المحاور التقنية وخطوات الفحص
🔹 أنواع نقاط التوقف (Breakpoints: Software, Hardware, Memory)
استخدام نقاط التوقف البرمجية (INT 3) لإيقاف الدوال، ونقاط توقف العتاد (Hardware) لمراقبة الوصول للبيانات.
🔹 تتبع تدفق التنفيذ (Step Into vs Step Over)
التنقل داخل الدوال المفخخة (F7) أو تجاوز استدعاءات النظام الطويلة (F8) للوصول إلى المنطق الرئيسي.
🔹 تعديل السجلات والذاكرة اللحظية (Patching & Registers)
تغيير قيم مسجلات الأعلام (Zero Flag - ZF) لتخطي شروط فحص البيئة والتحقق الأمني يدوياً.
💡 نصيحة وأداة المحلل الجنائي: ضع Hardware Breakpoint على نقطة الدخول الأصلية OEP (Original Entry Point) لتفريغ كود البرمجية بعد فك تغليفها.
⚠️ تحذير وإجراءات الأمان في المختبر:
يجب دائماً تنفيذ العينات الحية داخل بيئة معزولة تماماً (Isolated Sandbox) غير متصلة بالشبكة الحقيقية، والتأكد من أخذ لقطات نظيفة (Clean Snapshots) قبل بدء الاختبار.
📌 أفضل الممارسات والتوصيات العملية:
- التدرج المنطقي: ابدأ دائماً بالتحليل الساكن الأولي قبل تشغيل العينة ديناميكياً لتوفير الوقت وتجنب الفخاخ.
- توثيق مؤشرات الاختراق (IoCs) وحساب الهاشات (MD5, SHA256, Imphash) في كل خطوة.
- صياغة قواعد YARA وقواعد الكشف ومشاركتها مع فريق الاستجابة للحوادث (IR) لتعزيز الحماية الاستباقية.