RABIS:Ransomware Analysis Based on Information Theory and System Calls

في العالم الرقمي، يتم تسجيل كل إجراء يتخذه برنامج كمبيوتر كسلسلة من الطلبات إلى نظام التشغيل. عندما يحتاج برنامج ما إلى فتح ملف، أو حفظ مستند، أو الاتصال بشبكة، يجب عليه أن يطلب من البرمجيات الأساسية للكمبيوتر القيام بذلك. تُسمى هذه الطلبات "نداءات النظام" (system calls). لعقود من الزمن، راقب خبراء الأمن هذه الطلبات لرصد المشاكل. المنطق بسيط: البرنامج الطبيعي، مثل معالج النصوص أو متصفح الويب، يتصرف بطريقة معقدة ومتنوعة لأنه يستجيب لمستخدم بشري يفكر، وينقر، ويكتب بأنماط غير متوقعة؛ لذا تكون طلباته للكمبيوتر متنوعة وغير منتظمة. أما البرنامج الخبيث، فغالبًا ما يكون له هدف واحد جامد. إذا كان هذا الهدف هو سرقة البيانات أو تدميرها، فسيقوم البرنامج بتكرار نفس الأفعاء القليلة مرارًا وتكرارًا، حيث يطلب من الكمبيوتر فتح، وقراءة، وتشفير، وإعادة تسمية آلاف الملفات بإيقاع ميكانيكي لا يهدأ. هذه الطبيعة التكرارية تترك بصمة مميزة تختلف عن الضجيج الفوضوي للبرمجيات اليومية.

لقد طور باحثون في جامعة العلوم الجنائية الوطنية في الهند ومعهد سي آر راو المتقدم للرياضيات في حيدر آباد طريقة جديدة للإمساك بهذه البرامج الخبيثة من خلال قياس ذلك الإيقاع. أطلقوا على طريقتهم اسم "رابيس" (RABIS). وبدلاً من محاولة التعرف على فيروس معين من خلال اسمه أو كوده البرمجي، وهو أمر يمكن للمخترقين تغييره بسهلاً، ينظر هذا النهج إلى النمط الإحصائي لسلوك البرنامج. إنهم يعاملون تسلسل نداءات النظام كسلسة من البيانات ويقيسون مقدار التنوع الموجود داخلها. ومن وجهة نظرهم، فإن البرنامج السليم مليء بالمفاجآت والتنوع، بينما برنامج فدية (ransomware) يكون مملًا ويمكن التنبؤ به. ومن خلال حساب قيمة تمثل هذا المستوى من عدم القدرة على التنبؤ، يمكنهم فصل البرامج الخطيرة عن الآمنة دون الحاجة لمعرفة اسم الفيروس بالضبط أو كيفية بنائه.

لاختبار هذه الفكرة، أنشأ الفريق بيئة محكومة حيث يمكنهم مراقبة كل من البرمجيات الآمنة والخطيرة أثناء العمل. جمعوا 150 نموذجًا من البرامج العادية واليومية، مثل محررات النصوص، والآلات الحاسبة، ومتصفحات الويب، وأدوات سطر الأوامر التي يستخدمها مسؤولو الأنظمة. كما حصلوا أيضًا على أربع عينات حقيقية ومتميزة من برامج الفدية المعروفة بأسماء مثل "كونتي" (Conti)، و"ريفيل" (REvil)، و"مونتي" (Monti)، و"سوغو لوك" (SougoLock). صُممت هذه البرامج الخبيثة لقفل ملفات المستخدم والمطالبة بالمال مقابل المفتاح. قام الباحثون بتشغيل كل هذه البرامج على نظام كمبيوتر يحتوي على مجموعة كبيرة من الملفات، لمحاكاة قرص صلب لمستخدم حقيقي. ومع تشغيل كل برنامج، قامت أداة مراقبة بتسجيل كل طلب قدمه إلى نظام التشغيل، مما أنشأ سجلًا مفصلاً لسلوكه.

