💻 computer science

EvoPatch-IoT: Evolution-Aware Cross-Architecture Vulnerability Retrieval and Patch-State Profiling for BusyBox-Based IoT Firmware

يُعد EvoPatch-IoT إطار عمل مدركاً للتطور يُمكّن من استرجاع الثغرات الأمنية عبر البنى المختلفة وتوصيف حالة التصحيح في البرامج الثابتة لإنترنت الأشياء القائمة على BusyBox والمجردة من الرموز، وذلك عبر الاستفادة من سمات التعليمات المجهولة ونماذج الدوال التاريخية، محققاً تحسينات كبيرة في الأداء مقارنة بالنماذج المرجعية ومقللاً جهود الفحص اليدوي بنسبة تقارب 99%.

المؤلفون الأصليون: Yinhao Xiao, Huixi Li, Yongluo Shen

نُشر 2026-04-22

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Yinhao Xiao, Huixi Li, Yongluo Shen

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك محقق رقمي تحاول العثور على ثغرة محددة وخطيرة في مكتبة ضخمة من الكتب المغلقة والمجهولة الهوية. هذه ليست كتباً عادية؛ إنها البرمجيات الثابتة (firmware) لأجهزة إنترنت الأشياء (IoT) (البرامج الموجودة داخل كاميراتك الذكية، وأجهزة التوجيه "الراوتر"، وأجهزة تنظيم الحرارة).

إليك المشكلة:

الكتب مجردة من البيانات: قام الناشرون (مصنعو الأجهزة) بإزالة جميع الأسماء، وعناوين الفصول، وتواقيع المؤلفين من الكتب. هي مجرد صفحات من الكود البرمجي بلا أي ملصقات تعريفية.
المكتبة ضخمة ومختلطة: تحتوي المكتبة على آلاف النسخ من نفس الكتاب (BusyBox، وهو مجموعة أدوات برمجية شائعة)، مطبوعة بلغات مختلفة (بنيات حوسبة مختلفة مثل ARM، MIPS، x86).
الهدف: تحتاج إلى العثور على "صفحة سيئة" معينة (ثغرة أمنية) في أحد هذه الكتب المجهولة لتعرف ما إذا كان جهازك آمناً أم لا. ولكن بدون أسماء، كيف ستعرف أي صفحة هي المطلوبة؟

هنا يأتي دور EvoPatch-IoT. فكر فيه كأنه محقق ذكي للغاية وقادر على السفر عبر الزمن يحل هذا اللغز.

أدوات المحقق: كيف يعمل؟

بدلاً من محاولة قراءة الكتاب بأكمله دفعة واحدة، يستخدم EvoPatch-IoT ثلاث حيل ذكية لمطابقة الصفحات المجهولة بالصفحات "السيئة" المعروفة من الماضي.

1. "شكل" الصفحة (المسبقات الهندسية - Geometric Priors)

تخيل أن لديك صفحة ممزقة من رواية غامضة. لا يمكنك قراءة النص، لكن يمكنك قياسها.

كم طول الصفحة؟
أين تقع في الكتاب؟
كم عدد الفقرات (أسطر الكود) التي تحتويها؟
كم عدد المرات التي تقفز فيها إلى صفحة أخرى؟

يقوم EvoPatch-IoT بقياس هذه "الأشكال" الفيزيائية للكود. حتى لو اختفى النص، فإن شكل الكود غالباً ما يظل ثابتاً. الأمر يشبه التعرف على صديق في حشد ليس من خلال وجهه (الذي هو مخفي)، بل من خلال طوله، ومشيتِه، وكيفية حمله لحقيبته.

2. "آلة الزمن" (النماذج الأولية المدركة للتطور - Evolution-Aware Prototypes)

هذا هو السر وراء نجاحه. المحقق لا ينظر فقط إلى الكتاب الحالي؛ بل ينظر إلى التاريخ.

هو يعلم أنه في عام 2015، كان هناك خطأ مطبعي في فصل معين.
هو يعلم أنه في عام 2020، قام الناشر بإصلاح ذلك الخطأ.
هو يعلم أنه في عام 2024، قام الناشر بتغيير الخط ولكنه أبقى القصة كما هي.

