Human-Verified AI-Assisted Evidence Interpretation in Comparative Malware Analysis: WhiteSnake, Donex, and Emotet Samples
تقدم هذه الورقة سير عملًا مدعومًا بالذكاء الاصطناعي ومُتحققًا منه بشريًا لتفسير التحليل الساكن والديناميكي لعينات برمجيات WhiteSnake وDonex وEmotet داخل بيئة FLARE VM معزولة، باستخدام بيانات مشاريع جامعية مؤرشفة لتحديد مؤشرات سلوكية محددة مع الإشارة صراحةً إلى القيود المتعلقة بعدم تأكيد تسريب البيانات، والتشفير، والالتقاط المستقر للعمليات.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الرقمي، تعمل البرمجيات الخبيثة مثل دخيل صامت، تتسلل إلى أجهزة الكمبيوتر لسرقة الأسرار، أو قفل الملفات، أو اختطاف الأنظمة لشن هجمات أخرى. ولإيقاف هؤلاء الدخلاء، يجب على خبراء الأمن فهم كيفية عملهم بدقة. يتطلب هذا عملية من خطوتين دقيقتين: أولاً، فحص الكود دون تشغيله لمعرفة الأدوات التي يحملها، وثانياً، مراقبة ما يفعله بالفعل عندما يُسمح له بالعمل في غرفة معزولة وآمنة. ويكمن التحدي في التمييز بين ما قد يكون البرنامج قادراً على فعله بناءً على كوده، وبين ما فعله بالفعل خلال اختبار محدد. إذا رأى الخبير أداة لفتح الأقفال في جيب مشتبه به، فهو يعلم أن لدى المشتبه به القدرة على الاقتحام، لكنه لا يستطيع التأكد من حدوث اقتحام ما لم يرَ الباب مفتوحاً. هذا التمييز حيوي لبناء دفاعات دقيقة، ومع ذلك، غالباً ما يختلط الأمر عندما تخلط التقارير بين القدرات المحتملة والأفعال المؤكدة.
قام باحث مؤخراً بمعالجة هذه المشكلة من خلال فحص ثلاث قطع متميزة من البرمجيات الخبيثة: إحداها مصممة لسرقة كلمات المرور، والثانية تهدف إلى تشفير الملفات لطلب فدية، والثالثة تعمل كأداة تحميل (loader) لجلب تهديدات أخرى. لم يبتكر الباحث تجارب جديدة من الصفر؛ بل عاد بدلاً من ذلك إلى مشروع مفصل أكمله طلاب جامعيون في عام 2025. تعامل الباحث مع سجلات الطلاب الأصلية، ولقطات الشاشة، والبيانات كأرشيف تاريخي للتدقيق. كان هدفه تطبيق منهجية تحليل جديدة تجمع بين الخبرة البشرية والذكاء الاصطناعي لفرز الأدلة. عمل الذكاء الاصطناعي كمساعد قوي، حيث قام بتنظيم آلاف النقاط البيانية واقتراح تفسيرات محتملة، لكنه لم يتخذ القرار النهائي أبداً. تم فحص كل استنتاج والتحقق منه من قبل محلل بشري لضمان عدم الخلط بين التخمين والحقيقة.
العينة الأولى، المعروفة باسم "وايت سنيك" (WhiteSnake)، كانت برنامجاً بُني بتقنية محددة سمحت له بالعمل على أنظمة كمبيوتر مختلفة. عندما فحص الباحث الكود الخاص بها، وجد أنه مغطى بطبقة كثيفة من التمويه، وهي تقنية تُسمى "التعمية" (obfuscation)، مما يجعل التعليمات صعبة القراءة. والأهم من ذلك، احتوى الكود على قائمة طويلة من الكلمات المتعلقة بالآلات الافتراضية وبيئات الاختبار (sandbox)، مثل "vmware" و"vbox". وهذا يشير إلى أن البرنامج صُمم للتحقق مما إذا كان يعمل في غرفة اختبار آمنة ولإيقاف نفسه إذا اكتشف وجود واحدة. وعندما تم تشغيل البرنامج في المختبر المعزول، حاول بالفعل التواصل عبر الشبكة، وتحديداً البحث عن اتصال بخدمة مراسلة. ومع ذلك، ولأن المختبر كان مقطوعاً عن الإنترنت الحقيقي، فقد فشل الاتصال. استطاع الباحث رؤية المحاولة، لكنه لم يستطع التأكد من أن البرنامج نجح في سرقة أي كلمات مرور أو إرسال بيانات إلى خادم بعيد. أظهرت الأدلة نية السرقة، ولكن ليس فعل السرقة ذاته.
