كيف تفحص ملفًا على VirusTotal وتفهم نتائج الفحص؟

هل سبق أن حمّلت برنامجًا من الإنترنت ثم ترددت في فتحه خوفًا من احتوائه على فيروس أو برنامج تجسس؟ قد يظهر الملف طبيعيًا تمامًا، ويحمل اسم تطبيق معروف، وربما لا يعرض برنامج الحماية المثبت على جهازك أي تحذير. لكن غياب التحذير لا يعني بالضرورة أن الملف آمن، كما أن اكتشاف أحد برامج الحماية لتهديد محتمل لا يثبت دائمًا وجود برمجية خبيثة.

تزداد صعوبة الحكم عندما تجد نتائج متناقضة بين برامج الحماية المختلفة. فقد يصنف أحد المحركات الملف على أنه ضار، بينما تعتبره محركات أخرى غير مكتشف كتهديد. وهنا تصبح قراءة التفاصيل وفهم أسباب الاختلاف أكثر أهمية من الاعتماد على اللون الأحمر أو الأخضر وحده. ويمكن لخدمة VirusTotal تقديم معلومات تساعدك على تقييم هذه الحالات، بشرط معرفة طريقة استخدامها وحدود نتائجها، والانتباه إلى خصوصية الملفات قبل رفعها للتحليل.

الإجابة المباشرة: يمكنك فحص ملف على VirusTotal عبر الموقع الرسمي، واختيار الملف من جهازك، ثم قراءة نتائج محركات الحماية وتحليل التبويبات التفصيلية. لكن ظهور نتيجة نظيفة لا يضمن سلامة الملف، كما أن اكتشافًا منفردًا قد يكون إنذارًا كاذبًا يحتاج إلى تحقق إضافي.

قبل أن تبدأ

لا تفتح الملف المشتبه به أو تشغّله قبل إتمام التحقق من مصدره.
استخدم موقع VirusTotal الرسمي وتجنب الصفحات التي تقلد واجهته.
لا ترفع ملفات شخصية أو مستندات سرية إلى خدمة الفحص العامة.
نتيجة صفر اكتشافات لا تعني ضمان خلو الملف من البرمجيات الضارة.
افحص الملف نفسه، وليس اسمه أو امتداده فقط.
تعامل مع النتائج باعتبارها أدلة مساعدة لاتخاذ القرار، وليست شهادة أمان نهائية.

ما الذي ستحتاجه قبل البدء؟

لا يتطلب استخدام واجهة VirusTotal العامة تثبيت برنامج على الكمبيوتر. يكفي وجود متصفح حديث واتصال بالإنترنت والملف الذي تريد فحصه، مع مراعاة طبيعة المعلومات الموجودة داخله.

تجمع خدمة VirusTotal وفق شرح آلية عملها الرسمي نتائج محركات متعددة لمكافحة البرمجيات الخبيثة، إضافة إلى أدوات أخرى لتحليل الملفات والروابط واستخراج مؤشرات التهديد.

وقبل اختيار الملف، تحقق من الأمور التالية:

مصدر الملف: هل حصلت عليه من الموقع الرسمي للبرنامج، أم من رابط مختصر أو رسالة مجهولة؟
نوع الملف: هل هو برنامج تنفيذي، أو مستند Office، أو ملف PDF، أو أرشيف مضغوط؟
حساسية المحتوى: هل يتضمن كلمات مرور أو بيانات عمل أو معلومات مالية أو شخصية؟
حالة الجهاز: هل اكتشفت أداة الحماية المحلية الملف بالفعل، أم أنك تريد فحصه احترازيًا؟

تنبيه مهم للخصوصية: الفحص العام على VirusTotal ليس مساحة تخزين خاصة. فقد تُشارك تقارير التحليل مع مجتمع الخدمة، وقد تتاح الملفات المقدمة لشركاء الحماية وجهات مؤهلة تستخدم خدماتها المتقدمة. لذلك لا ترفع عقودًا أو صورًا خاصة أو قواعد بيانات أو ملفات تحتوي على أسرار عمل.

