🤖 machine learning

Applying Graph Analysis for Unsupervised Fast Malware Fingerprinting

تقدم هذه الورقة TrapNet، وهو إطار عمل غير خاضع للإشراف يجمع بين فك الحزم العام، وتقنية تجريد هاش رقمي ضبابي جديدة تعتمد على تحليل المكونات الرئيسية (PCA) تسمى FloatHash، واكتشاف المجتمعات في الرسوم البيانية، وذلك لتحديد بصمات عينات البرمجيات الخبيثة وتجميعها بكفاءة بناءً على التشابه الدلالي على نطاق واسع.

المؤلفون الأصليون: ElMouatez Billah Karbab, Mourad Debbabi

نُشر 2026-05-12

📖 3 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: ElMouatez Billah Karbab, Mourad Debbabi

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك حارس أمن في مطار ضخم. كل يوم، تصل 250,000 حقيبة سفر جديدة (عينات برمجيات خبيثة)، ومهمتك هي معرفة أي منها خطيرة وأيها ينتمي إلى نفس العصابة الإجرامية. محاولة فتح وفحص كل حقيبة يدوياً أمر مستحيل؛ ستغرق في العمل قبل حلول وقت الغداء.

تقدم هذه الورقة البحثية TrapNet، وهو نظام ذكي ومؤتمت مصمم لحل هذه المشكلة. فبدلاً من فتح كل حقيبة، يستخدم TrapNet تقنية "بصمة الإصبع" لتجميع الحقائب المتشابهة معاً بسرعة، مما يسمح لفرق الأمن بالتركيز فقط على المجموعات المشبوهة.

إليك كيف يعمل TrapNet، مقسماً إلى خطوات بسيطة:

1. خطوة "تفريغ الشحنة" (تقشير البصلة)

كثير من المجرمين يخفون حقائبهم داخل صناديق أخرى (تغليف/تشفير) لخداع الماسحات الأمنية.

ما يفعله TrapNet: قبل النظر في الداخل، يستخدم أدوات معروفة لفك هذه الصناديق. إذا كانت الحقيبة صعبة الفتح آلياً، يتخطاها TrapNet (لتوفير الوقت)، ولكن بالنسبة للبقية، فإنه يصل إلى المحتويات الحقيقية.

2. خطوة "بصمة الإصبع" (FloatHash)

بمجرد فتح الحقيبة، يحتاج TrapNet إلى إنشاء بطاقة هوية فريدة لها.

المشكلة: تحتوي الحقيبة على آلاف التعليمات الصغيرة (مثل وصفة تحتوي على آلاف الخطوات). كتابة كل خطوة على حدة ستكون عملية بطيئة جداً.
الحل (FloatHash): يقوم TrapNet بإنشاء "ملخص" قصير مكون من 100 رقم لوصفة الحقيبة.
- ينظر إلى ترتيب التعليمات (مثل تسلسل المكونات في وصفة الكعكة).
- يستخدم خدعة رياضية تسمى PCA (تخيلها كخلاط عالي التقنية) لسحق آلاف التفاصيل وتحويلها إلى 100 رقم فقط.
- التشبيه: تخيل أن لديك رواية من 500 صفحة. بدلاً من قراءة الرواية بأكملها لمعرفة الحبكة، تقوم بإنشاء ملخص من 10 كلمات يلتقط جوهر القصة. إذا كانت روايتان تمتلكان نفس الملخص المكون من 10 كلمات، فمن المرجح أنهما لنفس القصة.
- يقوم TrapNet بإنشاء هذين الملخصين لكل برمجية خبيثة: أحدهما يعتمد على تعليمات الكود (opcodes) والآخر يعتمد على الوظائف التي تستدعيها.

3. خطوة "الشبكة الاجتماعية" (بناء الخريطة)

الآن بعد أن أصبح لكل حقيبة هوية مكونة من 100 رقم، يقوم TrapNet بمقارنتها ليرى من يشبه من.

العملية: يقوم بحساب مدى تشابه أرقام الهوية. إذا كانت أرقام حقيبتين متشابهة جداً، فهما "صديقتان".
الخريطة: يرسم خريطة ضخمة حيث تمثل كل حقيبة نقطة، وتصل الخطوط بين "الأصدقاء". هذا ينشئ شبكة تشابه هائلة.

