🛡️ هل الفحص الآلي كافي لكشف التطبيقات الملغمة؟

💬 سؤال من أحد المتابعين:

برامج الحماية ومواقع مثل VirusTotal مو غشيمين حتى يوكفون على البصمة بس. اليوم الحماية تشتغل التحليل، يعني حتى لو المبرمج شفر الكود وجابه ملف نظيف وظاهرياً ما بيه شي، أول ما يشتغل ببيئة معزولة السيرفر يراقب أفعاله. المبرمج الشاطر يكدر يعبر الفحص أو الظاهري بالبدايه إي يكدر، بس سالفة ماكو أداة تكتشف وماكو حماية بالموضوع هذا مبالغة السالفة مو معجزة. لا تستهين بأنظمة الحماية الذكية لأنها مو مجرد قاعدة بيانات أرقام. لو هالأمر بهالسهولة جان هسا ما بقت شركة ولا تطبيق مابي فايروس.

قراءة المزيد ↓

💡 الجواب والتوضيح التقني:

كلامك صحيح بخصوص أن أنظمة الحماية تطورت وصارت تعتمد على البيئة المعزولة ومراقبة السلوك، ومواقع مثل VirusTotal مو غشيمة. لكن المشكلة مو بذكاء برامج الحماية، المشكلة بـ قيود الفحص الأوتوماتيكي.

الفحص الآلي، حتى لو كان ذكي، مبرمج يشتغل لدقائق معدودة داخل حاوية افتراضية. المبرمج المحترف يعرف هذي القيود تماماً ويستخدم تقنيات تجاوز (Evasion Techniques) تعمي هاي الأنظمة، مثل:

🕵️‍♂️ اكتشاف البيئة الوهمية (Anti-VM / Anti-Sandbox):

الفايروس الحديث قبل لا يشتغل، يفحص بيئة النظام (عدد أنوية المعالج، حجم الرام، اسم الهاردسك، وحتى الماك أدرس). إذا حس إنه داخل حاوية فحص مثل سيرفرات VirusTotal، راح ينام ويشتغل كتطبيق طبيعي 100% وما يسوي أي سلوك خبيث لحد ما يطلع من البيئة المعزولة.

🖱️ شرط التفاعل البشري:

البوتات ومواقع الفحص تشغل التطبيق وتنتظر تشوف سلوكه. المبرمج الخبيث يبرمج الكود بحيث ما يتفعل إلا إذا المستخدم الحقيقي سوى Scroll ثلاث مرات، أو ضغط على أزرار معينة، أو بعد مرور 24 ساعة من التثبيت. البوت مستحيل يسوي هذي التفاصيل فيطلع التقرير نظيف.

⚙️ عمق التفكيك (والي هو الأهم):

الفحص الآلي ما يكدر يدخل للملفات الداخلية للتطبيق بشكل عميق ويفكك البنية البرمجية سطر سطر. فحص تطبيق بشكل حقيقي يحتاج هندسة عكسية وتفكيك التطبيق بالكامل داخل حاوية فحص خاصة، ومراقبة حركة البيانات بشكل يدوي من قبل محلل أمني. مواقع البوتات مستحيل تسوي هالشي لكل ملف لأن هالعملية تاخذ ساعات وتستهلك موارد سيرفرات مرعبة.

بخصوص فقرة (لو هالأمر بهالسهولة جان ما بقت شركة ما تفيرست):

الشركات الكبيرة ما تعتمد على فحص VirusTotal أو برامج حماية عادية (Antivirus). الشركات تعتمد على أنظمة EDR وفرق أمنية كاملة SOC تراقب حركة الشبكة ومعمارية Zero Trust. ورغم كل هذه الجيوش الأمنية وجدران الحماية والمراقبة، الشركات العملاقة يومياً تتعرض للاختراق بفايروسات الفدية والهجمات الموجهة لأن المبرمجين الخبثاء دائماً يسبقون الحماية بخطوة.

هسه أكيد عندك علم حالياً الذكاء دخل اللعبة فالشغلة صارت أصعب.. بدون تفكيك الملفات وفحص الأسطر البرمجية همين ما تكدر تتأكد من التطبيق بشكل مضبوط إلا بمساعدة الذكاء ياله تكدر تتأكد. خلال مسيرتي بالقناة ما عندي وقت أعدل تطبيقات، فقط أفحص وأحللهن. بالبداية يدوياً وصعب جداً لكن هسه أسهل بمساعدة الذكاء، بس همين يتأخر شوي لكن أسرع وأكثر دقة.. لكيت أكثر من 50 تطبيق أثناء الفحص ملغمة ومزروعة بيهه ملفات سحب!