وتوضح وثائق VirusTotal لخدمة Private Scanning وجود خيار منفصل مدفوع للفحص الخاص، لا يشارك العينات بالطريقة المستخدمة في الخدمة العامة. ولا ينبغي الخلط بينه وبين الرفع المعتاد للملفات.

الفكرة العملية: حدد مصدر الملف وحساسيته أولًا؛ فالملف السري يجب ألا يُرفع إلى الفحص العام حتى لو كنت تشك في احتوائه على تهديد.

ما الخطوات بالترتيب الصحيح؟

اتبع الخطوات التالية لفحص ملف غير حساس، ثم انتقل إلى تفسير النتائج بدل الاكتفاء بالعدد الظاهر في أعلى التقرير. قد تختلف بعض التسميات أو أماكن الأزرار مع تحديث واجهة الموقع.

افتح موقع VirusTotal الرسمي.
انتقل إلى واجهة فحص الملفات في VirusTotal باستخدام المتصفح. ستجد عادة خيارات لتحليل الملفات والروابط والبحث عن عناصر سبق فحصها.
تأكد من عنوان الموقع قبل اختيار أي ملف، ولا تعتمد على روابط تطلب تثبيت إضافة أو برنامج مجهول لإتمام الفحص.
اختر تبويب FILE للفحص.
خصصت الخدمة هذا الخيار للملفات المخزنة على الجهاز. أما تبويب URL فيُستخدم لتحليل عناوين المواقع والروابط، وتبويب SEARCH للبحث عن معلومات موجودة مسبقًا، بما فيها بصمات الملفات.
إذا كان لديك رابط تنزيل فقط، ففحص الرابط لا يغني عن فحص الملف الذي يتم تنزيله منه؛ لأن نتائج الرابط والملف تمثل نوعين مختلفين من التحليل.
حدد الملف دون تشغيله.
اضغط خيار Choose file أو زر اختيار الملف، ثم حدد العنصر المطلوب من جهازك. لا تحتاج إلى فتح البرنامج أو السماح له بالعمل لإرساله إلى خدمة الفحص.
إذا كان الملف مضغوطًا، فقد تختلف قدرة المحركات على تحليل الملفات الداخلية وفق نوع الأرشيف والتشفير وحجم المحتويات. لذلك لا تعتبر نتيجة الأرشيف وحدها كافية دائمًا للحكم على جميع عناصره.
راجع قرار الرفع قبل التأكيد.
عندما تختار ملفًا لم يُحلل سابقًا أو تحتاج الخدمة إلى استلامه، قد يُطلب منك تأكيد الإرسال. لا توافق قبل التأكد من خلوه من البيانات الحساسة.
إذا ظهر تقرير سابق للملف نفسه، فافحص تاريخ آخر تحليل قبل الاعتماد عليه. وجود نسخة سابقة في قاعدة البيانات لا يعني بالضرورة أن نتائجها حديثة.
انتظر ظهور تقرير التحليل.
قد يعرض الموقع نتيجة محفوظة مسبقًا أو يبدأ عملية تحليل جديدة. تختلف مدة المعالجة بحسب حالة الخدمة وحجم الملف ونوع التحليل المطلوب.
بعد ظهور التقرير، ابحث عن ملخص اكتشافات محركات الحماية، وتاريخ التحليل، والتبويبات التي تعرض تفاصيل إضافية عن الملف.
اقرأ نسبة الاكتشاف قراءة صحيحة.
قد تظهر النتيجة مثل 0/70 أو 1/70 أو 25/70. هذه الأرقام أمثلة توضيحية، وليست نتائج فعلية لملف معين. الرقم الأول يمثل عدد المحركات التي صنفت الملف على أنه ضار ضمن النسبة المعروضة، والثاني يمثل العدد المقابل من نتائج المحركات في ذلك الملخص.
لكن ارتفاع العدد أو انخفاضه لا يكفي وحده لاتخاذ قرار نهائي. ويجب قراءة أسماء المحركات وتصنيفاتها والأدلة الأخرى.
افتح تبويب SECURITY VENDORS أو قسم النتائج الأمنية.
يعرض هذا القسم أحكام المحركات المختلفة. وقد تظهر تصنيفات مثل Malicious بمعنى ضار، وSuspicious بمعنى مشبوه، وUndetected بمعنى لم يُكتشف تهديد، وHarmless بمعنى غير ضار وفق تصنيف المحرك.
انتبه إلى أن Undetected لا يعني أن المحرك اختبر جميع سلوكيات الملف وأثبت سلامته؛ بل يعني أنه لم يصنفه كتهديد في نتيجة التحليل المعروضة.
راجع تبويب DETAILS لمعرفة هوية الملف.
ابحث عن نوع الملف وحجمه وأسمائه المسجلة وبصمته الرقمية، وخاصة SHA-256. والبصمة الرقمية قيمة تُحسب من محتوى الملف وتساعد على التمييز بين الملفات المختلفة بدقة عالية.
إذا طابق الملف نسخة رسمية منشورة من الشركة وكانت بصمته مطابقة لقيمة موثوقة أعلنتها الشركة، فهذا دليل مهم على تطابق المحتوى، لكنه لا يثبت وحده أن البرنامج خالٍ من الثغرات أو آمن في كل الظروف.
افحص تبويبي BEHAVIOR وRELATIONS عند توفرهما.
قد يعرض Behavior معلومات عن سلوك الملف أثناء تشغيله داخل بيئة تحليل معزولة تُسمى Sandbox، بينما يمكن أن يُظهر Relations الملفات أو العناوين أو النطاقات المرتبطة بالعينة.
ابحث عن مؤشرات ذات معنى، مثل محاولة إنشاء آليات تشغيل تلقائي غير متوقعة، أو تعديل إعدادات أمنية، أو الاتصال ببنية معروفة بالنشاط الخبيث. مع ذلك، قد تقوم البرامج المشروعة ببعض الإجراءات المشابهة لأسباب طبيعية.
راجع تعليقات المجتمع واتخذ القرار.
قد يحتوي قسم COMMUNITY على تعليقات من باحثين أمنيين أو مستخدمين آخرين. اقرأها باعتبارها معلومات إضافية قابلة للصواب والخطأ، وليس مصدرًا موثوقًا تلقائيًا.
إذا تعددت المؤشرات القوية أو كان مصدر الملف مجهولًا، فلا تشغله. أما إذا كانت النتائج محدودة ومتعارضة، فاستكمل التحقق من المصدر والتوقيع الرقمي والفحص المحلي قبل اتخاذ القرار.

