ANY.RUN
بيئة تحليل (Sandbox) تفاعلية عبر المتصفح، تتيح للمحلل التفاعل المباشر مع البرمجية الخبيثة داخل بيئة افتراضية آمنة.
منصة ANY.RUN — الدليل الكامل للمختبر التفاعلي لتحليل البرمجيات الضارة
تُعد ANY.RUN منصة سحابية تفاعلية لتحليل البرمجيات الضارة (Malware Sandbox). تتيح لك رفع عينة (أو لصق رابط) ومراقبة جهاز افتراضي (VM) حي يقوم بتنفيذها، حيث يمكنك التفاعل معه كأنك مستخدم حقيقي، وفحص مؤشرات الاختراق (IOCs) الناتجة في الوقت الفعلي. تتوفر المنصة بنسخة مجانية للعينات العامة، ونسخ مدفوعة للعينات الخاصة والمؤسسات.
البداية (Get started)
انتقل إلى https://any.run/ ← قم بالتسجيل ← ارفع ملفاً أو رابطاً للتحليل.
[!warning] العينات العامة مقابل الخاصة (Public vs private) عمليات الرفع في النسخة المجانية تكون عامة — أي يمكن لأي شخص البحث عنها ورؤيتها، بما في ذلك مطور البرمجية الضارة نفسه. بالنسبة لعينات الشركات الحساسة، استخدم خطة مدفوعة توفر الخصوصية، أو استخدم مختبراً محلياً (Self-hosted) مثل Cuckoo أو Joe Sandbox.
إعدادات المهمة (Per-task configuration)
| الإعداد | الغرض |
|---|---|
| نظام التشغيل (OS) | Windows 7 / 10 / 11 / Linux Ubuntu |
| معمارية المعالج | x64 / x86 |
| الموقع (Locale) | الدولة واللغة؛ بعض البرمجيات الضارة تتحقق من هذه الإعدادات قبل العمل |
| الشبكة | اتصال مباشر (INet)، شبكة وهمية (FakeNet)، أو "رجل في المنتصف" (MITM) لفك تشفير SSL |
| نوع الاتصال | منزلي (Residential)، عبر Tor، أو بدون إنترنت |
| انتظار ما قبل التنفيذ | تأخير التشغيل لعدة ثوانٍ |
| عدد مرات إعادة التشغيل | للحمولات (Payloads) متعددة المراحل |
| وسائط سطر الأوامر | إذا كان الملف (EXE) يتطلب وسائط معينة للتشغيل |
| فك تشفير HTTPS (MITM) | فك تشفير حركة مرور TLS لحظياً |
| التشغيل بصلاحيات عالية | التشغيل كمسؤول نظام (Admin) |
| دعم MSC | فتح ملفات .msc عبر أداة mmc |
نصيحة: قم بتغيير إصدار ويندوز والموقع الجغرافي لتجاوز فحوصات البيئة (بعض البرمجيات الضارة ترفض العمل على إعدادات دول معينة مثل روسيا أو دول الكومنولث المستقلة).
الجهاز الافتراضي التفاعلي
ستجد نفسك أمام سطح مكتب شبه حقيقي. يمكنك النقر على المطالبات (Prompts) كما يفعل المستخدم العادي، سحب الملفات، فتح المتصفحات، ومراقبة سلوك البرمجية وهي تنشط أمامك.
اللوحة الجانبية — مؤشرات الاختراق الحية (Live IOCs)
| التبويب | المحتوى |
|---|---|
| شجرة العمليات (Process tree) | العمليات النشطة وتحميل ملفات DLL |
| الشبكة (Network) | سجلات DNS / HTTP(S) / TCP / UDP مع محتويات MITM |
| الملفات المعدلة | الملفات التي تم إنشاؤها أو تعديلها أو حذفها |
| تغييرات السجل (Registry) | مفاتيح وقيم السجل الجديدة |
| التهديدات (Threats) | تقنيات MITRE ATT&CK + تنبيهات Suricata + الوسوم |
| أحداث العمليات | سجلات شبيهة بـ Sysmon |
التقارير (Reports)
- تقارير بصيغة PDF أو HTML عامة.
- تصدير مؤشرات الاختراق (IOCs) بصيغ: STIX 2, MISP, OpenIOC, JSON صريح.
- تحميل ملفات حركة المرور (PCAP).
- لقطات للذاكرة (Memory snapshots) — متوفرة في الخطط المدفوعة.
