A Hardware-Efficient Android Malware Detection Framework for Resource-Constrained Devices
تقترح هذه الورقة إطار عمل لكشف برمجيات أندرويد الخبيثة يتسم بكفاءة الأجهزة للأجهزة المحدودة الموارد من إنترنت الأشياء، والذي يقوم بتحويل الملفات التنفيذية إلى إشارات عمليات (opcode) أحادية الأبعاد لاستخراج ميزات هجينة، محققاً دقة تصنيف عالية باستخدام نماذج أشجار قرار وشبكات عصبية فائقة الصغر ومكممة للنشر على متحكمات ARM-Cortex-M4 مع بصمة ذاكرة دنيا وزمن استجابة للاستدلال بمستوى النانو ثانية.
تخيل هاتفك أو تلفازك الذكي كمدينة صغيرة ومزدحمة حيث يركض ملايين العمال الصغار (يُطلق عليهم "التطبيقات") للقيام بمهامهم. معظم هؤلاء العمال مفيدون، لكن أحياناً يتسلل متسللون ماكرون يرتدون تنكرات. هؤلاء المتسللون هم "البرمجيات الخبيثة" (Malware)—وهي برمجيات سيئة مصممة لسرقة الأسرار، أو اختطاف جهازك، أو تحويله إلى جندي آلي في جيش رقمي. لفترة طويلة، حاولنا الإمساك بهؤلاء المتسللين عن طريق إرسال نسخة من التطبيق إلى حارس أمن ذكي للغاية في السحابة. ولكن ماذا لو كان جهازك في مكان لا يتوفر فيه اتصال بالإنترنت، أو إذا كانت الرحلة إلى السحابة تستغرق وقتاً طويلاً وتستنزف بطاريتك؟ هنا يأتي دور مجال جديد يسمى "TinyML". إنه يشبه تعليم روبوت صغير يعمل بالبطارية كيفية رصد الأشرار داخل الجهاز نفسه، باستخدام كمية ضئيلة جداً من الطاقة والذاكرة. التحدي الكبير؟ جعل حارس الأمن ذكياً بما يكفي للإمساك بالمجرمين المعقدين دون الحاجة إلى عقل سوبر كمبيوتر.
تقدم هذه الورقة البحثية نظام أمن ذكي فائق الخفة مصمم خصيصاً لتلك الأجهزة الصغيرة والمحدودة الموارد مثل المستشعرات الذكية أو الرقائق الدقيقة القديمة. قرر الباحثون، ألوك كومار، وجيوتي براكاش سينغ، وبرابهات كومار، التوقف عن محاولة قراءة كود التطبيق كما يقرأ الإنسان الكتاب. بدلاً من ذلك، عاملوا تعليمات التطبيق الخام كإشارة موسيقية أو نبض قلب. لقد حولوا الكود الفوضوي إلى خط بسيط من الأرقام ("إشارة أحادية البعد" 1D signal) ثم نظروا في الأنماط الموجودة في ذلك الخط، تماماً كما ينظر الطبيب إلى تخطيط كهربية القلب (ECG) ليرى ما إذا كان القلب سليماً أم مريضاً. كما حولوا الكود إلى شبكة لرصد "الأنسجة" أو الأنماط، بشكل يشبه كيف قد ينظر الجيولوجي إلى حبيبات الصخر ليعرف ما إذا كانت حقيقية أم مزيفة.
اختبر الفريق هذه الفكرة على أكثر من 11,000 تطبيق، مع دمج الآلاف من التطبيقات السيئة المعروفة. جربوا عدة خوارزميات "تحرٍ" مختلفة لمعرفة أي منها يمكنه رصد البرمجيات الخبيثة بأفضل طريقة دون أن ينهك. ووجدوا بطلين: "شجرة القرار" (Decision Tree) (والتي تشبه مخططاً انسيابياً بسيطاً من أسئلة نعم/لا) و"شبكة عصبية" صغيرة (دماغ مصغر). كانت شجرة القرار سريعة بشكل مذهل، حيث اتخذت قراراً في 173 نانو ثانية فقط (أي 0.000173 مللي ثانية)، ولم تحتج سوى لمساحة تخزين ضئيلة قدرها 4.58 كيلوبايت. أما الشبكة العصبية فكانت أكثر رشاقة، حيث استغرقت 2.82 كيلوبايت فقط من مساحة التخزين و0.83 كيلوبايت من ذاكرة العمل، مع زمن اتخاذ قرار خاطف بلغ 9 نانو ثانية. كان كلا النموذجين دقيقين للغاية، حيث نجحا في تحديد البرمجيات الخبيثة بنسبة دقة بلغت 96% تقريباً.
