An Explainable Memory Forensics Approach for Malware Analysis
تقترح هذه الورقة إطار عمل للتحقيق في الذاكرة مدعوماً بالذكاء الاصطناعي وقابلاً للتفسير، يستفيد من النماذج اللغوية الكبيرة لتفسير مخرجات التحليل المعقدة، واستخراج مؤشرات الاختراق تلقائياً، ودعم كل من المحللين الخبراء وغير الخبراء في التحقيق في البرمجيات الخبيثة التي تعتمد على تقنيات "العيش على موارد النظام" (living-off-the-land) عبر منصتي ويندوز وأندرويد.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك محقق يحاول القبض على لص محترف لا يترك أي بصمات، ولا يكسر أي نافذة، ويختفي في اللحظة التي تدخل فيها الغرفة. هذا هو تحدي تحليل البرمجيات الخبيثة (Malware Analysis) الحديثة. الأدوات التقليدية تبحث في "مسرح الجريمة" (القرص الصلب) بعد وقوع الحدث، لكن هؤلاء اللصوص الرقميين يعملون بالكامل في "الهواء" (ذاكرة الكمبيوتر)، دون ترك أي أثر على القرص.
تقترح هذه الورقة طريقة جديدة للقبض على هؤلاء اللصوص باستخدام أداتين قويتين: التحقيق الجنائي في الذاكرة (Memory Forensics) (أخذ لقطة لعقل الكمبيوتر النشط) والذكاء الاصطناعي (AI) (مساعد ذكي للغاية يمكنه قراءة الملاحظات الفوضوية لتلك اللقطة).
إليك تفصيل نهجهم باستخدام تشبيهات بسيطة:
1. المشكلة: "الشبح" في الآلة
تعمل معظم برامج مكافحة الفيروسات مثل أمين المكتبة الذي يطابق الكتب مع "قائمة المطلوبين". إذا لم يكن الكتاب (الملف) في القائمة، فهو آمن. لكن البرمجيات الخبيثة الحديثة تشبه الشبح؛ فهي لا تعيش في كتاب، بل تعيش في عقل أمين المكتبة (الذاكرة العشوائية - RAM) لثانية واحدة، تسرق البيانات، ثم تختفي.
- المشكلة: عندما يحاول خبراء الأمن النظر إلى هذا "العقل"، يجدون أمامهم كومة ضخمة ومربكة من البيانات الخام (مثل ملايين الصفحات من الكود المكتوب بلغة لا يفهمها إلا عدد قليل من الخبراء).
- الفجوة: لدينا البيانات، لكننا نفتقر إلى القدرة على شرح ماذا تعني بسرعة للإنسان.
2. الحل: "التصوير بالفلاش" و"المترجم"
يقترح المؤلفون حلاً من خطوتين:
الخطوة أ: التصوير بالفلاش (التحقيق الجنائي في الذاكرة)
بدلاً من انتظار ترك اللص لأثر قدم، يقوم الباحثون بالتقاط صورة عالية السرعة لذاكرة الكمبيوتر أثناء تشغيل البرمجية الخبيثة.
- الذاكرة الكاملة مقابل العملية المستهدفة: قارنوا بين طريقتين لالتقاط هذه الصورة:
- الذاكرة الكاملة (Full RAM): التقاط صورة للكمبيوتر بأك std (المنزل بأكمله). يوضح هذا كيف يتفاعل اللص مع الجدران، والجيران، وشبكة الكهرباء. إنه شامل ولكنه ضخم.
- العملية المستهدفة (Target Process): التقاط صورة لغرفة واحدة فقط حيث يختبئ اللص. إنها أصغر وأسهل في الإدارة، لكنك قد تغفل عما فعله ببقية المنزل.
- النتيجة: كلتا الطريقتين مفيدتان! صورة "المنزل بأكمله" تمسك بالحيل التي تشمل النظام بالكامل، بينما صورة "الغرفة الواحدة" تمسك بالحيل الخاصة بتطبيق معين.
الخطوة ب: المترجم (مساعد الذكاء الاصطناعي)
بمجرد الحصول على الصورة (تفريغ الذاكرة)، تصبح مجرد جدار من الهراء بالنسبة للإنسان العادي. وهنا يأتي دور النموذج اللغوي الكبير (LLM).
