How Far Does Entropy Go? Duplicates, Confounding, Drift and Padding in Entropy-Based Detection of Malicious PE Files
تُثبت هذه الورقة أن الكشف القائم على الإنتروبيا لملفات PE الخبيثة يتضرر بشدة بسبب تكرار البيانات، والخلط الناتج عن الحجم، والحشو العدائي، مما يكشف أن مثل هذه النماذج تحفظ إلى حد كبير الأقسام المعروفة ويمكن تجنبها بسهولة عن طريق إلحاق بايتات تبدو حميدة، الأمر الذي يستلزم استراتيجيات كشف أكثر قوة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الرقمي، يعتمد خبراء الأمن غالباً على فكرة رياضية بسيطة تسمى "الاعتلاج" (entropy) لرصد البرمجيات الخطيرة. تخيل الملف كأنه سلسلة طويلة من الأرقام؛ إذا كانت هذه الأرقام تتبع نمطاً يمكن التنبؤ به، مثل قصة مكتوبة بلغة إنجليزية واضحة أو برنامج قياسي، فإن السلسلة ستكون ذات اعتلاج منخفض؛ أي أنها منظمة وسهلة الوصف. أما إذا كانت الأرقام مبعثرة، مثل رسالة مقفلة داخل خزنة أو ملف مضغوط لتوفير المساحة، فإن السلسلة ستكون ذات اعتلاج عالٍ؛ أي أنها تبدو عشوائية وفوضوية. ولأن البرامج الخبيثة غالباً ما تخفي طبيعتها الحقيقية عبر بعثرة شفرتها البرمجية، فإن أدوات الأمن تقوم باستمرار بالبحث عن هذا المستوى العالي من العشوائية. وإذا بدا الملف فوضوياً للغاية، فإن الأداة تصنفه كملف مشبوه. هذه الطريقة سريعة، ومنخفضة التكلفة، وتُستخدم على نطاق واسع لفرز ملايين الملفات، لتحديد أي منها يحتاج إلى نظرة فاحصة وأيها يمكن تجاهله.
ومع ذلك، فإن دراسة جديدة أجراها باحثون من جامعة فلورنسا وجامعة بيزا تطرح سؤالاً جوهرياً: إلى أي مدى يمكننا حقاً الوثوق في مقياس الفوضى هذا؟ فقد استقصى الفريق ما إذا كانت عشوائية جزء محدد من ملف تنفيذي لنظام ويندوز — وهو القسم الأول من شفرته البرمجية — هي في الواقع علامة موثوقة على الخطر، أم أنها خدعة يمكن خداعها بسهولة. قام الباحثون بتحليل ما يقرب من 43,000 رأس ملف وما يقرب من 800,000 عينة مصنفة من مجموعة بيانات أمنية كبرى. وكشفت أعمالهم أن الاعتماد الحالي على هذا المقياس الواحد هو أكثر هشاشة مما كان يُعتقد سابقاً، حيث يخطئ غالباً في اعتبار التكرار دليلاً على الخطر، ويفشل تماماً عند مواجهة تهديدات جديدة وغير مرئية.
بدأ الباحثون بالنظر في خلل خفي في كيفية اختبار أدوات الأمن هذه. فقد اكتشفوا أنه في كلتا مجموعتي البيانات لديهم، كان حوالي 64 بالمائة من الملفات الخبيثة تشترك في قسمها الأول من الشفرة مع ملف آخر على الأقل. وهذا يعني أن العديد من البرامج الخبيثة المختلفة بُنيت من نفس القالب المبعثر. وعندما تُختبر أدوات الأمن باستخدام التوزيع العشوائي، غالباً ما يظهر نفس القالب في كل من مجموعة التدريب ومجموعة الاختبار. في هذه الحالة، لا تتعلم الأداة في الواقع التعرف على الخطر، بل هي ببساه تقوم بحفظ ذلك القالب المحدد. وعندما قام الباحثون بتصحيح ذلك من خلال تجميع الملفات المتطابقة معاً، انخفضت قدرة الأداة على اكتشاف التهديدات الجديدة بشكل كبير. وفي اختبار صُمم لمحاكاة ظروف العالم الحقيقي حيث تواجه الأداة ملفات لم يسبق لها رؤيتها من قبل، أصبح الكاشف القائم على الاعتلاج عديم الفائدة تقريباً، حيث اكتشف أقل من واحد بالمائة من البرامج الضارة بمعدل خطأ آمن.
