Tri-Modal Contrastive Binary Analysis via Opcode Transformers, Control Flow Graph Isomorphism Networks, and System Call Embeddings: A Systematic Review of Zero-Day Malware Detection Frameworks

डिजिटल दुनिया में, सॉफ्टवेयर को अक्सर एक बंद डिब्बे की तरह माना जाता है। किसी प्रोग्राम के काम करने के तरीके को समझने के लिए, सुरक्षा विशेषज्ञ पारंपरिक रूप से उसके कोड को देखते हैं, ठीक वैसे ही जैसे एक मैकेनिक इंजन का निरीक्षण करता है। वे कच्चे निर्देशों (raw instructions) को पढ़ सकते हैं, इस बात का मानचित्र देख सकते हैं कि प्रोग्राम एक कार्य से दूसरे कार्य तक कैसे आगे बढ़ता है, या यह देख सकते हैं कि प्रोग्राम चलते समय क्या करता है। दशकों तक, ये विधियाँ ज्ञात खतरों को पकड़ने के लिए पर्याप्त रूप से काम करती रहीं। हालाँकि, परिदृश्य बदल गया है। आधुनिक हमलावरों ने अपने सॉफ्टवेयर को छिपाना सीख लिया है, जिससे वे दुर्भावनापूर्ण प्रोग्रामों को एन्क्रिप्शन की परतों में लपेट देते हैं या उनके आंतरिक तर्क (logic) को इस तरह पुनर्गठित कर देते हैं कि कोड भले ही खतरनाक व्यवहार करता रहे, लेकिन वह देखने में हानिरहित लगे। जब किसी प्रोग्राम को देखने का एक तरीका इसलिए विफल हो जाता है क्योंकि उसका भेष बहुत चतुर होता है, तो पूरी रक्षा प्रणाली अंधी हो जाती है। यह एक महत्वपूर्ण अंतर छोड़ देता है: आप एक बिल्कुल नए, अनदेखे खतरे को कैसे पहचान सकते हैं जब वह आपके हर एक मानक निरीक्षण उपकरण से छिप सकता है?

भारत के संदीप इंस्टीट्यूट ऑफ टेक्नोलॉजी एंड रिसर्च सेंटर के शोधकर्ताओं की एक टीम ने इस पहेली को सुलझाने के लिए उन्नत दृष्टिकोणों के व्यापक विश्लेषण का संचालन किया है। केवल निरीक्षण के एक तरीके पर निर्भर रहने के बजाय, उन्होंने इस बात की समीक्षा की कि कैसे मौजूदा उच्च-तकनीकी प्रणालियाँ तीन अलग-अलग लेंसों के माध्यम से सॉफ्टवेयर को एक साथ देखती हैं। यह त्रि-आयामी (tri-modal) दृष्टिकोण तीन अलग-अलग प्रकार के विश्लेषणों को एक एकल, एकीकृत दृश्य में जोड़ता है: कच्चे असेंबली निर्देशों को पढ़ना, प्रोग्राम के संरचनात्मक प्रवाह का मानचित्र बनाना, और कंप्यूटर के ऑपरेटिंग सिस्टम के साथ प्रोग्राम की अंतःक्रियाओं को चलते समय देखना। यह परीक्षण करते हुए कि कैसे ये फ्रेमवर्क तीन अलग-अलग दृष्टिकोणों को यह सहमति बनाने के लिए मजबूर करते हैं कि सॉफ्टवेयर क्या है, यह समीक्षा दर्शाती है कि कैसे दुर्भावनापूर्ण कोड की पहचान की जा सकती है, भले ही हमलावरों ने उसे उन दो दृष्टिकोणों में से एक या दोनों से छिपाने की कोशिश की हो।

शोधकर्ताओं ने प्रयोगशाला में परीक्षण करने के लिए शून्य से नया वायरस डिटेक्टर नहीं बनाया; इसके बजाय, उन्होंने मौजूदा उच्च-तकनीकी अनुसंधान की एक व्यवस्थित समीक्षा की। उन्होंने 2020 और 2026 के बीच प्रकाशित पंद्रह प्रमुख अध्ययनों और पचास से अधिक सहायक शोध पत्रों को एकत्र किया और उनका विश्लेषण किया। उनका लक्ष्य यह देखना था कि ये उन्नत सिस्टम सबसे कठिन चुनौतियों का सामना करने पर कितने प्रभावी रहे: ज़ीरो-डे मालवेयर (zero-day malware), जो नया और अज्ञात है, और अत्यधिक ओब्फस्केटेड (obfuscated) कोड, जिसे विश्लेषण को भ्रमित करने के लिए जानबूझकर उलझाया गया है। उन्होंने पाया कि सबसे प्रभावी सिस्टम वे थे जो केवल विभिन्न तरीकों के परिणामों को जोड़ते नहीं थे, बल्कि उन्हें इस तरह से मिलाते (fuse) थे जिससे सिस्टम कोड, संरचना और व्यवहार के बीच गहरे संबंधों को सीख सके।