- التشبيه: تخيل أن تفريغ الذاكرة هو مسرح جريمة فوضوي مليء بالملاحظات المبعثرة، والسندوتشات نصف المأكولة، والخرائط المكتوبة بخط اليد. يتعين على الخبير البشري قضاء ساعات لتجميعها.
- دور الذكاء الاصطناعي: قام المؤلفون بتغذية هذه الفوضى في ذكاء اصطناعي (مثل ChatGPT). يعمل الذكاء الاصطناعي كـ مترجم فائق. ينظر إلى الملاحظات الفوضوية ويقول: "مهلاً، انظر هنا! هذه الملحوظة تقول 'احذف ملفات النظام'، وهذه الخريطة تظهر اتصالاً بخادم مشبوه. هذا بالتأكيد لص!"
- النتيجة: الذكاء الاصطناعي لا يكتفي بقول "تم اكتشاف برمجية خبيثة"، بل يكتب تقريراً واضحاً ومفهوماً للبشر يشرح لماذا يعتقد ذلك، مشيراً إلى الأدلة المحددة (مؤشرات الاختراق أو IoCs).
3. التجربة: ويندوز مقابل أندرويد
اختبر الفريق منهجهم على كل من ويندوز (Windows) (أجهزة الكمبيوتر المكتبية) وأندرويد (Android) (الهواتف).
- ويندوز: كان من السهل نسبياً التقاط "الصورة" للذاكرة. قام الذكاء الاصطناعي بعمل رائع في شرح البيانات المعقدة، ووجد أدلة أكثر من الأدوات التقليدية مثل VirusTotal.
- أندرويد: كان الأمر أصعب. هواتف أندرويد تشبه الحصون المغلقة. لالتقاط صورة لذاكرتها، اضطر الباحثون إلى إعادة بناء "محرك" الهاتف (النواة/Kernel) للسماح للكاميرا بالدخول. استخدموا الذكاء الاصطناعي كـ مساعد ميكانيكي، حيث سألوا الذكاء الاصطناعي: "قطعة المحرك هذه لا تتناسب"، وساعدهم الذكاء الاصطناعي في معرفة الخطوات الدقيقة لإصلاح الكود.
- النجاح: حتى مع صعوبة إعداد أندرويد، نجح الذكاء الاصطناعي في تحديد التطبيقات المزيفة (مثل تطبيق نتفليكس مزيف) وشرح كيفية سرقة البيانات بدقة، واكتشف أدلة فاتت الأدوات الأخرى.
4. لماذا يهم هذا (ما هي الفائدة؟)
- دمقرطة التحقيق الجنائي: لم تعد بحاجة لأن تكون حاصلاً على درجة الدكتوراه في علوم الكمبيوتر لتفهم تفريغ الذاكرة. الذكاء الاصطناعي يترجم "اللغة الفضائية" للكود إلى لغة إنجليزية بسيطة.
- القبض على المراوغين: غالباً ما تفوت الأدوات التقلية البرمجيات الخبيثة التي تختبئ في الذاكرة. هذا النهج يمسك بها لأنه ينظر إلى الحالة النشطة، وليس فقط الملفات المحفوظة.
- العمل الجماعي بين الإنسان والذكاء الاصطناعي: تؤكد الورقة أن الذكاء الاصطناعي لا يحل محل المحقق؛ بل هو مساعده الشخصي. هو يتولى العمل الشاق في قراءة البيانات، ليتفرغ الخبير البشري لاتخاذ القرار النهائي.
الملخص
فكر في هذه الورقة كتقديم كشاف ذكي ومتحدث لغرفة مظلمة مليئة باللصوص غير المرئيين.
- الكشاف (التحقيق الجنائي في الذاكرة): يضيء الأنوار ليكشف عن اللص بينما لا يزال موجوداً.
- المساعد المتحدث (الذكاء الاصطناعي): ينظر إلى اللص، ويقرأ خريطته المسروقة، ويشرح لضابط الشرطة بالضبط ما يخطط له اللص، بلغة بشرية بسيطة.
هذا يجعل القبض على المجرمين الرقميين أسرع، وأسهل، وأكثر دقة، حتى لأولئك الذين ليسوا عباقرة في البرمجة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.