4. خطوة "التجميع" (إيجاد العصابات)

على هذه الخريطة الضخمة، تترابط بعض النقاط في مجموعات كثيفة، بينما تكون نقاط أخرى معزولة.

التشبيه: فكر في كافيتريا مدرسة ثانوية. يمكنك بسهولة تمييز مجموعات الأصدقاء الجالسين معاً حول الطاولات. حتى لو كنت لا تعرف أسماء الطلاب، يمكنك معرفة من ينتمي لأي مجموعة بمجرد رؤية من يجلس مع من.
النتيجة: يستخدم TrapNet خوارزمية سريعة للعثور على هذه "الطاولات" (المجتمعات). إذا كانت مجموعة من 50 حقيبة تجلس عند نفس الطاولة، فمن المرجح أنها من نفس عائلة البرمجيات الخبيثة.

لماذا يعد هذا أمراً هاماً؟

تدعي الورقة أن TrapNet يغير قواعد اللعبة لسببين رئيسيين:

السرعة: إنه سريع للغاية. فبينما قد تستغرق الأنظمة الأخرى ساعات لفرز 130,000 حقيبة، قام TrapNet بفرز 250,000 عينة في 12 دقيقة فقط. هذا أسرع بنحو 15 مرة من أفضل طريقة سابقة.
الدقة: لم يكن سريعاً فحسب، بل كان سريعاً وذكياً أيضاً. فقد نجح في تجميع حوالي 48% من البرمجيات الخبيثة في عائلات واضحة، وكان 82% من تلك المجموعات "نقية" (بمعنى أنها تحتوي على نوع واحد فقط من البرمجيات الخبيثة، دون أي خلط).

الخلاة النهائية

TrapNet يشبه آلة فرز فائقة السرعة للتهديدات الرقمية. فبدلاً من محاولة فهم كل قطعة من البرمجيات الخبيثة بعمق، فإنه ينشئ ملخصاً سريعاً، ويجد المجموعات، ويخبر خبراء الأمن: "مهلاً، هذه الملفات الـ 500 كلها جزء من نفس العصابة. تحتاجون فقط للتحقيق في هذه المجموعة الواحدة." وهذا يحول مهمة مستحيلة إلى مهمة يمكن إدارتها.

ملخص تقني: TrapNet – بصمة برمجيات خبيثة سريعة غير خاضعة للإشراف عبر تحليل الرسوم البيانية

1. بيان المشكلة

تتسارع وتيرة انتشار البرمجيات الخبيثة بشكل هائل، حيث تشير التقديرات إلى ظهور ما يقرب من 250,000 عينة جديدة يومياً. إن التحقيق اليدوي في هذا الحجم من العينات أمر غير عملي، مما يخلق حاجة ملحة لأدوات فرز (triage) آلية وقابلة للتوسع. تعتمد طرق التجميع (clustering) الحالية غير الخاضعة للإشراف غالباً على التحليل الديناميكي (التحليل في بيئة معزولة/sandbox)، والذي يعاني من تغطية تنفيذ محدودة ومتطلبات موارد عالية تؤدي إلى ضعف القدرة على التوسع. ومن ناحية أخرى، يوفر التحليل الساكن (static analysis) الكفاءة، ولكنه غالباً ما يواجه صعوبات مع تقنيات التمويه (obfuscation) والتغليف (packing). التحدي الجوهري الذي تعالجه هذه الورقة هو كيفية فرز التدفقات الضخمة من الملفات الثنائية المشبوهة بكفاءة وفعالية، واكتشاف الخباثة، وتجميع العينات في عائلات بناءً على التشابه الدلالي دون معرفة مسبقة أو تنفيذ ديناميكي.

