Detecting and Explaining Malware Family Evolution Using Rule-Based Drift Analysis

ملخص تقني: اكتشاف وتفسير تطور عائلات البرمجيات الخبيثة باستخدام تحليل الانزياح القائم على القواعد

بيان المشكلة
تعد عمليات اكتشاف وتصنيف البرمجيات الخبيثة مهاماً حيوية ولكنها تزداد صعوبة باستمرار بسبب التطور المستمر للكود الخبيث. يقوم المهاجمون بتعديل البرمجيات الخبيثة باستمرار للتهرب من الكشف، مما يؤدي إلى إدخال "انزياح المفهوم" (concept drift)—وهي ظاهرة تتغير فيها الخصائص الإحصائية لميزات البرمجيات الخبيثة بمرور الوقت. هذا الانزياح يقوض نماذج تعلم الآلة الثابتة، مما يقلل من فعاليتها. علاوة على ذلك، في حين أن النماذج "الصندوق الأسود" (black-box) قد تحقق دقة عالية، إلا أنها تفتقر إلى "القابلية للتفسير" (interpretability)، حيث لا تقدم سوى القليل من الرؤى حول سبب تصنيف عينة ما على أنها خبيثة أو كيف تطورت. هذا الغموض يعيق ثقة المحللين والقدرة على استخلاص معلومات استخباراتية قابلة للتنفيذ للاستجابة للحوادث. تعتمد طرق اكتشاف الانزياح الحالية غالباً على نماذج معقدة وغامضة (مثل الشبكات العصبية العميقة، أو أساليب التجميع) أو أطر إحصائية تفشل في تفسير الانزياح على مستوى الميزات.

المنهجية
يقترح المؤلفون إطار عمل قابلاً للتفسير لاكتشاف وتفسير انزياح المفهوم في عائلات البرمجيات الخبيثة باستخدام مصنف قائم على القواعد. يتكون هذا النهج من ثلاث مراحل رئيسية:

1. توليد القواعد (الأصلية مقابل المتطورة):

   • العائلة الأصلية: يتم تدريب مصنف قائم على القواعد (تحديداً خوارزمية RIPPER، المنفذة عبر مكتبة wittgenstein) على مجموعة تمثيلية من عينات البرمجيات الخبيثة الأصلية لتوليد مجموعة من القواعد المنطقية القابلة للقراءة من قبل البشر ($R_{orig}$). تصف هذه القواعد الخصائص الهيكلية والسلوكية للعائلة.
   • العائلة المتطورة: يتم توليد متغيرات معادية من البرمجيات الخبيثة باستخدام MAB-malware، وهو مولد معادٍ يعتمد على التعلم التعزيزي. تستخدم هذه الأداة وكيل "المتعدد الأذرع" (multi-armed bandit) لتطبيق تعديلات ثنائية دنيا (مثل إضافة بيانات حميدة، تصفير الحقول، أو تحويلات الكود) للتهرب من مصنف مستهدف (EMBER). يتم بعد ذلك توليد مجموعة ثانية من القواعد ($R_{adv}$) من هذه العينات المتطورة باستخدام عملية RIPPER نفسها.

2. تكميم الانزياح:

   • تقارن الطريقة مجموعات القواعد $R_{orig}$ و $R_{adv}$ باستخدام مسافة هامينج المعيرة (normalized Hamming distance).
   • يتم تحويل القواعد إلى متجهات ثنائية حيث يشير الرقم '1' إلى أن العينة يتم اكتشافها بواسطة القاعدة والرقم '0' بخلاف ذلك.
   • تحسب مقياس المسافة $d(x,y)$ نسبة المواضع التي تختلف فيها المتجهات الثنائية، مما يحدد كمياً عدم الاتفاق بين مجموعات القواعد. يشير الفرق الكبير في المسافة إلى وجود انزياح في المفهوم.

3. اكتشاف الانزياح وتفسيره:

   • قاعدة القرار: يتم وضع حد عتبة (threshold) كمتوسط حسابي للمسافة المتوسطة بين مجموعات القواعد المستمدة من نفس العائلة الأصلية (التباين داخل العائلة الواحدة) والمسافة بين العائلات الأصلية والمعادية. إذا تجاوزت المسافة بين القواعد الجديدة والقواعد التاريخية هذا الحد، يتم التنبؤ بانزياح المفهوم.
   • القابلية للتفسير: نظرًا لأن المصنف يخرج شروطاً منطقية صريحة (مثل f3=72 AND f1 in [10,48])، فإن الطريقة تحدد بطبيعتها أي الميزات والقيم المحددة قد تغيرت بين العينات الأصلية والمتطورة، مما يوفر تفسيراً مباشراً لتكتيكات التطور الخاصة بالبرمجيات الخبيثة.