الفكرة العملية: ابدأ بالملخص، ثم انتقل إلى أحكام المحركات وهوية الملف وسلوكه؛ فالتقرير الكامل أكثر فائدة من رقم الاكتشاف وحده.

ما الأخطاء الشائعة التي يجب تجنبها؟

قد تؤدي القراءة السريعة لنتائج VirusTotal إلى حذف برنامج سليم أو تشغيل ملف خطر. وأبرز الأخطاء التي ينبغي تجنبها هي:

اعتبار 0 اكتشافات دليل أمان مطلق: قد تكون البرمجية جديدة أو تستخدم أساليب تخفٍّ لم تتعرف إليها المحركات بعد.
اعتبار اكتشاف واحد إثباتًا للإصابة: يمكن أن يحدث إنذار كاذب (False Positive)، خصوصًا مع بعض الأدوات الإدارية أو البرامج غير الشائعة.
إهمال تاريخ التقرير: نتيجة قديمة لا تعكس بالضرورة تحديثات محركات الكشف الحالية.
الاعتماد على اسم الملف: يستطيع المهاجم تسمية ملف خبيث باسم برنامج موثوق دون أن يصبح الملف أصليًا.
رفع مستندات سرية: مشاركة ملف حساس في خدمة عامة قد تمثل مشكلة خصوصية حتى لو كانت نتيجة الفحص نظيفة.
تشغيل الملف لاختباره شخصيًا: فتح ملف مشبوه على جهازك الأساسي قد يؤدي إلى تنفيذ تعليمات ضارة قبل أن تدرك ذلك.
اعتبار التعليقات حكمًا نهائيًا: يمكن أن تكون تعليقات المجتمع قديمة أو غير دقيقة أو غير مرتبطة بالنسخة الحالية.