2. المنهجية: إطار عمل TrapNet

يقترح المؤلفون TrapNet، وهو إطار عمل مبتكر وغير خاضع للإشراف مصمم لتحديد البصمة السريعة للبرمجيات الخبيثة وتحديد العائلات باستخدام التحليل الساكن. يعمل إطار العمل عبر أربع مراحل متميزة:

المرحلة 1: إعداد ومعالجة الملفات الثنائية

يستقبل TrapNet مجموعة بيانات من العينات الثنائية. يقوم أولاً باستخدام أدوات مثل PEiD و UPX للكشف عن الملفات المغلفة وفك تغليفها، بهدف تقليل تأثير الحمولات المخفية. يتم تجاهل العينات التي لا يمكن فك تغليفها. بعد ذلك، يتم تفكيك الملفات الثنائية المفككة (باستخدام IDA Pro) لاستخراج تسلسلات رموز العمليات (opcodes) واستدعاءات الدوال (function invocations).

المرحلة 2: توليد FloatHash (FH)

لتمثيل البرمجيات الخبيثة دلالياً، يقدم TrapNet تقنية FloatHash (FH)، وهي تقنية تجزئة ضبابية (fuzzy hashing) مبتكرة تضغط المنطق التجميعي (assembly logic) إلى متجه كثيف وقصير ذي قيم حقيقية. تم اقتراح متغيرين:

متغير تجزئة FH (FH Hashing Variant): يستخرج الـ N-grams من تسلسلات رموز العمليات والدوال. وللتعامل مع الأبعاد العالية للـ N-grams (التي تنمو أسياً)، فإنه يطبق تجزئة الميزات (Feature Hashing) لتقليل الأبعاد إلى حجم ثابت، يليه تطبيق تحليل المكونات الرئيسية (PCA) لضغط المتجه بشكل أكبر مع الحفاظ على المعلومات.
متغير تسلسل FH (FH Sequence Variant): يقوم بخرائط رموز العمليات واستدعاءات الدوال إلى معرفات عددية فريدة لإنشاء تسلسل منفصل. يتم توحيد طول التسلسل (عن طريق القص أو الحشو) إلى معلمة ثابتة $L$ (على سبيل المثال، 20,000). بعد ذلك، يتم تطبيق PCA مباشرة على هذا المتجه المنفصل لإنشاء التضمين (embedding) النهائي.

ينتج عن كلا المتغيرين متجهات قصيرة (مثلاً 100 بُعد) تلتقط الدلالات الأساسية للبرمجيات الخبيثة.

المرحلة 3: بناء شبكة التشابه

يبني TrapNet شبكة تشابه للبرمجيات الخبيثة حيث تمثل العقد العينات وتمثل الحواف التشابه.

حساب التشابه: يتم حساب التشابه الزوجي بين متجهات FH باستخدام مسافة جيب التمام (Cosine distance). لضمان القابلية للتوسع، يستخدم إطار العمل خوارزمية FALCONN، وهي خوارزمية بحث عن أقرب جار تقريبي عالية الأداء قادرة على معالجة ملايين النقاط في أجزاء من الثانية.
تحديد العتبة (Thresholding): يحدد منهج استدلالي نظامي عتبة التشابه. يقوم بحساب متوسط التشابه الزوجي لنوع معين من FH ويضبط عتبة الاتصال كنسبة مئوية من هذا المتوسط. يسم ح ذلك لـ "معلمة فائقة" (hyper-parameter) واحدة لضبط المقايضة بين التغطية والنقاء.

المرحلة 4: اكتشاف المجتمعات

تطبق المرحلة النهائية خوارزميات اكتشاف مجتمعات الرسوم البيانية (تحديداً خوارزمية فك سريع تعتمد على تحسين المودولارية/modularity optimization) على شبكة التشابه. يحدد هذا عملية اكتشاف مجتمعات كثيفة، والتي تقابل مجموعات من البرمجيات الخبيثة ذات دلالات متشابهة (العائلات).

