A Multi-Feature Fusion-Based Obfuscation-Resistant Malware Detection Scheme
تقترح هذه الورقة البحثية نظام TriFuseDroid، وهو مخطط قوي للكشف عن برمجيات أندرويد الخبيثة يحلل تأثير تعمية الكود على الميزات الثابتة، ويستخدم شبكة دمج متعددة الميزات لتحويل الرؤى الثابتة المرنة إلى تمثيلات صورية، محققاً دقة عالية وقدرة على التعميم ضد تقنيات التعمية المتنوعة دون الحاجة إلى عينات تدريب معماة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في النظام البيئي الرقمي الشاسع لنظام التشغيل أندرويد، تدور معركة صامتة بين أولئك الذين يبنون التطبيقات وأولئك الذين يصممون برمجيات خبيثة لسرقة البيانات أو تعطيل الأجهزة. وللإمساك بهؤلاء المتسللين الرقميين، اعتمد باحثو الأمن لفترة طويلة على التحليل الساكن، وهو أسلوب يفحص كود التطبيق دون تشغيله فعليًا. إنهم يبحثون عن بصمات محددة، مثل قائمة الأذونات التي يطلبها التطبيق للوصول إلى كاميرا الهاتف أو جهات الاتصال، وتسلسل التعليمات التي يتبعها، ووظائف النظام المحددة التي يستدعيها. ومع ذلك، أصبح مبتكروا البرمجيات الخبيثة بارعين في إخفاء آثارهم؛ حيث يستخدمون تقنية تسمى "تعمية الكود" (code obfuscation)، والتي تقوم بتشويش البنية الداخلية للتطبيق وإعادة تسمية مكوناته لجعل الكود يبدو كفوضى عارمة أمام الإنسان أو برنامج الكمبيوتر. وقد جعلت لعبة الغميضة المستمرة هذه العديد من طرق الكشف التقليدية غير فعالة، حيث يتم تغيير أو محو التواقيع التي تعتمد عليها بسبب هذه الأقنعة.
اقترح فريق من الباحثين في جامعة تشونغتشينغ نهجًا جديدًا لكسر هذا الجمود، مقدمين نظامًا يمكنه الرؤية من خلال القناع دون الحاجة لرؤية القناع مسبقًا. يبدأ عملهم، الذي يحمل عنوان "TriFuseDroid"، ليس بطريقة جديدة لتشغيل الكود، بل باستقصاء منهجي عميق حول كيفية تأثير أنواع مختلفة من التعمية فعليًا على الأدلة المحددة التي يستخدمها الباحثون. لقد أخذوا مجموعة كبيرة من التطبيقات وطبقوا عليها ثماني طرق متميزة لتشويشها، تتراوح من مجرد إعادة تسمية المتغيرات البسيطة إلى إعادة ترتيب معقدة لمنطق البرنامج. ومن خلال مقارنة الكود الأصلي النظيف مقابل هذه النسخ المشوشة، قاموا بقياس مدى تغيير كل طريقة لحجم الملف، وتشابه النص، وبنية البيانات. ووجدوا أنه بينما ظلت بعض الميزات، مثل قائمة الأذونات التي يحتاجها التطبيق، دون مساس تقريبًا بعملية التشويش، فإن ميزات أخرى، مثل الخريطة التفصيلية لكيفية استدعاء الوظائف لبعضها البعض، قد دُمِّرت تمامًا أو تغيرت لدرجة لا يمكن التعرف عليها.
وتسلحًا بخريطة الثغرات هذه، صمم الباحثون نظام كشف يركز فقط على الأجزاء من الكود التي تصمد أمام عملية التشويش. لقد اختاروا ثلاث رؤى جوهرية للتطبيق: الملف التنفيذي الرئيسي، وقائمة وظائف النظام التي يستخدمها التطبيق، والأذونات التي يطلبها. وبدلاً من محاولة قراءة النص الخام لهذه الملفات، والذي يتغير بشكل جذري عند التعمية، قاموا بتحويلها إلى تمثيلات بصرية. فقد حولوا الملف التنفيذي إلى شبكة من الأرقام توضح كيفية انتقال قطعة من البيانات إلى التالية، مما خلق صورة فريدة تحافظ على الشكل العام للكود حتى لو تغيرت الحروف الفردية. وبالمثل، حولوا قوائم وظائف النظام والأذونات إلى صور دلالية تلتقط معنى سلوك التطبيق بدلاً من مجرد الأسماء المحددة للوظائف. سمحت هذه العملية بإنشاء بصمة بصرية تظل مستقرة حتى عندما يكون النص الأساسي مشوهًا بشدة.
إن قلب نظامهم هو شبكة عصبية، وهي نوع من برامج الكمبيوتر المستوحاة من الدماغ البشري، مصممة للنظر في هذه الصور الثلاث المختلفة في آن واحد. لا تتعامل الشبكة مع هذه الصور كأدلة منفصلة، بل تدمجها معًا، وتتعلم كيف تعمل قائمة الأذونات المستقرة، واستدعاءات الوظائف المرنة، والصورة الهيكلية للملف التنفيذي معًا لتحديد وجود تهديد. يسمح هذا الاندماج متعدد الميزات للنظام بالتعويض عن نقاط الضعف في أي رؤية منفردة؛ فإذا كانت إحدى الصور مشوشة قليًا بسبب التعمية، فإن الصورتين الأخريين توفران الوضوح اللازم لاتخاذ حكم صحيح. اختبر الباحثون هذا النظام ضد مجموعة واسعة من التطبيقات المشوشة، بما في ذلك تلك التي تعرضت لأكثر أشكال إخفاء الكود عدوانية وتعقيدًا.
أظهرت النتائج أن هذه الطة الجديدة تفوقت بشكل كبير على التقنيات الحالية. فعند مواجهة تطبيقات تم تشويشها بكثافة، غالبًا ما فشلت أنظمة الكشف القديمة، حيث انخفضت دقتها إلى مستويات لم تعد قادرة فيها على التمييز بشكل موثوق بين البرمجيات الآمنة والخطيرة. وفي المقابل، حافظ النظام الجديد على مستوى عالٍ من الدقة، حيث حدد بشكل صحيح الغالبية العظمى من التطبيقات الخبيثة حتى بعد تمويهها. والأهم من ذلك، حقق النظام هذا دون الحاجة أبدًا إلى التدرب على أمثلة من هذه الأقنعة المحددة؛ فقد تعلم التعرف على الأنماط الكامنة للسلوك الخبيث التي تستمر عبر التشويش، بدلاً من حفظ الحيل المحددة التي يستخدمها المهاجمون. وهذا يشير إلى أن هذا النهج يقدم دفاعًا قويًا ضد المتغيرات المستقبلية لتعمية الكود، مما يوفر وسيلة أكثر موثوقية للحفاظ على أمن النظام الرقمي دون الحاجة إلى تحديثات مستمرة لبرامج الكشف في كل مرة تظهر فيها تقنية إخفاء جديدة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.