تضمن جوهر تحقيقهم تقسيم هذه السجلات الطويلة إلى مجموعات صغيرة ومتداخلة من ثلاثة طلبات في كل مرة. ثم قاموا بعدّ عدد مرات ظهور كل مجموعة محددة من ثلاثة. بالنسبة للبرامج العادية، أظهرت السجلات مزيجًا واسعًا من المجموعات المختلفة، دون أن يتكرر نمط واحد بشكل مفرط. ومع ذلك، أظهرت البرامج الخبيثة صورة مختلفة تمامًا؛ فبسبب ضرورة معالجة برنامج الفدية لملف تلو الآخر بنفس الطريقة، استمر في تكرار نفس تسلسل الطلبات بدقة. استخدم الباحثون مفهومًا رياضيًا يُعرف باسم "الإنتروبيا" (entropy) لتكميم هذا الاختلاف. ببساطة، تقيس الإنتروبيا مقدار الاضطراب أو العشوائية الموجودة في مجموعة من البيانات. تعني الإنتروبيا العالية أن البيانات متنوعة ويصعب التنبؤ بها، وهو ما رأوه في البرامج الآمنة. أما الإنتروبيا المنخفضة فتعني أن البيانات تكرارية ويمكن التنبؤ بها، وهو بالضبط ما وجدوه في برامج الفدية.

كانت النتائج مذهلة. فعندما طبق الفريق طريقتهم، برزت البرامج الخبيثة بوضوح عن البقية. أظهرت عينات برامج الفدية الأربعة قيم إنتروبيا منخفضة جدًا، مما أكد طبيعتها التكرارية الميكانيكية. بينما أظهرت البرامج الـ 150 الآمنة قيمًا أعلى بكثير، مما يعكس سلوكها المعقد والمتنوع. حدد النظام جميع عينات برامج الفدية كبرامج خطيرة بدقة تامة. وقد أخطأ النظام في تصنيف عدد قليل من البرامج الآمنة كتهديدات، وتحديدًا تلك التي تقوم بمهام تكرارية، مثل بعض أدوات النسخ الاحتياطي أو برامج مكافحة الفيروسات التي تفحص العديد من الملفات. ومع ذلك، وصلت الدقة الإجمالية للطريقة إلى 98.05 بالمائة. ووجد الباحثون أنه كلما زادت مجموعة الملفات التي يحاول برنامج الفدية تشفيرها، أصبح نمطه التكراري أكثر وضوحًا، مما يجعل رصده أسهل.

يوفر هذا النهج ميزة كبيرة مقارنة بالطرق القديمة التي تعتمد على نماذج الذكاء الاصطناي المعقدة أو قواعد البيانات الضخمة لتواقيع الفيروسات المعروفة. تلك الأنظمة القديمة يمكن أن تكون بطيئة، وتتطلب قدرة حوسبية هائلة، وغالبًا ما تفشل عندما يقوم المخترق بتعديل الفيروس قليلاً لجعله يبدو جديدًا. طريقة "رابيس" خفيفة وسريعة لأنها ببساطة تعد الأنماط وتقيس مدى تنوعها. وهي لا تحتاج إلى التدريب على آلاف الأمثلة من البرمجيات الخبيثة لكي تعمل؛ بل تحتاج فقط إلى فهم الفرق بين السلوك الفوضوي لبرنامج يقوده إنسان، والسلوك الجامد والتكراري لهجوم تقوده الآلة. لقد أثبت الباحثون أنه من خلال التركيز على الإيقاع الأساسي لكيفية تحدث البرمجيات مع الكمبيوتر، يمكنهم اكتشاف هجوم برامج الفدية أثناء حدوثه، حتى لو لم يسبق رؤية الفيروس من قبل.

ورغم أن الطريقة فعالة للغاية، إلا أن الباحثين يقرون بأنها ليست مثالية. فالبرامج الآمنة القليلة التي تم تصنيفها كتهديدات كانت تلك التي تقوم بطبيعته عمليات ملفات تكرارية، والتي يمكن أن تحاكي أحيانًا سلوك المهاجم. وللتعامل مع هذا، يقترح الفريق أن الإصدارات المستقبلية من النظام يمكن أن تنظر في سياق النشاط، مثل عدد الملفات التي يتم التعامل معها أو سرعة العملية، لتقليل هذه الإنذارات الكاذبة. كما يخططون لتوسيع النظام ليعمل عبر أنواع مختلفة من أجهزة الكمبيوتر، وليس فقط نظام التشغيل المحدد الذي اختبروه. وفي الوقت الحالي، تثبت الدراسة أن نظرة إحصائية بسيطة لطريقة سلوك البرمجيات يمكن أن تكون درعًا قويًا ضد أحد أكثر أشكال الجرائم السيبرانية تدميرًا، مما يوفر وسيلة لرصد التهديد من خلال افتقاره للخيال.