وتوضح VirusTotal في تعليمات معالجة الإنذارات الكاذبة أن أحكام الكشف تصدر من الشركات المشاركة، وأن الخدمة لا تعدل تصنيفات تلك المحركات بنفسها. وإذا ثبت أن الكشف خاطئ، فيجب التواصل مع الشركة صاحبة التصنيف.

الفكرة العملية: لا تحوّل تقرير الفحص إلى قرار آلي؛ فكل تحذير يحتاج إلى فهم مصدره، وكل نتيجة نظيفة تحتاج إلى مراعاة مصدر الملف وسياقه.

كيف تتحقق من نجاح كل خطوة؟

نجاح الفحص لا يعني بالضرورة أن الملف آمن؛ بل يعني أنك حصلت على تقرير صالح للمراجعة وتأكدت من أنه يخص الملف المقصود.

استخدم الجدول التالي للتحقق من المراحل الأساسية:

المرحلة	علامة النجاح	ما يجب الانتباه إليه
اختيار الملف	ظهور بيانات الملف المطلوب	عدم اختيار نسخة أخرى بالاسم نفسه
إتمام التحليل	ظهور التقرير ووقت التحليل	عدم الاعتماد على تقرير قديم دون مراجعة
نتائج المحركات	ظهور تصنيفات المحركات	التمييز بين الاكتشاف والاشتباه
هوية الملف	ظهور بصمة SHA-256	التحقق من تطابق البصمة عند توفر مرجع رسمي
القرار النهائي	تقييم النتائج والمصدر معًا	عدم اعتبار غياب الكشف تصريحًا بالتشغيل

ولتفسير العدد الظاهر في التقرير، يمكن الاسترشاد بالأمثلة التالية دون اعتبارها حدودًا ثابتة للأمان:

0/70: لم تصنف المحركات المعروضة الملف كتهديد، لكن ذلك لا يستبعد وجود خطر غير مكتشف.
1/70: يوجد اكتشاف واحد، وقد يكون إنذارًا كاذبًا أو إشارة مبكرة لتهديد فعلي.
8/70: توجد اكتشافات متعددة تستدعي حذرًا واضحًا، مع أهمية معرفة نوع المحركات والتصنيفات.
45/70: توافق عدد كبير من المحركات على الكشف يمثل مؤشر خطر قويًا، ويبرر تجنب تشغيل الملف.

هذه أمثلة تعليمية وليست قاعدة إحصائية رسمية. كما أن المحركات ليست مستقلة تمامًا بالضرورة؛ فقد تتشابه تقنياتها أو قواعد كشفها، ولذلك لا ينبغي تفسير عدد الاكتشافات بوصفه احتمالًا رياضيًا للإصابة.

الفكرة العملية: تحقق من هوية العينة وحداثة التقرير وطبيعة الاكتشافات قبل تصنيف الملف على أنه منخفض الخطورة أو مرتفع الخطورة.

ماذا تفعل إذا فشلت خطوة معينة؟

قد يتعذر رفع الملف أو تظهر نتائج غير مكتملة أو متناقضة. ويختلف التصرف الصحيح بحسب المشكلة التي تواجهك.

إذا تعذر رفع الملف: تحقق من الاتصال بالإنترنت وحجم الملف ورسالة الخطأ. لا تحاول تجاوز قيود الخدمة برفع محتوى سري إلى مواقع بديلة غير موثوقة.
إذا كان الملف حساسًا: أوقف الرفع العام، واستخدم فحص الحماية المحلي أو خدمة تحليل خاصة معتمدة إذا كانت متاحة ومناسبة لسياسات الخصوصية.
إذا ظهر تقرير قديم: استخدم خيار Reanalyse عندما يكون متاحًا لإعادة التحليل بأحدث المعلومات المتوفرة لدى المحركات المشاركة.
إذا أظهرت محركات قليلة اكتشافًا: افحص أسماء التهديدات ومصدر البرنامج وتوقيعه الرقمي، وتجنب تشغيله حتى تنتهي من التحقق.
إذا ظهرت اكتشافات كثيرة: لا تفتح الملف، واحذفه أو اترك أداة الحماية تعزله وفق السياق. وإذا سبق تشغيله، افحص الجهاز كاملًا.
إذا لم تظهر بيانات السلوك: لا تعتبر غيابها علامة أمان؛ فقد لا تكون بيئة التحليل قادرة على تشغيل الملف أو استنتاج سلوكه في تلك الحالة.

