. إضافي: Reg Organizer، Registry Viewer، Regshot |
| Windows Services Monitoring | البرمجيات الخبيثة تُثبَّت كخدمات تعمل في الخلفية بدون ظهور. Windows Service Manager (SrvMan) يكشف التغييرات ويفحص الخدمات المشبوهة |
| Startup Programs Monitoring | البرمجيات الخبيثة تُضيف نفسها لقائمة Startup. Autoruns for Windows يُظهر كل التطبيقات المُعدَّة للتشغيل التلقائي مرتّبة بالترتيب الذي تعالجه Windows |
| Event Logs Monitoring | تحليل سجلّات الأحداث لرصد السلوك الخبيث. أدوات: Splunk، ManageEngine Event Log Analyzer، Solarwinds Loggly، Netwrix Event Log Manager |
| Files and Folders Monitoring | البرمجيات الخبيثة تُعدِّل ملفات ومجلّدات النظام. أدوات: Tripwire، Netwrix Auditor، Verisys Integrity Suite، NNT Change Tracker |
| Device Drivers Monitoring | البرمجيات الخبيثة تُثبَّت مع Drivers من مصادر غير موثوقة كدرع للتمويه. أدوات: DriverView، Driver Booster. فحص يدوي: Run → msinfo32 → Software Environment → System Drivers |
| Network Traffic Monitoring | البرمجيات الخبيثة تتصل بسيرفرات C2 وترسل بيانات حسّاسة. أدوات: Wireshark، Capsa Network Analyzer، PRTG، SolarWinds NetFlow Traffic Analyzer، GFI LanGuard |
| DNS Monitoring | DNSChanger يُغيّر إعدادات DNS للنظام. أداة DNSQuerySniffer لمراقبة سيرفرات DNS التي تحاول البرمجية الاتصال بها. إضافي: DNSstuff، UltraDNS، Dotcom-Monitor |
| API Calls Monitoring | البرمجيات الخبيثة تستخدم Windows APIs للوصول لنظام الملفات والـ Registry. API Monitor لتتبّع استدعاءات API من التطبيقات. إضافي: Runscope، AlertSite |
| System Calls Monitoring | Syscalls واجهة بين التطبيق والـ Kernel. أداة strace في Linux لعرض وتتبّع استدعاءات النظام |
| Scheduled Tasks Monitoring | البرمجيات الخبيثة تُفعِّل مشغِّلات زمنية أو بناءً على أحداث. أدوات: Windows Task Scheduler، schtasks، ADAudit Plus |
| Browser Activity Monitoring | البرمجيات الخبيثة تستخدم المتصفحات للاتصال بسيرفرات C2 وتحميل ملفات خبيثة. أدوات: Wireshark، Colasoft Portable Network Analyzer، OmniPeek |
| الطريقة | الوصف |
|---|---|
| Scanning | البحث عن سلاسل نصّية مميِّزة للفيروس المعروف بعد اكتشافه مرة أولى |
| Integrity Checking | قراءة القرص كاملًا وتسجيل بيانات سلامة تعمل كتوقيع للملفات وقطاعات النظام — مقارنتها لاحقًا لرصد التغييرات |
| Interception | مراقبة طلبات نظام التشغيل المتعلّقة بالكتابة على القرص |
| Code Emulation | تنفيذ الكود الخبيث داخل آلة افتراضية تُحاكي CPU والذاكرة — فعّال جدًا مع الفيروسات المشفَّرة والـ Polymorphic |
| Heuristic Analysis | ثابتة: تحليل صيغة الملف وبنية الكود. ديناميكية: محاكاة الكود المشبوه للتحقّق من سلوكه الخبيث |
حلول EDR/XDR شائعة: Microsoft Defender for Endpoint، Tanium Endpoint Management، Cisco XDR، Trellix ENS، VMware Carbon Black.
VM معزولة (Host-Only NIC)، محاكاة إنترنت بـ INetSim، تعطيل Shared Folders وGuest Isolation، تثبيت أدوات التحليل، وأخذ Snapshot للـ VM قبل الإصابة.
حساب هاش الملف (MD5/SHA-256)، فحصه محليًا وعبر VirusTotal، استخراج Strings، تحديد Packing بـ PEiD أو DIE، وفحص PE Metadata.
ELF: readelf. Mach-O: LIEF وotool وHopper. Office Documents: oletools. PDF: PDFiD وPDFStreamDumper. Windows PE: IDA Pro وDependency Walker. YARA لإنشاء قواعد كشف مخصَّصة.
التقاط حالة النظام (Snapshot) — نظام الملفات، الـ Registry، البورتات المفتوحة، نشاط الشبكة، الخدمات الجارية، عمليات نظام التشغيل.
تشغيل البرمجية الخبيثة مع مراقبة: البورتات (TCPView)، العمليات (Process Monitor)، الـ Registry (Regshot)، حركة الشبكة (Wireshark)، الخدمات (SrvMan)، Startup Programs (Autoruns)، استدعاءات API.
مقارنة حالة النظام قبل وبعد الإصابة لتحديد الملفات المُنشأة، مداخل Registry الجديدة، البورتات المفتوحة، اتصالات C2، والخدمات الجديدة.
