أدوات ومكتبات Python لتحليل البرمجيات الخبيثة

لو بتسأل نفسك: إزاي لغة Python بتساعد في تحليل الفيروسات والبرامج الضارة؟
فالموضوع بسيط جدًا!
Python تعتبر واحدة من أهم اللغات اللي بيستخدمها محللين الفيروسات بسبب سهولتها وقوة مكتباتها في التعامل مع الملفات، الذاكرة، والتحليل الديناميكي.

---

أولاً: مقدمة بسيطة عن لغة Python ​

Python لغة برمجة مفتوحة المصدر وسهلة التعلم جدًا، وده اللي خلى ناس كتير في مجال الـ Cyber Security وMalware Analysis يعتمدوا عليها بشكل أساسي.

مثال بسيط يوضح سهولة بايثون

# قراءة محتوى ملف لفحصه
with open("sample.exe", "rb") as file:
    data = file.read()

print("تم تحميل الملف بنجاح، الحجم:", len(data), "بايت")

الكود ده بسيط جدًا، لكنه أول خطوة لتحليل أي ملف ضار.

---

أهم أدوات ومكتبات Python لتحليل الفيروسات ​

1. مكتبة Pyew​

مكتبة قوية بتتيح لك تحليل العينات الضارة (Malware Samples) بشكل جنائي، تقدر تفكك الكود وتفهم سلوك الملف.
pyew malware_sample.exe
تقدر من خلالها تتفحص الـ strings، والـ sections داخل الملف، وتشوف المؤشرات اللي تدل على كود خبيث.

2. أداة Yara​

واحدة من أقوى الأدوات في العالم لتحديد الفيروسات بناءً على قواعد بتكتبها بنفسك.
مثلاً ممكن تكتب قاعدة تكشف عن فيروس معين

import yara

rule = yara.compile(source='''
rule Suspicious_File
{
    strings:
        $a = "malware" nocase
        $b = { 6D 61 6C 77 61 72 65 }
    condition:
        any of them
}
''')

matches = rule.match("sample.exe")
print(matches)

لو طلع نتيجة، يبقى الملف فيه سلوك مشبوه

3. أداة r2pipe​

الأداة دي بتسمحلك تتعامل مع radare2 (أداة قوية جدًا في الهندسة العكسية) باستخدام Python.
ممكن تستخدمها لتحليل دوال داخل ملفات تنفيذية

import r2pipe

r2 = r2pipe.open("malware.exe")
r2.cmd('aaa')  # تحليل تلقائي
print(r2.cmd('afl'))  # عرض جميع الدوال
r2.quit()

4. مكتبة AnalyzePE​

مكتبة تحليل ملفات PE (Portable Executable) زي ملفات الـ EXE و DLL، وبتخليك تستخرج معلومات دقيقة جدًا من الملفات.

from analyzepe import AnalyzePE

pe = AnalyzePE("malware.exe")
info = pe.output
print(info["File Header"])

المكتبة دي ممتازة جدًا لو بتشتغل على Windows malware.

5. إطار العمل Angr​

من أخطر وأذكى أطر العمل في تحليل البرامج ديناميكيًا (Dynamic Analysis).
بيستخدم تقنيات متقدمة زي Symbolic Execution علشان يفهم سلوك الكود حتى بدون تشغيله فعليًا.

import angr

proj = angr.Project("malware.exe", auto_load_libs=False)
state = proj.factory.entry_state()
simgr = proj.factory.simgr(state)
simgr.explore()
print(simgr.found)

وده بيخليك تقدر تعرف المسارات اللي ممكن الكود الضار ينفذها.

---

Python مش بس لغة برمجة، دي سلاح حقيقي في إيد أي محلل أمن معلومات.
من خلال أدوات زي Yara، Pyew، r2pipe، AnalyzePE، Angr تقدر تعمل تحليل احترافي لأي فيروس وتشوف سلوكه خطوة بخطوة