Tri-Modal Contrastive Binary Analysis via Opcode Transformers, Control Flow Graph Isomorphism Networks, and System Call Embeddings: A Systematic Review of Zero-Day Malware Detection Frameworks

في العالم الرقمي، غالبًا ما يتم التعامل مع البرمجيات كأنها صندوق مغلق. ولفهم ما يفعله برنامج ما، يقوم خبراء الأمن تقليديًا بفحص كوده البرمجي، تمامًا كما يفحص الميكانيكي محركًا. قد يقرأون التعليمات الخام، أو ينظرون إلى خريطة كيفية انتقال البرنامج من مهمة إلى أخرى، أو يراقبون ما يحدث عندما يعمل البرنامج. لعقود من الزمن، عملت هذه الأساليب بشكل جيد بما يكفي للإمساك بالتهديدات المعروفة. ومع ذلك، فقد تغير المشهد؛ حيث تعلم المهاجمون المعاصرون كيفية تمويه برمجياتهم، عبر تغليف البرامج الخبيثة بطبقات من التشفير أو إعادة ترتيب منطقها الداخلي بحيث يبدو الكود غير ضار رغم أن سلوكه يظل خطيرًا. وعندما تفشل طريقة واحدة للنظر في البرنامج لأن التمويه كان ذكيًا للغاية، يصبح نظام الدفاع بأكمله أعمى. وهذا يترك فجوة حرجة: كيف يمكنك رصد تهديد جديد وغير مرئي عندما يمكنه الاختباء من كل أدوات الفحص القياسية لديك؟

قام فريق من الباحثين من معهد "سانديب" للتكنولوجيا والبحث في الهند بإجراء تحليل شامل للنهج المتقدمة لحل هذا اللغز. وبدلاً من الاعتماد على طريقة واحدة فقط للفحص، راجعوا كيف تنظر الأنظمة عالية التقنية الموجودة إلى البرمجيات من خلال ثلاث عدسات مختلفة في آن واحد. يجمع هذا النهج ثلاثي الأنماض (tri-modal) بين ثلاثة أنواع متميزة من التحليل في رؤية واحدة موحدة: قراءة تعليمات التجميع (assembly) الخام، ورسم الخريطة الهيكلية لتدفق البرنامج، ومراقبة تفاعلات البرنامج مع نظام تشغيل الكمبيوتر أثناء تشغيله. ومن خلال فحص كيف تجبر هذه الأطر الثلاث وجهات نظر مختلفة على الاتفاق بشأن ماهية البرنامج، توضح المراجعة كيف يمكن تحديد الكود الخبيث حتى عندما يحاول المهاجمون إخفاءه عن واحدة أو اثنتين من تلك الرؤى.

لم يقم الباحثون ببناء كاشف فيروسات جديد من الصفر لاختباره في مختبر؛ بل أجروا مراجعة منهجية للأبحاث عالية التقنية الموجودة. لقد جمعوا وحللوا خمس عشرة دراسة رئيسية وأكثر من خمسين ورقة بحثية داعمة نُشرت بين عامي 2020 و2026. وكان هدفهم هو معرفة مدى فعالية هذه الأنظمة المتقدمة عند مواجهة التحديات الأكثر صعوبة: البرمجيات الخبيثة من نوع "اليوم الصفر" (zero-day)، وهي برمجيات جديدة وغير معروفة، والكود شديد التعمية (obfuscated)، وهو كود يتم تشفيره عمدًا لإرباك عملية التحليل. ووجدوا أن الأنظمة الأكثر فعالية هي تلك التي لا تكتفي بمجرد إضافة نتائج الطرق المختلفة، بل تدمجها معًا بطريقة تسمح للنظام بتعلم الروابط العميقة بين الكود، والهيكل، والسلوك.