- تكامل TI Lookup: الانتقال من أي مؤشر اختراق إلى عمليات رفع عامة أخرى مرتبطة به.
مسارات العمل (Workflows)
تصنيف وتقييم مرفق مجهول (Triage)
- ارفع الملف أو الرابط.
- اختر إصدار ويندوز يطابق بيئة الضحية المستهدفة.
- قم بتشغيل العينة لمدة 60–120 ثانية.
- افحص شجرة العمليات ← حدد العمليات الفرعية المشبوهة.
- افحص الشبكة ← رصد نطاقات مراكز القيادة والتحكم (C2).
- أضف وسوم عائلة البرمجيات الضارة بناءً على تصنيفات MITRE.
الاستعلام عبر TI Lookup (مدفوع)
يرتبط كل عنوان IP أو نطاق أو هاش (Hash) بعمليات رفع عامة أخرى ظهر فيها. النقر على عنوان IP سيعرض لك جميع عينات البرمجيات الضارة التي اتصلت به، مما يساعد في تحديد مجموعات الحملات الهجومية (Campaign clusters).
توليد قواعد Suricata
تقوم ANY.RUN تلقائياً بوسم حركة المرور المشبوهة بمعرفات قواعد Suricata. يمكنك تصديرها وإضافتها مباشرة إلى ملف القواعد الخاص بك في /etc/suricata/rules/threats.rules.
تفريغ الذاكرة للتحليل غير المتصل
توفر الخطط المدفوعة إمكانية تفريغ ذاكرة العمليات (Memory dump). يمكنك سحب ذاكرة عملية محددة (PID) وتحليلها باستخدام أداة Volatility لاحقاً.
المشكلات الشائعة وإصلاحها
| العرض | السبب المحتمل | الإصلاح |
|---|---|---|
| العينة لا تعمل | اكتشاف البيئة الافتراضية (Anti-VM) | غير نسخة النظام؛ فعل الشبكة المنزلية الخاصة؛ أعد التشغيل |
| تعذر حل نطاق C2 | النطاق محظور أو معطل (Sinkholed) | جرب نمط "بدون إنترنت" لمراقبة السلوك فقط؛ أو استخدم "الشبكة الحقيقية" في الخطط المدفوعة |
| حركة مرور HTTPS غير واضحة | لم يتم تفعيل MITM | فعل خيار MITM HTTPS وأعد تشغيل التحليل |
| التحليل معلق للأبد | العينة تدخل في وضع السكون (Sleep) لفترة طويلة | استخدم حيلة تسريع وقت الويندوز يدوياً عبر Task Scheduler، أو زد وقت التحليل |
منظور المدافع والاستجابة للحوادث (IR)
تغنيك ANY.RUN عن عناء بناء مختبر تحليل خاص. الاستخدامات اليومية تشمل:
- "ماذا يفعل هذا المرفق؟" — إجابة في أقل من 60 ثانية.
- "بماذا يرتبط هذا النطاق؟" — استعلامات TI Lookup.
- "هل تعرض شخص آخر لنفس الهجوم؟" — البحث في السجلات العامة.
بالنسبة للعينات عالية الخطورة، لا تستخدم أبداً النسخة المجانية العامة — بل استخدم الرفع الخاص أو حلولاً محلية.
الأمن العملياتي (OPSEC)
- الرفع العام يكشف أمرك: يمكن للمهاجمين اكتشاف أن نطاقهم قد ظهر في سجلات ANY.RUN العامة خلال ساعات.
- في العمليات الحساسة التي تتضمن حمولة المهاجم الحقيقية، استخدم الخطة الخاصة فقط.
- عناوين IP وبصمات الأجهزة الافتراضية لـ ANY.RUN معروفة ومنشورة — البرمجيات المتطورة قادرة على التملص منها. لا تعتمد على مختبر واحد فقط.
أدوات ذات صلة
| الأداة | التخصص |
|---|---|
| Joe Sandbox | تجاري؛ تغطية أعمق لنظام ويندوز |
| Hatching Triage | مختبر سحابي، يتوفر بنسخة مجانية (عامة) |
| VMRay | حل تجاري متطور جداً |
| Hybrid Analysis | مختبر عام مجاني (Falcon Sandbox) |
| Cuckoo Sandbox / CAPE | مختبر محلي، مفتوح المصدر |
| MalwareBazaar | مشاركة العينات، وليس مختبراً للتحليل |
| VirusTotal | فحص بمحركات متعددة + ملخص سلوكي |