ولإثبات أن هذا ليس مجرد نظرية، لم يكتفِ الباحثون بتشغيل الكود على كمبيوتر قوي؛ بل قاموا بمحاكاته على رقاقة دقيقة محاكاتية (ARM-Cortex-M4) تمثل نوع الأجهزة الموجودة في الأجهزة الحقيقية منخفضة الطاقة. وأظهرت النتائج أن هذه النماذج يمكنها العمل مباشرة على سجلات الأجهزة (hardware registers)، مما يعني أنها تستطيع حماية الجهاز دون الحاجة إلى اتصال سحابي، ودون استنزاف البطارية، ودون الحاجة إلى كمية ضخمة من الذاكرة. تشير الورقة البحثية إلى أنه من خلال تحويل الكود إلى إشارات وأنسجة، يمكننا بناء درع أمني عالي الدقة و"حتمي" (deterministic) يتناسب داخل أصغر الأجهزة وأكثرها تقييداً، مما يحافظ على سلامتها حتى عندما تكون غير متصلة بالإنترنت أو تعمل بميزانية محدودة جداً.
ملخص تقني: إطار عمل لاكتشاف برمجيات أندرويد الخبيثة بكفاءة عتادية للأجهزة محدودة الموارد
بيان المشكلة أدى الانتشار السريع لإنترنت الأشياء (IoT) والحوسبة الحافية (Edge Computing) إلى توسيع سطح الهجوم للأجهزة القائمة على أندرويد، بما في ذلك الأجهزة المنزلية الذكية، والمستشعرات الصناعية، وأجهزة استقبال البث (Set-top boxes). تعتمد طرق اكتشاف البرمجيات الخبيثة التقليدية على بنيات التعلم العميق كثيفة الاستهلاك للحوسبة، أو مسارات الهندسة العكسية الشاملة، أو التحليل القائم على السحابة. وتعد هذه النهج غير قابلة للتطبيق على الأجهزة الحافية محدودة الموارد بسبب القيود الصارمة في الذاكرة (SRAM/Flash)، وقدرة المعالجة، وتوافر الطاقة. علاوة على ذلك، تسبب الحلول المعتمدة على السحابة تأخراً غير مقبول في الاستجابة (Latency)، واستنزافاً للبطارية، ومخاطر تتعلق بالخصوصية، كما أنها تفشل تماماً عند فقدان الاتصال بالشبكة. يعالج هذا البحث الحاجة الماسة إلى حل أمني عالي الدقة وحتمي يعمل محلياً على العتاد نفسه، ويكون قادراً على اكتشاف البرمجيات الخبيثة دون الاعتماد على موارد حوسبة ثقيلة أو بنية تحتية خارجية.
المنهجية يقوم إطار العمل المقترح بتحويل ملفات حزمة أندرويد (APK) الخام إلى إشارات منفصلة لتمكين استخراج الميزات بشكل خفيف، مما يتجنب الهندسة العكسية الثقيلة أو معالجة الصور بالتعلم العميق. يتكون سير العمل من أربع مراحل:
إعداد البيانات: يتم تحويل ملفات APK الخام إلى تنسيق أرشيف جافا (JAR) باستخدام أداة Dex2Jar لتفكيك ملفات Dalvik Executable. بعد ذلك، يتم تمثيلها كسلاسل تعليمات ست عشرية (Hexadecimal) عبر Hexdump.