3. المساهمات الرئيسية

إطار عمل TrapNet: إطار عمل غير خاضع للإشراف وقابل للتوسع لتجميع البرمجيات الخبيسة، يستفيد من التحليل الساكن واكتشاف مجتمعات الرسوم البيانية للتعامل مع مجموعات البيانات الضخمة دون معرفة مسبقة.
FloatHash (FH): تقنية تجزئة ضبابية عددية مبتكرة تولد متجهات ذات قيم حقيقية كثيفة وقصيرة تمثل دلالات البرمجيات الخبيثة. وهي تدعم كلاً من تسلسلات رموز العمليات واستدعاءات الدوال، ومصممة لحساب التشابه السريع.
القابلية للتوسع والكفاءة: يسمح دمج PCA، وتجزئة الميزات، والبحث عن أقرب جار تقريبي لـ TrapNet بمعالجة مجموعات البيانات واسعة النطاق بشكل أسرع بكثير من الحلول الحالية.
تقييم شامل: اختبارات مكثفة على مجموعة بيانات Microsoft من Kaggle (11.5 ألف عينة) ومجموعة بيانات "برمجيات خبيثة برية" ضخمة (250 ألف عينة من 73 عائلة) تغطي سيناريوهات البرمجيات الخبيثة فقط والسيناريوهات المختلطة (سليمة/خبيثة).

4. النتائج التجريبية

تُظهر التقييمات فعالية وكفاءة TrapNet عبر أحجام مجموعات البيانات والتكوينات المختلفة:

الأداء على 250 ألف برمجية خبيثة "برية": باستخدام متغير FH Sequence، قام TrapNet بتجميع 250,000 عينة في 12 دقيقة، محققاً تغطية بنسبة 48% ونقاء مجتمع بنسبة 82%.
المقارنة مع أحدث التقنيات (State-of-the-Art): يعد TrapNet أسرع بحوالي 15 مرة من MutantX-S، الذي استغرق 90 دقيقة لتجميع 130,000 عينة.
مقارنة المتغيرات:
- أثبت متغير FH Sequence أنه أكثر استقراراً وقابلية للتوسع عبر جميع أحجام مجموعات البيانات، حيث حافظ على تغطية تقارب 50% ونقاء تقارب 80% حتى مع نمو مجموعة البيانات إلى 250 ألف عينة.
- أدى متغير FH Hashing أداءً جيداً في مجموعات البيانات الأصغر (10 آلاف - 50 ألف)، ولكنه أظهر انخفاضاً حاداً في التغطية في مجموعات البيانات الأكبر (انخفض إلى أقل من 1% لـ 250 ألف عينة)، مما يشير إلى أنه أقل قابلية للتوسع.
السيناريو المختلط (سليم مقابل خبيث): في السيناريوهات التي تحتوي على ملفات سليمة، أظهر متغير FH Hashing نقاءً عالياً (100%) للعينات السليمة، مما مكنه من عزلها بفعالية، وإن كان بتغطية أقل. أظهر متغير Sequence تغطية أعلى ولكن بنقاء أقل للعينات السليمة.
حساسية العتبة: يسمح الإطار للمحللين بضبط نسبة عتبة التشابه للموازنة بين التغطية والنقاء. على سبيل المثال، في مجموعة بيانات Microsoft، أدت زيادة العتبة من 1% إلى 100% إلى زيادة التغطية من 12% إلى 82% لمتغير Hashing.

5. الأهمية والادعاءات

تدعي الورقة أن TrapNet تطور أحدث التقنيات في تجميع البرمجيات الخبيثة من خلال تقليل وقت معالجة مجموعات البيانات واسعة النطاق من ساعات إلى دقائق. ومن خلال الاعتماد حصرياً على التحليل الساكن وتقنيات الرسوم البيانية الفعالة، فإنه يقدم حلاً عملياً للفرز اليومي لمئات الآلاف من عينات البرمجيات الخبيثة. يؤكد المؤلفون أن إطار العمل قابل للتخصيص بدرجة عالية لتلبية احتياجات ممارسي الأمن من خلال المعلمات الفائقة (hyper-parameters) ويوفر قرارات قابلة للتفسير من خلال تتبع أي المحتويات الساكنة (رموز العمليات أو الدوال) هي التي تقود تشابه العينات. يضع هذا العمل اكتشاف مجتمعات الرسوم البيانية كطريقة فعالة وناجحة لتحديد البصمة غير الخاضعة للإشراف للبرمجيات الخبيثة، القادرة على التعامل مع النمو الأسي لمتغيرات البرمجيات الخبيثة دون العبء الموارد المرتبط بالتحليل الديناميكي.