يقوم EvoPatch-IoT ببناء قاعدة بيانات "آلة الزمن". فهو يتذكر كيف تغيرت الدوال (الفصول) عبر 57 نسخة مختلفة من البرنامج. عندما يرى صفحة جديدة مجهولة، يسأل نفسه: "هل تشبه هذه الصفحة النسخة 'السيئة' من عام 2015، أم النسخة 'المُصلحة' من عام 2020؟" يساعد هذا في تخمين حالة التصحيح (patch state)—هل الجهاز معرض للاختراق، أم تم إصلاحه؟

3. "المترجم العالمي" (عبر البنيات - Cross-Architecture)

المكتبة تحتوي على كتب مكتوبة بلغات مختلفة (AArch64، ARM، MIPS، إلخ). الجملة في لغة ما قد تبدو مختلفة تماماً في لغة أخرى، رغم أنها تعني الشيء نفسه.

يعمل EvoPass-IoT كمترجم. فهو يقوم بتوحيد "شكل" و"قصة" الكود بحيث يمكنه مقارنة صفحة مكتوبة بلغة "MIPS" بصفحة مكتوبة بلغة "x86".
هو يدرك أنه على الرغم من اختلاف الكلمات، إلا أن بنية القصة متطابقة.

النتائج: لماذا هذا مهم؟

في الماضي، كان على خبراء الأمن قراءة آلاف هذه الكتب المجهولة والمجردة يدوياً للعثور على خلل ما. كان الأمر بطيئاً، مكلفاً، وغالباً ما يغفل عن الخطر.

مع EvoPatch-IoT:

السرعة: يمكنه مسح مكتبة ضخمة والعثور على الصفحات المشبوهة في ثوانٍ.
الدقة: نجح في تحديد "الصفحة السيئة" الصحيحة بنسبة 34.56% من المحاولة الأولى (Hit@1)، وهي قفزة هائلة مقارنة بالطرق السابقة.
الكفاءة: قلل من العمل اليدوي الذي يحتاجه خبراء الأمن بنسبة 99%. فبدلاً من قراءة 600 صفحة للعثور على الصفحة السيئة، يحتاجون فقط إلى فحص حوالي 6 صفحات.

الاختبار الواقعي

اختبر الباحثون هذا على ثغرة حقيقية تُعرف باسم CVE-2021-42386 (خلل في أداة "AWK" المستخدمة لمعالجة النصوص).

سألوا النظام: "هل يستخدم هذا الجهاز النسخة القديمة المعطوبة من أداة AWK، أم النسخة الجديدة المُصلحة؟"
حدد النظام حالة الجهاز بشكل صحيح بنسبة 82% من المرات، حتى عندما كان الجهاز يعمل على نوع مختلف تماماً من المعالجات عما درسه الباحثون.

الخلا الخلاصة

EvoPatch-IoT يشبه منح خبراء الأمن عدسة مكبرة يمكنها الرؤية عبر الزمن وحواجز اللغة. هو لا يحتاج إلى عنوان الكتاب أو اسم المؤلف للعثور على الصفحات الخطيرة. من خلال النظر إلى "شكل" الكود وتذكر كيف تغير عبر السنين، يمكنه إخبارك ما إذا كانت كاميرتك الذكية أو جهاز التوجيه الخاص بك عرضة للاختراق، مما يوفر علينا عناء فحص كل جهاز في العالم يدوياً.

إليك ملخص تقني مفصل لورقة البحث بعنوان "EvoPatch-IoT: التطور الواعي لاسترجاع الثغرات الأمنية عبر البنى المختلفة وتوصيف حالة الرقعة البرمجية للبرمجيات الثابتة لأجهزة إنترنت الأشياء القائمة على BusyBox."

1. بيان المشكلة

يعوق تدقيق أمن البرمجيات الثابتة (Firmware) لإنترنت الأشياء (IoT) ثلاثة تحديات رئيسية:

الملفات الثنائية المجردة (Stripped Binaries): تُوزع صور البرمجيات الثابتة في العالم الحقيقي كملفات ثنائية مجردة، تفتقر إلى رموز الدوال (Function Symbols)، أو مسارات المصدر، أو سلاسل الإصدارات، مما يجعل الهندسة العكسية صعبة.
البنى المتغايرة (Heterogeneous Architectures): يتم تجميع نفس المكون مفتوح المصدر (مثل BusyBox) لبنى تعليمات (ISAs) متنوعة مثل ARM وMIPS وAArch64 وx86_64.
تطور الإصدارات وعدم اتساق الرقع البرمجية: غالبًا ما يعيد الموردون استخدام إصدارات قديمة، أو يطبقون رقعًا جزئية فقط، أو يقومون بالتخصيص. يحتاج المدققون إلى تحديد ما إذا كانت دالة مجردة معينة تقابل روتينًا معروفًا في النسخة الأصلية (Upstream) وما إذا كان الملف الثنائي يمثل سلالة "مصابة" أو "مرقعة"، رغم وجود انحراف كبير في الإصدارات.