المعالجة المسبقة: يتم رسم خرائط سلاسل الأكواد الست عشرية (Opcode strings) إلى مصفوفات عددية مستمرة أحادية البعد (1D). يقوم نافذة غير متداخلة بحجم اثنين بتقسيم السلسلة إلى أجزاء متميزة، والتي يتم تحويلها إلى مكافئات عشرية (Base-10) لتشكيل إشارة مهيكلة.
استخراج الميزات: يتم بناء متجه ميزات هجين مكون من 28 بُعداً من الإشارة أحادية البعد (1D):
ميزات المجال الزمني أحادية البعد (22 بُعداً): تشمل المقاييس الإحصائية (المتوسط، الوسيط، المنوال، المجموع، الانحراف المعياري، التباين، الالتواء، التفرطح)، والمعلومات النظرية للإنتروبيا (طاقة شانون، الطاقة اللوغاريتمية)، بالإضافة إلى سبعة لحظات مركزية. علاوة على على ذلك، يتم استخراج بقايا الترميز التنبؤي الخطي (LPC residuals) باستخدام ترتيب تنبؤ p=8 مع نافذة منزلقة (W=100، وتداخل S=50) لالتقاط التبعيات التسلسلية والشذوذ غير المفسر في التنفيذ.
الميزات المكانية ثنائية البعد (6 أبعاد): يتم إعادة تشكيل الإشارة أحادية البعد إلى مصفوفة مربعة لتوليد مصفوفة التواجد المتزامن للدرجات الرمادية (GLCM). ويتم استخراج ستة واصفات نسيج مكانية: العزم الثاني الزاوي (ASM)، الطاقة، التباين، عدم التشابه، التجانس، والارتباط.
التصنيف والنشر: يتم تقييم مصفوفة الميزات مقابل خمسة مصنفات: ناييف بايز (NB)، آلات المتجهات الداعمة (SVM)، أقرب الجيران (KNN)، شجرة القرار (DT)، وشبكة عصبية أمامية خفيفة الوزن (NN). تتكون بنية الشبكة العصبية من طبقة مدخلات (28 عصبوناً)، وطبقة مخفية واحدة (24 عصبوناً مع تفعيل ReLU و0.4 dropout)، ومخرج سيجمويد (Sigmoid). ولغرض النشر، يتم تحسين النماذج عبر التكميم (Quantization) بـ 8 بت بعد التدريب (بالنسبة للشبكة العصبية) والترجمة المتقاطعة (Cross-compilation) التي تستهدف متحكم ARM-Cortex-M4 دقيق.
المساهمات الرئيسية
هندسة الميزات القائمة على الإشارات: يقدم البحث طريقة لرسم خرائط أكواد الـ Hexadecimal إلى مصفوفات عددية مستمرة أحادية البعد، ومعاملتها كإشارات رقمية. وهذا يسمح باستخراج مجموعة ميزات نحيفة مكونة من 28 بُعداً تجمع بين الإحصاءات العالمية، والإنتروبيا، وبقايا LPC، وأنسجة GLCM المكانية.
النماذج المحسنة للعتاد: تم تحديد نموذجين محددين للنشر على الحافة: شجرة القرار (DT) للسيناريوهات ذات قيود ذاكرة SRAM الصارمة (استخدام صفر للذاكرة الديناميكية)، وشبكة عصبية أمامية (NN) مكممة لمتطلبات زمن الاستجابة الفائق انخفاضاً.
التحقق التجريبي من العتاد: على عكس العديد من الدراسات النظرية، يتحقق هذا العمل من إطار العمل على متحكم ARM Cortex-M4 محاكى (بتردد 168 ميجاهرتز) باستخدام Renode وTFlight. ويوفر العمل مقاييس ملموسة حول تخزين Flash، واستخدام SRAM، وزمن استجابة الاستدلال، مما يثبت الجدوى ضمن الميزانيات الصارمة للأنظمة المدمجة.
المتانة الإحصائية: تم التحقق من استقرار البنية من خلال 20 عملية تنفيذ مستقلة، مما أظهر أداءً ثابتاً دون حدوث فرط في التخصيص (Overfitting).
