وقتی یک پیوست ناشناس، یک لینک دانلود یا یک هش مشکوک روی میز SOC می‌نشیند، سؤال اصلی این نیست که «آیا ابزار سبز یا قرمز نشان داد؟» سؤال این است: این نمونه چه می‌کند، روی چه چیزی اثر می‌گذارد، و چه نشانی از خودش باقی می‌گذارد؟
تحلیل بدافزار دقیقاً همین کار است: تبدیل یک فایل/URL ناشناس به تصویر قابل‌اتکا از رفتار و شاخص‌هایی که تیم بتواند روی آن‌ها اقدام کند.
تحلیل بدافزار چه چیزی نیست؟
خیلی وقت‌ها «اسکن آنتی‌ویروس» با «تحلیل» اشتباه گرفته می‌شود.
- آنتی‌ویروس بیشتر روی تشخیص سریع و جلوگیری تمرکز دارد.
- تحلیل روی فهم رفتار، بازسازی مسیر اجرا و استخراج شواهد تمرکز دارد.
ممکن است یک نمونه هنوز امضای عمومی نداشته باشد، اما در اجرا خودش را لو بدهد: ساخت فایل، تزریق به پردازه دیگر، تماس با C2، یا نوشتن کلید پایداری در رجیستری.
دو مسیر کلاسیک: Static و Dynamic
تحلیل ایستا (Static)
بدون اجرای کامل نمونه، ساختار را می‌بینید: رشته‌ها، ایمپورت‌ها، بسته‌بند، نشانه‌های packer، و گاهی قوانین YARA.
نقطه قوت: سریع و کم‌ریسک‌تر برای نگاه اول.
نقطه ضعف: مبهم‌سازی و packer می‌تواند تصویر را ناقص کند.
تحلیل پویا (Dynamic)
نمونه در محیطی کنترل‌شده اجرا می‌شود تا رفتار واقعی ثبت شود: پردازه، فایل، رجیستری، شبکه و حافظه.
نقطه قوت: رفتار واقعی، حتی وقتی فایل روی دیسک پاک شده باشد.
نقطه ضعف: اگر محیط تحلیل ضعیف یا قابل‌کشف باشد، بدافزار ممکن است ساکت بماند.
در عمل تیم‌های خوب هر دو را ترکیب می‌کنند. سندباکس مثل آزمایشگاه تحلیل سیستم‌کال لایه دینامیک را سریع و قابل‌مشاهده می‌کند.
مسیر عملی triage (از صفر تا خروجی)
۱) قرنطینه و حفظ شواهد
نمونه را روی ورک‌استیشن روزمره باز نکنید. hash را ثبت کنید، منبع را یادداشت کنید، و اجرا را به محیط ایزوله بسپارید.
۲) اجرای کنترل‌شده
مهمان ویندوز، سیاست شبکه و بازه زمانی اجرا را مشخص کنید. هدف این نیست که «چیزی اجرا شده باشد»؛ هدف این است که رفتار معنادار دیده شود.
۳) خواندن لایه‌ها، نه فقط verdict
Verdict نقطه شروع است، نه پایان. حداقل این‌ها را مرور کنید:
- درخت پردازه: چه کسی چه چیزی را ساخت؟
- فایل و رجیستری: drop، delete، persistence
- شبکه: DNS، مقصد TLS/HTTP، الگوی تماس
- حافظه: ناحیه RWX، ماژول بدون فایل، hitهای YARA
اگر تازه‌کارید، صفحه قابلیت‌های سیستم‌کال نقشه ذهنی خوبی برای این لایه‌هاست.
۴) ساخت خروجی قابل‌عمل
خروجی خوب برای SOC معمولاً شامل این‌هاست:
- خلاصه رفتار در ۲ تا ۵ جمله
- IOCهای شبکه و فایل
- تکنیک‌های ATT&CK دیده‌شده
- پیشنهاد اقدام: بلوکه دامنه/IP، شکار Sigma، محدودیت اجرا
چرا «دیدن» مهم‌تر از گزارش خشک است؟
خیلی از گزارش‌های طولانی خوانده نمی‌شوند. چیزی که تیم را جلو می‌برد، مشاهده مستقیم توالی اتفاق‌هاست: نمونه اجرا شد، dll را ساخت، به explorer تزریق کرد، به یک IP وصل شد، Run Key نوشت.
به همین دلیل در معرفی سیستم‌کال روی مشاهده زنده دسکتاپ و تجمیع لایه‌ها روی یک تسک تأکید می‌شود؛ نه صرفاً تولید یک PDF حجیم.
اشتباهات رایج مبتدی‌ها
- اجرای نمونه روی سیستم شخصی برای «فقط یک بار دیدن»
- بسنده‌کردن به یک برچسب VirusTotal بدون نگاه رفتاری
- کپی‌کردن IOC بدون اعتبارسنجی (دامنه درست، false positive، TTL)
- نادیده‌گرفتن حافظه وقتی دیسک تمیز به نظر می‌رسد
- نوشتن گزارش بدون اقدام پیشنهادی برای شیفت بعد
جمع‌بندی
تحلیل بدافزار یعنی رسیدن از «فایل مشکوک» به «تصمیم و اقدام». ابزارها مهم‌اند، اما روش مهم‌تر است: ایزوله اجرا کنید، لایه‌ها را بخوانید، و خروجی را برای تیم قابل‌استفاده بسازید.
اگر می‌خواهید همین مسیر را روی یک میز کار واقعی ببینید، وارد آزمایشگاه تحلیل شوید یا برای هماهنگی تیمی از فرم دمو پیام بگذارید.