وإذا لم تتمكن من استخدام VirusTotal، فيمكنك فحص الملف محليًا على ويندوز. توضح Microsoft طريقة فحص ملف باستخدام Windows Security من خلال النقر بزر الفأرة الأيمن على الملف، ثم اختيار الفحص باستخدام Microsoft Defender إذا كان المحرك متاحًا ومفعّلًا.

أما إذا كنت تشك في أن الملف الخبيث قد شُغّل بالفعل، فقد تحتاج إلى فحص أوسع. وتشرح Microsoft آلية فحص Defender Offline الذي يعمل خارج جلسة ويندوز المعتادة، ليساعد على اكتشاف بعض التهديدات التي يصعب التعامل معها أثناء تشغيل النظام.

الفكرة العملية: عند تعذر الفحص أو تضارب النتائج، أبقِ الملف غير مشغّل وانتقل إلى التحقق المحلي والمصادر الرسمية بدل تجربة الملف مباشرة.

نصائح متقدمة لتحسين النتيجة

بعد إتقان الفحص الأساسي، يمكنك تحسين دقة تقييم الملفات من خلال أدوات ومؤشرات إضافية لا تتطلب خبرة عميقة في تحليل البرمجيات.

استخدم بصمة SHA-256 للبحث: يمكنك البحث عن بصمة ملف بدل رفعه مجددًا، خاصة إذا أردت معرفة ما إذا كانت هناك نتائج سابقة للعينة نفسها. البحث لا يمنح خصوصية مطلقة لاستعلاماتك، لذلك تجنب إرسال مؤشرات حساسة إلى خدمات عامة دون تقييم مناسب.
قارن البصمات بمصدر موثوق: إذا أعلنت الشركة المطورة بصمة SHA-256 لملف التنزيل، فقارنها ببصمة نسختك. عدم التطابق قد يعني اختلاف الإصدار أو تلف التنزيل أو تعديل الملف.
تحقق من التوقيع الرقمي: في ملفات البرامج التي تدعمه، افحص اسم الجهة الموقعة وصلاحية التوقيع. وجود توقيع صالح مؤشر مفيد على سلامة المحتوى منذ توقيعه وهوية الموقّع وفق الثقة بالشهادة، لكنه ليس ضمانًا لخلو البرنامج من البرمجيات الضارة.
افصل بين سمعة الملف وسلوكه: قد يكون الملف غير معروف لمحركات الحماية، بينما تكشف تحليلات السلوك محاولات مشبوهة. وبالمقابل، قد تكون هناك نتائج سلوكية ناقصة بسبب قيود بيئة الاختبار.
راجع السياق قبل الحكم: برامج الإدارة عن بُعد وأدوات اختبار الاختراق قد تُصنف كبرامج غير مرغوب فيها أو أدوات محتملة الخطورة، رغم وجود استخدامات مشروعة لها.
تعامل بحذر مع الملفات الجديدة: عدم وجود تقرير سابق أو نتائج كثيرة لا يعني أن الملف آمن، خصوصًا عند وصوله من مصدر مجهول أو رسالة غير متوقعة.

في ويندوز يمكنك معرفة بصمة الملف دون فتحه باستخدام PowerShell. افتح PowerShell واكتب الأمر التالي بعد استبدال المسار بموقع الملف:

Get-FileHash -LiteralPath "C:\Downloads\example.exe" -Algorithm SHA256

سيظهر ناتج يتضمن قيمة Hash. ويمكن مقارنتها ببصمة منشورة من المطور أو استخدامها للبحث عن تقرير سابق في VirusTotal. احرص على مقارنة البصمة كاملة، ولا تعتمد على تشابه بداية القيمة أو نهايتها.