كما كشفت الدراسة أن الأدوات كانت تعتمد غالباً على حجم الملف بدلاً من فوضويته. ففي إحدى مجموعات البيانات، كانت الملفات الخبيثة أكبر حجماً من الملفات الآمنة، لذا تعلم الكاشف تصنيف الملفات الكبيرة كملفات خطيرة. ولكن عندما اختبر الباحثون ذلك على مجموعة بيانات أخرى أكبر، اختفى هذا الفرق في الحجم، وانهار أداء الأداة. أثبت هذا أن الكاشف لم يكن يجد قاعدة عالمية حول البرمجيات الخبيثة، بل كان يستغل مجرد مصادفة خاصة بمجموعة واحدة من البيانات. علاوة على ذلك، وجدوا أن الملفات ذات الأقسام الأولى الفارغة — وهو أمر شائع في برامج الحزم المستخدمة لإخفاء الشفرة — وُجدت أيضاً في البرامج الآمنة، مما يعني أن هذه الميزة وحدها لا يمكنها التمييز بين فيروس وتطبيق مشروع.
ولعل النتيجة الأكثر إثارة للدهشة تتعلق بمدى سهولة تجاوز هذه الكواشف. فقد حسب الباحثون الحدود الرياضية لما يحدث عندما يضيف المهاجم بايتات إضافية غير ضارة إلى نهاية القسم الأول من الملف. ووجدوا أن المهاجم يمكنه دائماً تقريباً إضافة قدر كافٍ من الحشو (padding) لتغيير مظهر الملف بما يكفي لخداع الكاشف، دون أن يؤدي ذلك فعلياً إلى إتلاف البرنامج. وإذا سُمح للمهاجم بإضافة كمية كبيرة من الحشو، فإنه يضمن تفادي الكاشف في أكثر من 90 بالمائة من الحالات. وحتى لو حاول المهاجم أن يكون دقيقاً وأضاف كمية صغيرة فقط من الحشو، فإنه لا يزال بإمكانه التهرب من الكشف في عدد كبير من الحالات، خاصة إذا اختار الحشو بعناية ليبدو كبيانات عادية وآمنة.
استكشف الباحثون أيضاً ما إذا كان بإمكانهم بناء كاشف يكون محصناً ضد هذه الحيل. ووجدوا أن نموذجاً يعتمد على قاعدة رياضية صارمة — وهي أن إجمالي المعلومات في ملف لا يمكن أن ينقص عند إضافة بايتات — سيكون بالفعل من المستحيل خداعه بإضافة الحشو. ومع ذلك، كان هذا النموذج "غير القابل للاختراق" حذراً للغاية لدرجة أنه فشل في اكتشاف أي من البرامج الضارة تقرياً. لقد كان دفاعاً مثالياً ضد التهرب، ولكنه كان أداة سيئة للعثور على التهديدات. وتخلص الدراسة إلى أنه بينما يعد الاعتلاج مؤشراً مفيداً، فإن الاعتماد عليه وحده يعد خطأً. فالإشارة التي يوفرها هي غالباً انعكاس للشفرة المتكررة أو حجم الملف بدلاً من الخبث الحقيقي، ويمكن إزالتها بتغييرات بسيطة ومتوقعة. ولكي يكون الأمن فعالاً، يجب على الخبراء النظر إلى ما وراء هذا المقياس الوحيد والجمع بين عوامل أخرى كثيرة لرؤية الصورة الكاملة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.