توثيق كل خطوة وأدوات ومشاهدات ونتائج، تحديد IoCs (هاشات، URLs، IPs، مداخل Registry)، ووضع توصيات معالجة قابلة للتنفيذ.
| الجانب | Static Analysis | Dynamic Analysis |
|---|---|---|
| الاسم البديل | Code Analysis | Behavioral Analysis |
| هل البرمجية تُشغَّل؟ | لا — آمن تمامًا | نعم — بحاجة لبيئة معزولة |
| ما الذي يُكشَف؟ | هيكل الكود، التبعيات، التوقيعات، الـ Strings | سلوك في وقت التشغيل، ملفات مُنشأة، اتصالات شبكية |
| أداة مرجعية | IDA Pro، VirusTotal، PEiD | Wireshark، Process Monitor، TCPView |
| النوع | مثال حديث |
|---|---|
| RAT | njRAT |
| Backdoor | TinyTurla-NG (Turla APT Group) |
| Botnet | RDDoS، Qakbot، XorDdos |
| Rootkit | Reptile Rootkit (Linux) |
| E-Banking | CHAVECLOAK، Grandoreiro |
| POS | PrilexPOS |
| Mobile | Chameleon (Android) |
| IoT | OpenSSH Trojan |
| نوع الملف | الأداة الأساسية |
|---|---|
| Windows PE (.exe, .dll) | PEiD، PE Explorer، Dependency Walker، IDA Pro |
| Linux ELF | readelf، DIE (Detect It Easy) |
| macOS Mach-O | LIEF، otool، Hopper Disassembler |
| MS Office Documents | oletools (oleid، oledump، olevba) |
| PDFiD، PDFStreamDumper | |
| Any File | YARA (قواعد مخصَّصة)، VirusTotal، HashMyFiles |
| المراقبة | الأداة الأساسية |
|---|---|
| بورتات شبكية | TCPView، Netstat |
| عمليات النظام | Process Monitor، Process Explorer |
| Registry | Regshot، jv16 PowerTools |
| خدمات Windows | Windows Service Manager (SrvMan) |
| برامج الإقلاع | Autoruns for Windows |
| حركة الشبكة | Wireshark، Capsa Network Analyzer |
| API Calls | API Monitor |
| System Calls (Linux) | strace |
# إنشاء قاعدة YARA لفحص ملفات PDF
# (محتوى القاعدة يُحدَّد في ملف pdf_rules.yar)
yara <path_to/pdf_rules.yar> <path_to/suspicious_file>
# فحص مستند مشبوه بـ oletools
oleid '<path_to/document>'
python3 oledump.py '<path_to/document>'
python3 oledump.py -s <stream_number> '<path_to/document>'
olevba '<path_to/document>'
# تحليل ELF بـ readelf
readelf -s <malware.elf> # Symbols
readelf -l <malware.elf> # Program Headers
readelf -h <malware.elf> # ELF Header
# تحليل Mach-O بـ otool
otool -L <binary> # مكتبات مرتبطة
الموديول ده قدّم مفاهيم البرمجيات الخبيثة وتقنيات انتشارها، شرح التطبيقات غير المرغوب فيها، وناقش APTs ودورة حياتها. وصف أحصنة طروادة بأنواعها الأربعة عشر، الفيروسات بأنواعها الثمانية عشر، وكيفية إصابة الأنظمة بها. وضَّح الديدان والـ Ransomware ثم انتقل للفيلسلس ملوير وكيف تُصيب الأنظمة. تطرَّق لمفاهيم AI Malware وعرض عملية التحليل كاملة (Static وDynamic) مع الأدوات المتخصّصة. وختم بالإجراءات المضادة وأدوات مكافحة أحصنة طروادة والفيروسات.
البرمجيات الخبيثة الحديثة لم تعد برامج بسيطة — هي منظومة متكاملة من المكوّنات (Crypter، Dropper، Downloader، Injector، Payload) تعمل معًا في تنسيق دقيق. فهمها لا يعني فقط معرفة ما تفعله، بل فهم كيف تُخفي نفسها، وكيف تستمر في النظام، وكيف تتواصل مع مُشغِّلها — وهذا بالظبط ما بيركّز عليه التحليل الجيّد سواء كان ثابتًا أو ديناميكيًا.
ركّز على الفرق بين أنواع أحصنة طروادة (خصوصًا RAT مقابل Backdoor مقابل Rootkit Trojan)، الفرق بين Dropper وDownloader، مراحل APT الست بالترتيب، تعريف Fileless Malware وطرق الإطلاق الست، وتصنيف Fileless بالأنواع الثلاثة. في التحليل: الفرق بين Static وDynamic، وأي أداة لأي نوع ملف (IDA Pro للـ PE، readelf للـ ELF، oletools للـ Office، PDFiD للـ PDF). أسئلة السيناريو غالبًا بتربط بين مؤشّر معيّن (ملف بامتداد مزدوج، بورت غير معتاد مفتوح) وتحديد نوع الإصابة.
نهاية نوتس الموديول السابع — Malware Threats