إن جوهر اكتشافهم هو أن الجمع بين هذه الرؤى يخلق شبكة أمان. فإذا استخدم المهاجم تقنية لتشفير الكود بحيث لا يستطيع قارئ التعليمات فهمه، فقد تظل الخريطة الهيكلية تكشف الشكل الحقيقي للبرنامج. وإذا قام المهاجم بعد ذلك بتغيير الهيكل لإرباك الخريطة، يمكن للنظام مراقبة كيفية تحدث البرنامج مع نظام التشغيل للعثين على الحقيقة. وقد حدد الباحثون استراتيجية رياضية محددة تستخدمها أفضل الأطر لجعل هذه الرؤى الثلاث تتوافق. تفرض هذه الاستراتيجية على الكمبيوتر التعامل مع الكود، والهيكل، وسلوك نفس البرنامج كما لو كانوا جسمًا واحدًا، على الرغم من اختلاف شكلهم الخارجي الكبير. وعندما يواجه النظام ملفًا جديدًا وغير معروف، فإنه يتحقق مما إذا كانت الرؤى الثلاث تشير إلى نفس النتيجة. إذا كانت تشير إلى ذلك، فمن المرجح أنه آمن. أما إذا كانت تشير إلى نمط خبيث، فإن النظام يصنفه كتهديد، حتى لو لم يسبق رؤية الملف من قبل.

أحد أهم الاكتشافات في هذه المراجعة هو كيفية تعامل النظام مع الخداع. غالبًا ما يحاول المهاجمون خداع برامج الأمن عن طريق إبطاء البرنامج أو الاختباء بطريقة تجعله يبدو كملف غير ضار. وجد الباحثون أن الأنظمة الأكثر قوة تستخدم آلية وزن ذكية. تخيل حارس أمن يستمع إلى ثلاثة شهود يصفون مشتبهًا به؛ إذا كان أحد الشهود يكذب أو مرتبكًا، فإن الحارس لا يتجاهل الشاهدين الآخرين، بل يولي اهتمامًا أكبر للشهود الذين يروون قصة متسقة. وبالمثل، يكتشف هذا الإطار تلقائيًا متى يتم خداع أحد "شهوده" الثلاثة بواسطة هجوم، ويحول تركيزه إلى الشاهدين الآخرين. وهذا يسمح للنظام بالحفاظ على مستوى عالٍ من الدقة، يتجاوز غالبًا 98.5 بالمائة، حتى عندما يستخدم المهاجمون حيلًا متطورة للاختباء.

كما سلطت الدراسة الضوء على الحدود العملية لهذه التكنولوجيا. فبينما يعد النظام دقيقًا للغاية، إلا أنه لا يخلو من التكلفة. يتطلب تحليل برنامج من خلال ثلاث عدسات قدرة حوسبية ووقتًا كبيرين. وأشار الباحثون إلى أنه بينما تكون بعض أجزاء العملية سريعة جدًا، فإن الجزء الذي يراقب البرنامج في بيئة محاكية يمكن أن يستغرق دقائق لكل ملف، وهو أمر بطيء جدًا لفحص آلاف الملفات يوميًا. ومع ذلك، تشير المراجعة إلى أنه من خلال استخدام تقنيات المحاذاة المتقدمة هذه، يمكن للأنظمة الأمنية أن تتعلم في النهاية التنبؤ بسلوك البرنامج بمجرد النظر إلى الكود الساكن الخاص به، مما يلغي الحاجة إلى عمليات التحقق البطيئة والمستهلكة للوقت أثناء التشغيل. وهذا من شأنه أن يجمع بين سرعة الفحص السريع ودقة التحليل السلوكي العميق.

خلص الباحثون إلى أن مستقبل اكتشاف البرمجيات الخبيثة يكمن في هذا النوع من الذكاء متعدد المنظور. وجادلوا بأن الاعتماد على طريقة واحدة، سواء كانت النظر في الكود أو مراقبة السلوك، لم يعد كافيًا ضد التهديدات الحديثة. إن المسار المستقبلي يتضمن بناء أنظمة يمكنها دمج المعلومات من مصادر مختلفة، مما يخلق صورة كاملة لنية البرنامج. وبينما لا تزال هناك عقبات يجب التغلب عليها، مثل الحاجة إلى أجهزة كمبيوتر أكثر قوة للتعامل مع البيانات المعقدة وتحدي تكييف هذه الأنظمة مع أنواع مختلفة من الأجهزة، فإن المراجعة تؤكد أن هذا النهج يقدم حلاً واعدًا لمشكلة التهديدات المتزايدة من نوع "اليوم الصفر" غير المرئية. ويعمل هذا العمل كخارطة طريق لكيفية انتقال الفرق الأمنية من الدفاع القائم على رد الفعل، حيث ينتظرون ظهور بصمة (signature) معينة، إلى الكشف الاستباقي، حيث يمكنهم التعرف على التهديد من خلال طبيعته الجوهرية، بغض النظر عن كيفية محاولته الاختباء.