उनके निष्कर्ष का मूल यह है कि इन दृष्टिकोणों को संयोजित करना एक सुरक्षा जाल बनाता है। यदि कोई हमलावर कोड को उलझाने के लिए ऐसी तकनीक का उपयोग करता है जिससे निर्देश पाठक उसे समझ नहीं पाता, तो संरचनात्मक मानचित्र अभी भी प्रोग्राम के वास्तविक आकार को प्रकट कर सकता है। यदि हमलावर मानचित्र को भ्रमित करने के लिए संरचना को बदल देता है, तो सिस्टम सत्य का पता लगाने के लिए यह देख सकता है कि प्रोग्राम ऑपरेटिंग सिस्टम के साथ कैसे बात करता है। शोधकर्ताओं ने इन तीन दृष्टिकोणों को संरेखित करने के लिए उपयोग की जाने वाली एक विशिष्ट गणितीय रणनीति की पहचान की। यह रणनीति कंप्यूटर को मजबूर करती है कि वह उसी प्रोग्राम के कोड, संरचना और व्यवहार को एक ही वस्तु के रूप में माने, भले ही वे सतह पर बहुत अलग दिखते हों। जब सिस्टम को एक नई, अज्ञात फ़ाइल मिलती है, तो वह जाँचता है कि क्या तीनों दृष्टिकोण एक ही निष्कर्ष की ओर संकेत करते हैं। यदि वे करते हैं, तो यह सुरक्षित होने की संभावना है। यदि वे एक दुर्भावनापूर्ण पैटर्न की ओर संकेत करते हैं, तो सिस्टम इसे फ्लैग कर देता है, भले ही फ़ाइल को पहले कभी देखा न गया हो।

इस समीक्षा में सबसे महत्वपूर्ण खोज यह है कि सिस्टम धोखे को कैसे संभालता है। हमलावर अक्सर प्रोग्राम को धीमा करके या इस तरह छिपकर सुरक्षा सॉफ्टवेयर को धोखा देने की कोशिश करते हैं जिससे वह एक हानिरहित फ़ाइल जैसा दिखे। शोधकर्ताओं ने पाया कि सबसे मजबूत सिस्टम एक स्मार्ट वेटिंग (weighting) तंत्र का उपयोग करते हैं। कल्पना कीजिए कि एक सुरक्षा गार्ड तीन अलग-अलग गवाहों को एक संदिग्ध का वर्णन करते हुए सुन रहा है। यदि एक गवाह झूठ बोल रहा है या भ्रमित है, तो गार्ड अन्य दो गवाहों को अनदेखा नहीं करता है; इसके बजाय, गार्ड उन गवाहों पर अधिक ध्यान देता है जो एक सुसंगत कहानी सुना रहे हैं। इसी तरह, यह फ्रेमवर्क स्वचालित रूप से पता लगा लेता है कि इसके तीन "गवाहों" में से एक को हमले द्वारा मूर्ख बनाया जा रहा है और यह अपना ध्यान अन्य दो पर केंद्रित कर देता है। यह सिस्टम को उच्च स्तर की सटीकता बनाए रखने की अनुमति देता है, जो अक्सर 98.5 प्रतिशत से अधिक होती है, भले ही हमलावर छिपाने के लिए परिष्कृत युक्तियों का उपयोग कर रहे हों।

अध्ययन ने इस तकनीक की व्यावहारिक सीमाओं पर भी प्रकाश डाला। हालांकि सिस्टम अविश्वसनीय रूप से सटीक है, लेकिन यह बिना किसी लागत के नहीं है। एक प्रोग्राम का तीन अलग-अलग लेंसों के माध्यम से विश्लेषण करने के लिए महत्वपूर्ण कंप्यूटिंग शक्ति और समय की आवश्यकता होती है। शोधकर्ताओं ने उल्लेख किया कि जबकि प्रक्रिया के कुछ हिस्से बहुत तेज़ हैं, सिम्युलेटेड वातावरण में चलने वाले प्रोग्राम को देखने वाला हिस्सा प्रति फ़ाइल मिनटों का समय ले सकता है, जो प्रतिदिन हजारों फ़ाइलों की जाँच करने के लिए बहुत धीमा है। हालांकि, समीक्षा सुझाव देती है कि इन उन्नत संरेखण तकनीकों का उपयोग करके, सुरक्षा प्रणालियाँ अंततः केवल अपने स्टैटिक कोड को देखकर एक प्रोग्राम के व्यवहार की भविष्यवाणी करना सीख सकती हैं, जिससे धीमे, समय लेने वाले रनटाइम चेक की आवश्यकता समाप्त हो सकती है। यह एक त्वरित स्कैन की गति को गहन व्यवहार संबंधी विश्लेषण की सटीकता के साथ जोड़ देगा।

शोधकर्ताओं ने निष्कर्ष निकाला कि मालवेयर डिटेक्शन का भविष्य इसी तरह के बहु-परिप्रेक्ष्य इंटेलिजेंस (multi-perspective intelligence) में निहित है। उन्होंने तर्क दिया कि केवल एक विधि पर भरोसा करना, चाहे वह कोड को देखना हो या व्यवहार को देखना हो, आधुनिक खतरों के खिलाफ अब पर्याप्त नहीं है। आगे का रास्ता ऐसे सिस्टम बनाने में है जो विभिन्न स्रोतों से जानकारी को संश्लेषित कर सकें, जिससे एक प्रोग्राम के इरादे की एक पूर्ण तस्वीर बन सके। हालांकि अभी भी कुछ बाधाएं हैं, जैसे कि जटिल डेटा को संभालने के लिए अधिक शक्तिशाली कंप्यूटरों की आवश्यकता और इन प्रणालियों को विभिन्न प्रकार के हार्डवेयर के अनुकूल बनाने की चुनौती, यह समीक्षा पुष्टि करती है कि यह दृष्टिकोण अदृश्य, ज़ीरो-डे खतरों की बढ़ती समस्या के लिए एक आशाजनक समाधान है। यह कार्य इस बात का रोडमैप है कि कैसे सुरक्षा टीमें प्रतिक्रियात्मक रक्षा (reactive defense) से, जहाँ वे सिग्नेचर आने का इंतज़ार करते हैं, सक्रिय पहचान (proactive detection) की ओर बढ़ सकती हैं, जहाँ वे किसी खतरे को उसके मौलिक स्वभाव से पहचान सकती हैं, चाहे वह खुद को कैसे भी छिपाने की कोशिश करे।