تركز الطرق الحالية غالبًا على التشابه الثنائي العام أو المطابقة عبر البنى المختلفة، لكنها تفتقر إلى الوعي بالتطور (تتبع التغييرات بمرور الوقت) والدقة على مستوى الدالة خصيصًا لمكونات BusyBox المجردة.

2. المنهجية: EvoPatch-IoT

EvoPatch-IoT هو إطار عمل للاسترجاع مصمم لتحديد الدوال المتماثلة في الملفات الثنائية المجردة وتوصيف حالات الرقعة الخاصة بها دون الاعتماد على الرموز. يعمل من خلال أربع طبقات رئيسية:

أ. بناء المعيار المرجعي (Benchmark Construction)

أنشأ المؤلفون معيارًا مرجعيًا واسع النطاق وقابل لإعادة الإنتاج يتكون من:

57 إصدارًا تاريخيًا من BusyBox (من v1.11.0 إلى v1.37.0).
270 ملفًا ثنائيًا غير مجرد (Unstripped) و285 ملفًا ثنائيًا مجردًا (Stripped) عبر 5 بنى (AArch64, ARM, MIPS, MIPSEL, x86_64).
130 إصدارًا من المصدر (Source Releases) للتحقق.
155,845 مطابقة عالية الثقة: تم تأسيسها عبر عملية محاذاة ثنائية الاتجاه بين الملفات الثنائية المجردة وغير المجردة.

ب. استخراج الميزات (المتوافق مع التجريد)

بما أن الرموز مفقودة، يستخرج النظام ميزات مجهولة باستخدام مُصدر Ghidra بدون رأس (Headless):

واصف الشكل الهندسي (Geometric Shape Descriptor): متجه خماسي الأبعاد يلتقط موقع الدالة، حجمها، ورتبتها داخل الملف الثنائي (مثل log(size)، العنوان المعياري، ورتبة العنوان). يعمل هذا كأولوية محلية قوية.
ميزات متعددة الرؤى مجهولة (Anonymous Multi-View Features):
- الرموز (Tokens): رموز التعليمات التي تم تحويلها إلى تضمينات TF-IDF.
- السياق (Context): مراجع الاستدعاء، السلاسل النصية، والثوابت المحولة إلى تضمينات.
- إحصائيات الرسم البياني (Graph Statistics): مقاييس مخطط تدفق التحكم (CFX) (الكتل الأساسية، الحواف، وكثافة التفرع).
التمثيل المدمج (Fused Representation): يتم دمج هذه الرؤى في متجه ذي 361 بُعدًا $z(f)$ ، يتم معايرته لكل بنية.

ج. المحاذاة المجهولة ثنائية الاتجاه

لسد الفجوة بين الملفات الثنائية المجردة وغير المجردة دون تسريب الملصقات أثناء الاختبار:

يتم استخدام خوارزمية مطابقة أقرب جار ثنائية الاتجاه ضمن مجموعات الإصدار والبنية.
تفرض الخوارزمية الاتساق المتبادل: يتم مطابقة الدالة المجردة $s$ والدالة الموسومة $l$ فقط إذا كان $s$ هو أقرب جار لـ $l$ و $l$ هو أقرب جار لـ $s$ ، بناءً على المسافة الهندسية.
هذا ينشئ "مرتكزات" (Anchors) تُستخدم لتدريب النماذج الأولية والتقييم.

د. تسجيل الاسترجاع الواعي بالتطور

يجمع درجة التصنيف النهائية $R(q, c)$ للاستعلام $q$ والمرشح $c$ بين ثلاثة مكونات (المعادلة 11):
$R(q, c) = \lambda_s [-D_s(q, c)] + \lambda_f \cos(z(q), z(c)) + \lambda_p \cos(z(c), p_{u(q)})$

الحد الهندسي ( $\lambda_s = 0.70$ ): مسافة الشكل السالبة. يشكل هذا العمود الفقري، مما يضمن التشابه الهيكلي المحلي.
دمج تعدد الرؤى ( $\lambda_f = 0.10$ ): تشابه جيب التمام للتضمينات الدلالية المدمجة لحل الغموض.
النموذج الأولي التاريخي ( $\lambda_p = 0.20$ ): يقارن المرشح بـ نموذج أولي تاريخي $p_u$ (متوسط المتجهات المدمجة من الإصدارات الأقدم لنفس هوية الدالة). هذا يضخ "ذاكرة التطور" للتعامل مع انحراف الإصدارات.

