Better Call Graphs: A New Dataset of Function Call Graphs for Malware Classification
تقدم هذه الورقة البحثية "Better Call Graphs" (BCG)، وهي مجموعة بيانات شاملة ومتاحة للعموم من مخططات استدعاء الدوال الفريدة وواسعة النطاق المستخرجة من تطبيقات أندرويد الحديثة، والمصممة للتغلب على قيود مجموعات البيانات الحالية القديمة والمكررة من خلال تمكين تصنيف أكثر موثوقية وتنوعاً للبرمجيات الخبيثة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الرقمي، لا تعد تطبيقات الهاتف المحمول مجرد مجموعات من الأكواد البرمجية؛ بل هي شبكات معقدة من التعليمات التي تخبر الهاتف بما يجب فعله. لفهم كيفية سلوك التطبيق، غالبًا ما ينظر الباحثون الأمنيون إلى "مخطط استدعاء الدوال" (function call graph) الخاص به. تخيل هذا المخطط كخريطة لمدينة حيث يمثل كل مبنى مهمة محددة يمكن للتطبيق القيام بها، وتوضح الطرق التي تربط بينها أي المهام تحفز الأخرى. تكشف هذه الخريطة عن الهيكل والسلوك الحقيقي للتطبيق، وهو أمر أكثر موثوقية في رصد المشكلات من مجرد قراءة اسم التطبيق أو النظر في بعض التفاصيل السطحية. هذا النهج بالغ الأهمية لأن الجهات السيئة التي تصنع البرمجيات الخبيثة، أو البرامج الضارة (malware)، غالبًا ما تحاول إخفاء عملها عبر إجراء تغييرات طفيفة وتجميلية على الكود. يمكن لهذه التغييرات أن تخدع الماسحات البسيطة التي تبحث عن أنماط نصية محددة، لكنها نادرًا ما تغير الخريطة الأساسية لكيفية عمل التطبيق فعليًا. لسنوات طويلة، اعتمد مجال أمن الهواتف المحمولة على هذه الخرائط للإيقاع بالتهديدات، لكن جودة هذه الخرائط نفسها كانت تشكل عائقًا رئيسيًا.
لفترة طويلة، كان الباحثون الذين يحاولون بناء أنظمة كشف أفضل يعملون باستخدام خرائط قديمة أو معيبة. العديد من المجموعات الموجودة لهذه الخرائط بُنيت من برمجيات تعود لعقود مضت، مما يعكس زمنًا كانت فيه تطبيقات الهاتف المحمول أكثر بساطة بكثير. علاوة على ذلك، كانت هذه المجموعات القديمة مليئة بنسخ من نفس التطبيق، مموهة بأسماء مختلفة قليلاً ولكنها تشترك في الهيكل الداخلي ذاته. خلق هذا شعورًا زائفًا بالأمان؛ فنماذج تعلم الآلة التي تدربت على هذه الخرائط القديمة والمتكررة تمكنت من الحصول على درجات عالية جدًا في الاختبارات، ليس لأنها كانت ذكية، بل لأنها قامت ببساطة بحفظ النسخ المكررة. وعند مواجهة تطبيق حديث وجديد، غالبًا ما تفشل هذه النماذج تمامًا. إن التطور السريع للنظام البيئي للهواتف المحمولة يعني أن التهديدات اليوم تختلف هيكليًا عن تهديدات الماضي، وأن الأدوات المستخدمة لدراستها كانت بحاجة إلى تحديث جذري.
ولحل هذه المشكلة، قام فريق من الباحثين في جامعة بوفالو بإنشاء مجموعة جديدة وشاملة من خرائط التطبيقات تسمى "Better Call Graphs". هذه المجموعة ليست مجرد نسخة أكبر مما سبق، بل هي مورد مختلف جوهريًا تم بناؤه من الصفر باستخدام برمجيات حديثة. جمع الفريق أكثر من 125,000 ملف تطبيق من مستودعات عامة رئيسية، وقاموا بتصفيتها لتصل إلى مجموعة نهائية تضم حوالي 10,000 مثال فريد. لقد كانوا صارمين بشأن الجودة: استبعدوا أي تطبيق صغير جدًا بحيث لا يحتوي على سلوك معقد، وأزالوا أي برمجيات تم تجميعها قبل عام 2017 لضمان الحداثة، وتحققوا بدقة من عدم وجود تكرار. استخدموا نظام تحقق متعدد المحركات للتأكد من أن التصنيفات (Labels) دقيقة وموثوقة فيما يتعلق بكون التطبيق خبيثًا أم لا. والنتيجة هي مجموعة بيانات تجسد التعقيد الحقيقي لبرمجيات الهواتف المحمولة الحديثة، وتحتوي على تطبيقات غير ضارة وأنواع مختلفة من البرمجيات الخبيثة، بما في ذلك حصان طروادة (trojans)، والبرامج الإعلانية (adware)، وبرامج الفدية (ransomware).