الإعداد التجريبي
تم التحقق من صحة إطار العمل على ست عائلات من البرمجيات الخبيثة: Agensla، DCRat، Makoob، Mokes، Strab، و Taskun.

• البيانات: تم سحب العينات من مجموعة بيانات RawMal-TF.
• الميزات: تم استخراج الميزات الثابتة من ملفات Windows Portable Executable (PE) باستخدام مكتبة LIEF، بما في ذلك البيانات الوصفية (metadata)، معلومات الرأس (header)، إحصائيات الأقسام، الدوال المستوردة/المصدرة، وتوزيعات مستوى البايت.
• التوليد المعادي: تم استخدام MAB-malware لإنشاء عينات معادية نجحت في التهرب من مصنف EMBER.
• الأبعاد: أُجريت التجارب عبر أبعاد متجهات الميزات: 3، 5، 10، 15، 25، 50، 75، و 100.

النتائج الرئيسية

• دقة الاكتشاف: حققت الطريقة المقترحة دقة إجمالية لاكتشاف انزياح المفهوم بلغت 92.08% عبر جميع العائلات الست وجميع أبعاد الميزات.
• الأداء الخاص بكل عائلة:
  • حققت عائلتا Agensla و Mokes دقة بنسبة 100% عبر جميع الأبعاد.
  • سجلت Taskun خطأً واحداً فقط (من أصل 80 تجربة) عند الإعداد ذي الـ 100 بُعد.
  • أظهرت DCRat أعلى معدل خطأ (22.5% إجمالاً)، رغم أنها حققت نسبة خطأ 0% عند الإعداد ذي الـ 25 بُعداً.
• مقدار الانزياح: أظهرت الدراسة أن مقياس المسافة يحدد بفعالية مقدار الانزياح. بالنسبة لعائلة Mokes، كانت المسافة بين مجموعات القواعد الأصلية والمعادية أكبر بـ 15 مرة من المسافة بين مجموعات القواعد المستمدة من مجموعات فرعية مختلفة من نفس العائلة الأصلية.
• القابلية للتفسير: نجح النهج القائم على القواعد في تحديد تغييرات الميزات المحددة المسؤولة عن التطور، مما يميزه عن طرق اكتشاف الانزياح في "الصناديق السوداء".

الأهمية والمساهمات
يدعي البحث أن مساهمته الرئيسية هي سد الفجوة بين اكتشاف الانزياح الفعال والتحليل الجنائي العملي من خلال إعطاء الأولوية لـ القابلية للتفسير. على عكس الأساليب الإحصائية أو أساليب التعلم العميق الحالية التي تعمل كصناديق سوداء، فإن إطار العمل هذا:

1. يؤكد صراحة على القابلية للتفسير: من خلال الاستفادة من المصنفات القائمة على القواعد، فإنه يوفر أوصافاً قابلة للقراءة من قبل البشر لكل من البرمجيات الخبيثة الأصلية والمتطورة.
2. يتيح التفسير على مستوى الميزات: فهو يحدد الشروط والقيم المحددة المسؤولة عن الانزياح، مما يسمح للمحللين بفهم كيف يقوم مؤلفو البرمجيات الخبيثة بتجاوز الكشف (على سبيل المثال، تغييرات محددة في استخدام واجهة برمجة التطبيقات API أو حقول الرأس).
3. يُكمّم التطور: يقدم مقياساً كمياً صارماً للانزياح وفي الوقت نفسه يشرح التغييرات السلوكية الكامنة.

يضع المؤلفون هذا العمل كواحد من أوائل الدراسات التي تطبق إطار عمل قابلاً للتفسير وقائماً على القواعد خصيصاً لاكتشاف انزياح المفهوم في تحليل البرمجيات الخبيثة، بهدف دعم كل من أنظمة الكشف وجهود تحليل التهديدات. كما تمت الإشارة إلى أن العمل المستقبلي قد يوسع هذا الإطار باستخدام أشجار القرار واستكشاف مقاييس مسافة مختلفة.