المحاور التقنية وخطوات الفحص
🔹 واجهة Ghidra وإعداد مشروع التحليل
استيراد الملف، وتشغيل محركات التحليل الآلي Auto-Analysis، والتعرف على نوافذ Symbol Tree و Decompiler و Listing.
🔹 إعادة تسمية الدوال والمتغيرات (Refactoring)
تحليل مسار المنطق البرمجي وتعديل أسماء المتغيرات (Variables) وتعيين أنواع البيانات (Data Types) لتسهيل الفهم.
🔹 البحث المتقدم وتتبع مراجع الذاكرة (XREFs)
تتبع مسار استدعاءات الدوال الحرجة ومفاتيح التشفير من خلال Cross References داخل الشيفرة.
💡 نصيحة وأداة المحلل الجنائي: اضغط مفتاح 'L' في نافذة Decompiler لإعادة تسمية المتغيرات فوراً ومتابعة منطق الخوارزميات الخبيثة بوضوح.
⚠️ تحذير وإجراءات الأمان في المختبر:
يجب دائماً تنفيذ العينات الحية داخل بيئة معزولة تماماً (Isolated Sandbox) غير متصلة بالشبكة الحقيقية، والتأكد من أخذ لقطات نظيفة (Clean Snapshots) قبل بدء الاختبار.
📌 أفضل الممارسات والتوصيات العملية:
- التدرج المنطقي: ابدأ دائماً بالتحليل الساكن الأولي قبل تشغيل العينة ديناميكياً لتوفير الوقت وتجنب الفخاخ.
- توثيق مؤشرات الاختراق (IoCs) وحساب الهاشات (MD5, SHA256, Imphash) في كل خطوة.
- صياغة قواعد YARA وقواعد الكشف ومشاركتها مع فريق الاستجابة للحوادث (IR) لتعزيز الحماية الاستباقية.