Verdict می‌گوید malicious. شما هنوز نمی‌دانید داستان چیست. درخت پردازه معمولاً همان صفحه‌ای است که داستان را لو می‌دهد — اگر بلد باشید کجا را نگاه کنید.
درخت پردازه چه چیزی را روایت می‌کند؟
هر یال parent → child یک ادعا است: «این یکی، آن یکی را ساخت.» بدافزار مدرن دوست دارد این ادعا را شلوغ یا عادی جلوه دهد. کار شما پیدا کردن یال‌هایی است که در محیط تمیز ویندوز کمتر دیده می‌شوند.
نشانه‌های پرتکرار:
winword.exeیاexcel.exeکه ناگهانcmd.exe/powershell.exeمی‌سازدmsiexec.exeیاrundll32.exeبا آرگومان عجیب- زنجیره کوتاه اما تند: dropper → unpacked → injector
- پردازهٔ کوتاه‌عمر که فقط برای ساختن فرزند آمده و می‌میرد
چیزی که تازه‌کارها از دست می‌دهند
اولین خطای رایج: فقط اسم پردازه را خواندن. svchost.exe به‌تنهایی مشکوک نیست؛ مسیر، خط فرمان، والد، و زمان مشکوک می‌سازند.
خطای دوم: توقف روی ریشه. گاهی ریشه یک installer بی‌گناه است و فرزند سوم همان جایی است که به AppData می‌نویسد یا تزریق می‌کند.
خطای سوم: نادیده گرفتن LOLBinها. اگر هنوز با Living off the Land راحت نیستید، بعداً سراغ مقاله LOLBin بروید؛ فعلاً همین را به‌خاطر بسپارید که ابزار سیستمی می‌تواند حامل رفتار بد باشد.
یک روش خواندن سه‌گام
- ریشه را ثابت کنید: کاربر دوبارکلیک کرده؟ پیوست آفیس؟ Scheduled task؟
- اولین جهش غیرعادی را خط بکشید: جایی که از برنامهٔ معمول به مفسر/ابزار سیستم می‌روید
- برگ‌های پایانی را با فایل و شبکه وصل کنید: کدام فرزند DNS زد؟ کدام فایل ساخت؟
در کنسول سیستم‌کال همین همبستگی لایه‌هاست که triage را از «نگاه به یک جدول» جدا می‌کند.
مثال فشرده
فرض کنید می‌بینید:
outlook.exe → eqnedt32.exe → cmd.exe → powershell.exe -enc ...
حتی قبل از decode کردن دستور، داستان روشن است: مسیر اکسپلویت/پیوست به مفسر. حالا بروید سراغ رجیستری و شبکه همان بازهٔ زمانی؛ احتمالاً persistence یا C2 همان‌جا سبز می‌شود.
تمرین پیشنهادی برای تیم
روی پنج نمونهٔ آموزشی فقط درخت را بخوانید و بدون دیدن verdict نهایی حدس بزنید مرحلهٔ بعدی چیست. بعد با واقعیت چک کنید. این تمرین از خواندن ده PDF خشک‌تر جلو می‌برد.
جمع‌بندی
Process tree دوربین مدار بسته‌ای است که ترتیب ورود را نشان می‌دهد. اسم پردازه کافی نیست؛ والد، خط فرمان و پیوند با لایه‌های دیگر را بخوانید. وقتی این عادت نشست، verdict دیگر پایان کار نیست — عنوان فصل است.
مرتبط: Process Injection (T1055) · قابلیت‌ها