أما العينة الثانية، "دونييكس" (Donex)، فبدت وكأنها برنامج فدية (ransomware)، مصمم لقفل ملفات المستخدم. احتوى الكود الخاص بها على إشارات إلى أدوات تشفير قوية وأوامر يمكنها إغلاق جهاز الكمبيوتر أو حذف سجلات النظام. كانت هذه مؤشرات واضحة على ما بُني البرنامج لأجله. ومع ذلك، عندما قام الباحث بتشغيله، لم تحدث الكارثة المتوقعة. لم يتم تشفير الملفات على جهاز الكمبيوتر التجريبي، ولم تظهر رسالة فدية على الشاشة، ولم يعد النظام التشغيل كما قد يوحي الكود. أظهر البرنامج علامات عدم استقرار وأحدث بعض الضجيج في الشبكة المحلية، لكنه فشل في أداء وظيفته الأساسية. خلصت الدراسة إلى أنه بينما امتلك "دونييكس" الأدوات لإحداث ضرر، إلا أنه لم يستخدمها فعلياً في هذا الاختبار المحدد. كانت الأدوات موجودة حقاً، لكن الضرر لم يحدث.
أما العينة الثالثة، "إيموتيت" (Emotet)، فقد وصلت في حزمة مخادعة: ملف يبدو كوثيقة وورد قياسية ولكن به امتداد ثانٍ مخفي لخداع المستخدم. وبمجرد فتحه، حاول الاتصال بعنوان محدد على الشبكة. وفي المختبر المعزول، أدى هذا العنوان إلى جهاز محلي، وفشلت محاولة الاتصال، حيث عادت برسالة تفيد بأن الوجهة غير قابتا للوصول. تحرك البرنامج بسرعة كبيرة بحيث لم تتمكن أدوات المراقبة من تسجيل سجل مستقر لنشاطه. من المحتمل أن البرنامج قد حقن نفسه في عملية أخرى أو أنه أنهى مهمته ببساطة قبل أن تتمكن الكاميرات من التركيز، لكن الباحث لم يستطع إثبات ذلك. استطاع فقط التأكد من أن البرنامج حاول التواصل وفشل بسبب ظروف المختبر.
كان جزء رئيسي من هذه الدراسة هو كيفية تعامل الباحث مع الذكاء الاصطناعي. استخدم الباحث الذكاء الاصطناعي لتنظيم البيانات الفوضوية من الاختبارات الثلاثة واقتراح تفسيرات محتملة لما رآه. اقترح الذكاء الاصطناعي أن السلوكيات تتطابق مع التكتيكات المعروفة التي يستخدمها مجرمو الإنترنت. ومع ذلك، راجع الفريق البشري كل اقتراح. لقد رفضوا فكرة أن البرامج نجحت في سرقة البيانات أو تشفير الملفات لأن الأدلة المباشرة كانت مفقودة. كما رفضوا فكرة أن البرامج نجحت في التهرب من الكشف، رغم أن الكود يشير إلى أنها حاولت ذلك. قدم الذكاء الاصطناعي قائمة من الاحتمالات، لكن المحللين البشريين قدموا الحقيقة بناءً على ما تم تسجيله بالفعل.
النتيجة النهائية لهذا العمل هي خريطة واضحة وحذرة لما حدث. وجد الباحث أن هذه البرامج الثلاثة تمتلك القدرات لسرقة البيانات، وتشفير الملفات، وإخفاء آثارها. ومع ذلك، وتحت الظروف المحددة لهذا الاختبار، لم يكمل أي منها مهمته الرئيسية بنجاح. تؤكد الدراسة أن رؤية قدرة في الكود ليست هي نفسها رؤية الفعل في العالم الحقيقي. ومن خلال الفصل بين ما تم رصده وما تم اقتراحه فقط، نجح الفريق في إنشاء صورة أكثر موثوقية للتهديد. يضمن هذا النهج بناء دفاعات أمنية على حقائق مؤكدة بدلاً من الافتراضات، مما يمنع المبالغة في تقدير الخطر مع الاعتراف في الوقت نفسه بالضرر المحتمل. إن هذا العمل بمثابة تذكير بأنه في مكافحة التهديدات الرقمية، فإن الصبر والتحقق لا يقل أهمان عن الأدوات المستخدمة للعثور على العدو.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.