إذا كنت مطورًا وظهر اكتشاف تعتقد أنه غير صحيح، فابدأ بإعادة التحليل. وعندما يستمر الاشتباه رغم توفر أدلة على سلامة الملف، تواصل مع مزود محرك الحماية المعني لتقديم طلب مراجعة بدلاً من محاولة تعطيل الحماية على أجهزة المستخدمين.

الفكرة العملية: اجمع بين بصمة الملف والتوقيع الرقمي ونتائج محركات الحماية وسياق التنزيل للحصول على تقييم أدق من مجرد قراءة عدد الاكتشافات.

مواضيع قد تهمك:

أسئلة متكررة

هل VirusTotal آمن لفحص الملفات؟

يُعد VirusTotal خدمة معروفة لتحليل الملفات والروابط، لكن الفحص العام لا يوفر سرية الملفات المرفوعة. لذلك تجنب إرسال المستندات الشخصية أو بيانات العمل الحساسة، واستخدم الفحص المحلي عند الحاجة.

هل نتيجة 0/70 تعني أن الملف آمن تمامًا؟

لا، تعني أن المحركات المعروضة لم تصنف الملف كتهديد في التحليل المشار إليه. وقد توجد تهديدات جديدة أو أساليب خبيثة لم تتمكن أدوات الكشف من التعرف إليها.

ماذا يعني ظهور نتيجة 1/70 في VirusTotal؟

تعني أن محركًا واحدًا أبلغ عن اكتشاف ضمن النتائج المعروضة. وقد يشير ذلك إلى تهديد حقيقي أو إنذار كاذب، لذلك يجب التحقق من مصدر الملف والتصنيف وبقية المؤشرات.

هل يمكن فحص ملف على VirusTotal دون رفعه؟

يمكن البحث عن بصمة SHA-256 للعثور على تقرير سابق دون رفع محتوى الملف نفسه. لكن إذا لم تتوفر نتيجة سابقة، فلن ينتج البحث وحده تحليلًا جديدًا لمحتوى الملف المحلي.

هل يستطيع VirusTotal حذف الفيروسات من الكمبيوتر؟

لا، VirusTotal خدمة تحليل وليست أداة تنظيف محلية للجهاز. لإزالة التهديدات استخدم برنامج حماية موثوقًا، مثل Microsoft Defender، واتبع إجراءات العزل أو الإزالة المناسبة.

لماذا تختلف نتائج برامج الحماية داخل VirusTotal؟

تستخدم محركات الحماية تقنيات كشف وقواعد بيانات وسياسات تصنيف مختلفة، لذلك قد يتعرف بعضها إلى تهديد لا تكتشفه محركات أخرى، وقد تظهر أحيانًا إنذارات كاذبة.

ماذا تفعل الآن

ماذا تفعل الآن

حدد ما إذا كان الملف مناسبًا للفحص العام، وتجنب رفع أي محتوى شخصي أو سري.
افحص الملف أو ابحث عن بصمته، ثم راجع الاكتشافات وهوية الملف وسلوكه وتاريخ التحليل.
لا تشغّل الملفات المشبوهة قبل التحقق من مصدرها واستخدام وسائل حماية إضافية عند الحاجة.

تمنحك خدمة VirusTotal رؤية أوسع لسمعة الملفات، لكنها لا تلغي دور برنامج الحماية المثبت على جهازك أو أهمية تنزيل البرامج من مصادر موثوقة. وتظل أفضل طريقة لتجنب الأخطاء هي التعامل مع التقرير باعتباره مجموعة أدلة تحتاج إلى تفسير، وليس حكمًا نهائيًا بالأمان أو الخطورة.

اختر ملفًا تجريبيًا غير حساس من مصدر معروف، وافحصه على VirusTotal، ثم قارن نتيجة المحركات ببصمته الرقمية ومصدر تنزيله لتطبيق خطوات التحقق عمليًا.