النتائج تم تقييم إطار العمل على مجموعة بيانات تضم 11,446 ملف APK (5,550 خبيث، 5,896 سليم).
أداء التصنيف:
حققت شجرة القرار (DT) أعلى دقة بلغت 96.33% مع درجة F1 تبلغ 96.16%.
حققت الشبكة العصبية (NN) المقترحة دقة قدرها 95.76% مع درجة F1 تبلغ 95.68%.
بينما حقق KNN أعلى دقة إحصائية بنسبة 97.33%، إلا أن بصمته الذاكرية (2075.71 كيلوبايت) جعلته غير عملي للأجهزة الحافية.
كفاءة العتاد (ARM Cortex-M4):
شجرة القرار: تم ضغطها إلى 4.58 كيلوبايت من تخزين Flash، وتطلبت 0 كيلوبايت من ذروة SRAM النشطة، مع زمن استجلال استدلال قدره 173 نانو ثانية.
الشبكة العصبية المكممة: تم ضغطها إلى 2.82 كيلوبايت من تخزين Flash، وتطلبت 0.83 كيلوبايت من ذروة SRAM النشطة، مع زمن استدلال قدره 9 نانو ثانية.
اختبار استئصال الميزات (Ablation Study): أدى إزالة ميزات GLCM ثنائية البعد إلى انخفاض طفيف في الدقة (حوالي 0.83%)، مما يؤكد أنه بينما تقود الإحصاءات أحادية البعد حدود القرار الأساسية، فإن الميزات المكانية ثنائية البعد ضرورية لتحسين الكشف ضد الحمولات المموهة.
تصنيف العائلات: نجح نموذج شجرة القرار في تصنيف 15 سلالة مختلفة من البرمجيات الخبيثة، محققاً دقة عالمية بلغت 87.07%، رغم تفاوت الأداء مع السلالات المتخفية ذات الدعم العيني المنخفض.
الأهمية والادعاءات يدعي البحث إنشاء حل أمني حتمي عالي الدقة يمكن توطينه بالكامل داخل سجلات العتاد للأنظمة المدمجة محدودة الموارد. ومن خلال تحويل حمولات APK إلى إشارات أحادية وثنائية البعد، يتجنب إطار العمل العبء الحسابي للشبكات التلافيفية العميقة وعمليات الهندسة العكسية المعقدة. تكمن الأهمية الأساسية في إثبات أن الكشف الفعال عن البرمجيات الخبيثة (بدقة تقارب 96%) يمكن تحقيقه ببصمة نموذج تقل عن 3 كيلوبايت وزمن استجلال أقل من ميكروثانية، مما يجعل الأمر ممكناً للنشر على المتحكمات الدقيقة القديمة (8-bit أو 16-bit) وعقد الحافة الحديثة لإنترنت الأشياء. يجسد هذا العمل الفجوة بين اكتشاف البرمجيات الخبيثة النظري والتنفيذ العملي على الجهاز، مما يوفر بديلاً قابلاً للتطبيق للأمن المعتمد على السحابة في منظومة إنترنت الأشياء المتنامية.
القصور يقر المؤلفون بأن إطار العمل يعتمد على التحليل الساكن لـ Dalvik bytecode. وبناءً على ذلك، قد يتم تجاوزه بواسطة البرمجيات الخبيثة المتطورة التي تستخدم الانعكاس وقت التشغيل (Runtime Reflection)، أو تحميل الفئات الديناميكي، أو تنفيذ الكود الأصلي (Native Code - .so files). بالإضافة إلى ذلك، قد تفشل عملية توليد الإشارة إذا قام مهاجم بإتلاف رؤوس ملفات ZIP أو استخدم تقنيات مضادة للتفكيك (Anti-disassembly). كما لا يمكن للنموذج اكتشاف البرمجيات الخبيثة التي لا تعتمد على الملفات (Fileless malware) أو التطبيقات السليمة التي تقوم بتحميل حمولات خبيثة بعد التثبيت.