عندما اختبر الباحثون طرق الكشف القياسية على هذه المجموعة الجديدة من البيانات، كانت النتائج صارخة وكاشفة. ففي المجموعات القديمة والمألوفة، حققت أفضل نماذج تعلم الآلة معدلات دقة تقترب من 90 بالمائة، مما جعل مهمة رصد البرمجيات الخبيثة تبدو وكأنها حُلت تقريبًا. ومع ذلك، عندما طُبقت هذه النماذج نفسها على مجموعة بيانات "Better Call Graphs" الجديدة، انهار أداؤها بشكل حاد. انخفضت الدقة إلى حوالي 77 بالمائة، كما انخفض مقياس آخر حاسم للنجاح، يُعرف باسم "macro-F1 score"، من ما يقرب من 90 بالمائة إلى 18 بالمائة فقط. لم يكن هذا التراجع الدراماتيكي فشلًا للنماذج، بل كان دليلًا على أن مجموعات البيانات القديمة كانت مضللة. لقد كانت النماذج تعاني من "الفرط في التخصيص" (overfitting) للأنماط المتكررة من الماضي، وعندما واجهت التعقيد والتنوع الحقيقي للتطبيقات الحديثة، واجهت صعوبة كبيرة. لقد كشفت مجموعة البيانات الجديدة عن فجوة كبيرة بين التكنولوجيا الحالية وواقع تهديدات الهواتف المحمولة الحديثة.
استكشفت الدراسة أيضًا كيف تتغير صعوبة الكشف بمرور الوقت. فعندما درب الباحثون نماذجهم على تطبيقات أقدم واختبروها على تطبيقات أحدث، انخفض الأداء بشكل أكبر، مما يؤكد أن مشهد البرمجيات الخبيثة للهواتم المحمولة يتغير بسرعة. هذه الظاهرة، المعروفة باسم "انزياح المفهوم" (concept drift)، تعني أن النموذج الذي تدرب على بيانات من قبل خمس سنوات من المرجح أن يكون غير فعال اليوم. تضمنت مجموعة البيانات الجديدة أيضًا معلومات مفصلة حول التطبيقات نفسها، مثل حجمها، والأذونات التي تطلبها، والمكتبات البرمجية التي تستخدمها، مما يسمح برؤية أكثر شمولية. ورغم هذه التفاصيل الغنية، وجدت حتى أكثر النماذج القائمة على الرسوم البيانية (graph-based models) تقدمًا صعوبة في التمييز بين عائلات البرمجيات الخبيثة المختلفة داخل مجموعة البيانات الجديدة، مما يشير إلى أن التشابه الهيكلي بين أنواع التهديدات الحديثة المختلفة أقوى بكثير مما كان يُعتقد سابقًا.
في النهاية، يعد هذا العمل بمثابة "إعادة تقييم للواقع" ضرورية لمجال أمن الهواتف المحمولة. فمن خلال توفير مجموعة نظيفة وحديثة وغير مكررة من خرائط التطبيقات، وضع الباحثون معيارًا جديدًا لكيفية تقييم أنظمة الكشف. وتشير النتائج إلى أن معدلات النجاح العالية التي سجلتها الدراسات السابقة كانت غالبًا وهمًا ناتجًا عن بيانات قديمة ومتكررة. إن الطريق للمضي قدمًا يتطلب تطوير تقنيات جديدة يمكنها التعامل مع التعقيد الحقيقي للتطبيقات الحديثة، بدلاً من الاعتماد على أساليب تعمل فقط على النسخ التاريخية المبسطة من المشكلة. هذه المجموعة من البيانات متاحة الآن للجمهور، مما يوفر بيئة اختبار صارمة للأبحاث المستقبلية ويضمن أن الجيل القادم من الأدوات الأمنية سيُبنى على أساس من الحقيقة وليس التكرار.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.