إسناد الهجمات والاستخبارات المضادة

مَن المهاجم؟ — فن نسب الهجمات

هرم الأدلة و TTPs

نسعى لجمع المؤشرات (IOCs) و سلوكيات (TTPs) و مقارنتها بمكتبة الـ threat actors المعروفة (APT28, APT29, Lazarus, Conti...).

• Diamond Model — Adversary, Capability, Infrastructure, Victim.
• MITRE ATT&CK Mapping — مطابقة كل خطوة بتقنية.
• Cyber Kill Chain — أين كانت الفجوات.

جمع المعلومات عن المهاجم خلال الهجوم

1. على مستوى الشبكة

• عناوين IP و ASN — هل هو VPS, Tor, residential proxy؟
• بصمات JA3 / JA4 للـ TLS client — تكشف الأداة المستخدمة.
• بصمات User-Agent و ترتيب الـ HTTP headers.
• توقيت الطلبات (timezone analysis) — متى يكون نشطاً غالباً؟

2. على مستوى الأدوات

• هاش الـ payload + قارن في VirusTotal, MalwareBazaar, ANY.RUN.
• ميتاداتا في الـ implant (PDB path, compile timestamp, language pack).
• إعادة استخدام C2 domains — راجع RiskIQ / DomainTools / Censys.
• أنماط الكود — خوارزمية تشفير فريدة، أخطاء إملائية ثابتة.

3. على مستوى السلوك

• وقت العمل (مثلاً 9-5 بتوقيت موسكو يشير لـ APT28/29).
• أسلوب الـ post-exploitation (هل يستخدم PsExec أم WMIexec؟).
• اختيار الأهداف داخل الشبكة (DC, mail server, backup؟).

Honeytokens & Beacons — جذب المهاجم لكشف نفسه

أعظم أدوات تتبع المهاجم — تجعله يخبرك بنفسه أنه دخل، و من أين، و ماذا يفعل.

تتبع الـ exfiltration

• ضع ملفات «طُعم» تحتوي tracking pixels.
• استخدم watermarking — كل نسخة من الملف تحوي معرّفاً مخفياً يكشف مصدر التسرب.

OSINT المعكوس — تحقيق على المهاجم

# WHOIS history
whoisxml.com / domaintools.com
# Same IP hosted what?
shodan host 1.2.3.4
viewdns.info reverseip
# Passive DNS
mnemonic.no / circl.lu / VirusTotal Graph
# Linked to a known APT?
malpedia.caad.fkie.fraunhofer.de
mitre.org/groups

مشاركة و استهلاك Threat Intelligence

• MISP — منصة مفتوحة لمشاركة IOCs/TTPs.
• STIX/TAXII — معايير صيغة و نقل.
• المصادر: AlienVault OTX, Mandiant Advantage, Recorded Future, MS Threat Intel, CISA AIS.
• جدول CISA KEV — ثغرات تُستغل فعلياً، رتّب الترقيع بحسبه.

ماذا تستطيع و ماذا لا تستطيع كـ White Hat

إن استطعت الوصول لبنية المهاجم بإذن قانوني

تحت أمر قضائي / تنسيق مع CERT وطني، قد تتمكن جهة إنفاذ القانون من الاستيلاء على سيرفر C2. عند ذلك يجب:

1. الحفاظ على سلسلة الحفظ (chain of custody) — كل لمسة موثقة.
2. عمل forensic image كاملة قبل أي شيء.
3. تحليل قاعدة الضحايا، استرجاع البيانات المسروقة، إخطار المتأثرين.
4. تحويل الـ C2 إلى sinkhole لتجميع المؤشرات (مع تنسيق دولي).

مثال تطبيقي مختصر

1. الهجوم: phishing → macro → Cobalt Strike beacon → privesc → domain admin → exfil عبر MEGA.
2. الكشف: Sysmon رصد winword.exe → powershell.exe -enc؛ تنبيه Sentinel.
3. الاحتواء: عزل الجهاز عبر Defender؛ إبطال tokens؛ حظر دومين الـ C2.
4. التتبع: بصمة JA3 + ميتاداتا الـ payload طابقت FIN7.
5. التتبع الموسع: Canarytoken داخل ملف وهمي تم تنزيله — أعطى IP حقيقياً قبل دخوله الـ VPN.
6. التقرير: مشاركة الـ IOCs في MISP مع CERT.