Semantic Validation of Packer Identification Tools: Characterization, Repair, and Downstream Impact
تقدم هذه الورقة إطار عمل للتحقق الدلالي يستخدم أدوات فك الحزم (unpackers) كعقود قابلة للتنفيذ للكشف التلقائي عن الأخطاء الدلالية وإصلاحها في أدوات تحديد حزم البرمجيات (packer identification tools)، مما يثبت من خلال دراسة واسعة النطاق أن هذه الإصلاحات تحسن بشكل كبير كلاً من تغطية الأدوات وأداء تحليل البرمجيات الخبيثة اللاحق.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك محقق يحاول حل جريمة، لكن الأدلة محبوسة داخل سلسلة من الخزائن المختلفة. بعض الخزائن مغلقة برقم سري بسيط، وبعضها بماسح بيومتري معقد، وبعضها الآخر مموه على هيئة أثاث عادي.
في عالم أمن الحاسوب، تُسمى هذه "الخزائن" بـ المغلفات (Packers). يستخدم مؤلفو البرمجيات الخبيثة هذه المغلفات لإخفاء كودهم الضار، مما يجعله يبدو كملف غير ضار. وقبل أن يتمكن محلل أمني من معرفة ما تفعله البرمجية الخبيثة فعلياً، يتعين عليه "كسر" فتح الخزنة (وهي عملية تسمى "فك التغليف" أو Unpacking).
وللقيام بذلك، يستخدمون أدوات تحديد المغلفات (Packer Identification Tools). هذه الأدوات تشبه دليل المحقق أو قاعدة بيانات تقول: "هذه الخزنة تبدو وكأنها صُنعت من قبل شركة 'UPX'، لذا استخدم مفتاح UPX لفتحها".
المشكلة: دليل المحقق خاطئ
تجادل الورقة البحثية بأن أدوات التحديد هذه غالباً ما تكون غير موثوقة. فقد تنظر إلى خزنة وتقول بثقة: "هذه بالتأكيد خزنة UPX!" بينما هي في الواقع خزنة "Themida".
- النتيجة: إذا أمسك المحقق بالمفتاح الخطأ (مفتاح UPX) للخزنة الخطأ (خزنة Themida)، فلن تفتح الخزنة. وستظل الأدلة مخفية، وتفشل عملية التحقيق بأكملها.
- العقبة: حتى الآن، لم يكن أحد يعرف حقاً مدى خطأ هذه الأدوات لأنه لم يكن هناك "نموذج إجابة" للتحقق منها. ففحص الإجابة يتطلب عادةً خبيراً بشرياً يقوم بكسر آلاف الخزائن يدوياً، وهو أمر يستغرق وقتاً طويلاً جداً.
الحل: استخدام المفتاح لاختبار الملصق
ابتكر الباحثون حيلة ذكية. فبدلاً من محاولة إيجاد "نموذج إجابة" مثالي يدوياً، استخدموا المفاتيح نفسها كاختبار.
فكر في الأمر بهذه الطريقة: إذا ادعى أحد الأدوات أن الخزنة من نوع "UPX"، فإنك تجرب "مفتاح UPX".
- إذا فُتحت الخزنة وتمكنت من رؤية الأدلة بداخلها بوضوح، فقد كان الأداة على حق.
- إذا ظلت الخزنة مغلقة أو كانت الأدلة بالداخل لا تزال مشفرة، فقد كانت الأداة مخطئة، حتى لو بدت واثقة من نفسها.
يسمون هذا "عقداً دلالياً قابلاً للتنفيذ" (executable semantic contract). إنه يشبه قول: "إذا ادعيت أن هذه خزنة UPX، فيجب أن تكون قادراً على فتحها بمفتاح UPX. إذا لم تستطع، فادعاؤك كذب".
ماذا فعلوا؟
- الاختبار: أخذوا 11 أداة مفتوحة المصدر و6 أدوات تجارية (من VirusTotal) وشغلوها مقابل مجموعة ضخمة تضم 130,000 عينة من البرمجيات الخبيثة.
- التشخيص: وجدوا أن الأدوات تفشل باستمرار. فالعديد من الأدوات لا تتعرف إلا على أنواع قليلة من الخزائن وتغفل عن البقية. وكانت غالباً تخمن بناءً على أدلة قديمة أو منطق مهتز.
- الإصلاح: لم يكتفوا بالإشارة إلى الأخطاء، بل قاموا بإصلاحها. لقد قاموا بتحديث "الأدلة" عبر إضافة مفاتيح جديدة وإصلاح المنطق الذي يحدد أي مفتاح يجب استخدامه.
- تشبيه: الأمر يشبه تحديث دليل ميكانيكي السيارات. إذا قال الدليل: "إذا أصدر المحرك صوتاً طقطقة، فهو عطل في المولد (Alternator)"، ولكن الميكانيكي اكتشف أنه في الواقع عطل في السير، فإنه يقوم بتحديث الدليل ليعكس الحقيقة.
النتائج
- تحديد أفضل: بعد الإصلاحات، تمكنت الأدوات من تحديد نوع الخزنة (المغلف) في حالات أكثر بنسبة تصل إلى 58.6% مما كانت عليه في السابق.
- تحليل لاحق أفضل: هذا هو الجزء الأهم. نظرًا لأن الأدوات كانت الآن تختار المفاتيح الصحيحة، فقد فُتحت الخزائن بالفعل. وعندما أصبحت البرمجية الخبيثة مرئية أخيراً، أصبحت برامج الحاسوب التي تحاول تصنيف البرمجية الخبيثة (تحديد ما إذا كانت فيروساً، أو برمجية تجسس، إلخ) أكثر دقة بنسبة 13.6% في المتوسط.
الخلاصة الكبرى
تثبت هذه الورقة أنه لا يمكنك الوثوق بالخطوة الأولى من التحقيق. إذا كانت الأداة التي تستخدمها لتحديد "الخزنة" معطلة، فإن كل ما يحدث بعد ذلك (فتح الخزنة، تحليل الأدلة، القبض على المجرم) من المرجح أن يفشل. ومن خلال استخدام القدرة على فتح الخزنة فعلياً كوسيلة لاختبار الأدوات، أظهر الباحثون أن إصلاح أدوات التحديد هذه أمر ضروري لبناء نظام موثوق للإيقاع بالبرمجيات الخبيثة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.