لماذا لا تُفعّل البرمجيات الخبيثة نفسها دائمًا في مختبر اختبار أمني؟
إجابة موجزة: يصمم المهاجمون البرمجيات الخبيثة لتبقى خاملة ما لم تتلقَّ إشارة تحقق من خادم قيادة وتحكم (C2) حي يسيطرون عليه. وبحلول الوقت الذي تصل فيه العينة إلى قاعدة بيانات البرمجيات الخبيثة، تكون بنية الـ C2 التحتية قد انتقلت عادةً إلى مكان آخر — لذا غالبًا ما يختبر الباحثون عينة يتيمة لا تقوم بأي شيء.
لماذا يبني المهاجمون آلية الخمول
- تقليل المعلومات الاستخباراتية: لا تقوم البرمجيات الخبيثة الخاملة بأي إجراءات ضارة يمكن ملاحظتها، مما يترك للمحللين قدرًا أقل لتوثيقه وللبائعين قدرًا أقل لبناء التوقيعات بناءً عليه.
- منع الاختطاف: يضمن اشتراط "المصافحة السرية" أن أي منافس أو باحث يستولي على خادم الـ C2 لا يستطيع ببساطة تشغيل البرمجية الخبيثة وجمع البيانات المسروقة.
ماذا يعني هذا عند تقييم الأدوات الأمنية
لا يقيس اختبار المختبر مقابل عينة مقطوعة الاتصال إلا القليل جدًا. فالسؤال المهم ليس ما إذا كانت الأداة تتفاعل مع برمجية خبيثة خاملة راكدة، بل ما إذا كانت توقف الهجمات الحية سريعة الحركة أثناء وقوعها فعليًا. صُمم Cyber Crucible لهذا الغرض الأخير: فهو يراقب نقاط الدخول الخاصة بسرقة الهوية والبيانات التي تستهدفها الهجمات الحقيقية، ويقيّم النية في أقل من 200 مللي ثانية، ويوقف السرقة قبل أن تنجح.