هـ. توصيف حالة الرقعة (Patch-State Profiling)

يستخدم مصنف وسيط خفيف يعتمد على إحصائيات الملف الثنائي الكامل (حجم الملف، عدد الرموز، توزيع أحجام الدوال) للتنبؤ ما إذا كان الملف الثنائي في حالة "مصابة" أو "مرقعة" لثغرات CVE محددة.

3. المساهمات الرئيسية

أول معيار مرجعي واسع النطاق لـ BusyBox: مجموعة بيانات فريدة تكشف عن التطور عبر الإصدارات والمطابقة بين المجرد وغير المجرد عبر 57 إصدارًا و5 بنى.
إطار عمل EvoPatch-IoT: طريقة استرجاع مبتكرة تدمج الأولويات الهندسية، والتضمينات الدلالية متعددة الرؤى، والنماذج الأولية للتطور التاريخي.
خوارزمية المحاذاة ثنائية الاتجاه: طريقة صارمة لإنشاء مرتكزات عالية الثقة بين الملفات الثنائية المجردة وغير المجردة دون تسريب الرموز.
تقييم شامل: اختبار مكثف على 1,020 زوجًا من البنى و128,084 استعلامًا، بما في ذلك دراسة حالة محددة لـ CVE-2021-42386 (ثغرة AWK).

4. النتائج التجريبية

تم التقييم مقابل 12 عائلة من الخطوط المرجعية (بما في ذلك الأساليب القائمة على Transformer وGraph والأساليب الاستدلالية):

أداء الاسترجاع:
- الضرب المرجح لـ Hit@1: بلغت 34.56% (متفوقة على أقوى خط مرجعي، Array 2025، بنسبة 16.04%).
- الضرب المرجح لـ Hit@10: بلغت 56.24% (متفوقة على الخط المرجعي بنسبة 26.85%).
- متوسط الفحص عند @10: قلل مساحة الفحص اليدوي بنسبة 98.98% (يحتاج المدققون إلى فحص ~6.2 دالة في المتوسط للعثور على المطابقة، مقارنة بمجموعة تصل إلى ~609).
المتانة:
- كان EvoPatch-IoT هو الطريقة الأفضل أداءً في 56 من أصل 57 إصدارًا من BusyBox.
- حافظ على ميزات متسقة حتى في أزواج البنى الصعبة (مثل ARM إلى MIPS).
نقل التطور:
- حققت دراسات نقل تغيير الإصدار متوسط ROC-AUC قدره 0.9887، مما يثبت أن إشارات تطور الإصدار قابلة للنقل عبر البنى المختلفة.
توصيف حالة الرقعة:
- في دراسة حالة CVE-2021-42386، حقق المصنف الوسيط دقة بنسبة 82.44% ودرجة F1 بنسبة 88.47% عبر البنى المحجوبة.

5. الأهمية والآثار المترتبة

التدقيق العملي: يقلل إطار العمل بشكل كبير من "مساحة البحث" للمحللين الأمنيين، محولاً مهمة الهندسة العكسية الضخمة إلى قائمة مرتبة من المرشحين يمكن إدارتها.
التطور كإشارة: توضح الدراسة أن بيانات الإصدارات التاريخية ليست مجرد ضجيج، بل هي إشارة إشرافية حرجة تحسن قوة الاسترجاع عندما يكون انحراف الإصدار مرتفعًا.
الهندسة مقابل الدلالة: تسلط النتائج الضوء على أن الأولويات الهندسية المحلية هي العمود الفقري الأكثر موثوقية في تحليل الملفات الثنائية المجردة، بينما يعد دمج الدلالات والنماذج الأولية التاريخية ضروريًا لحل حالات الغموض في المناطق المعقدة.
القابلية للتوسع: الطبيعة خفيفة الوزن والحتمية لخط الإنتاج تسمح بمراقبة قابلة للتوسع لأسطول كبير من أجهزة إنترنت الأشياء.

في الختام، يوفر EvoPatch-IoT أساسًا عمليًا وواعيًا بالتطور لتدقيق البرمجيات الثابتة المجردة لإنترنت الأشياء، مما يسد الفجوة بفعالية بين الملفات الثنائية المتغايرة والمجردة وبين الكود الأصلي (Upstream) المعروف والمصاب بالثغرات.