В России выявили причину слепоты антивирусов к 75% скрытых киберугроз
Российские исследователи установили, почему антивирусные сканеры не замечают часть скрытых угроз. В некоторых приложениях при обработке данных совмещается до 75% путей выполнения кода, рассказал кандидат технических наук Павел Довгалюк. Из-за этого опасные фрагменты сложнее обнаружить. Об этом сообщает Техносовет.
Корень проблемы — встроенные счетчики программных сканеров. При частых повторах счетчик может путать 200 запусков опасного цикла с 2000. Сведения о работе приложения частично теряются, а подозрительные участки остаются незамеченными. Дополнительные трудности создают сжатие и шифрование: злоумышленники скрывают код, чья структура раскрывается лишь при выполнении.
По отдельности нынешние инструменты не дают нужной точности полносистемного анализа безопасности, пришли к выводу Аркадий Иванов, Павел Довгалюк и Наталья Фурсова. Исследование провели в Институте системного программирования РАН и Новгородском государственном университете. Ученые предложили гибридный подход: он объединяет анализ покрытия базовых блоков и учет переходов между ними. Первый показывает, какие части кода выполнялись, второй фиксирует маршруты, а вместе они дают более полную картину.
Исходный код проверяемой программы заранее менять не требуется. Поэтому метод подходит для зашифрованных приложений и для кода, который формируется во время работы системы. Машинные инструкции сопоставляют с исходным текстом через отладочную информацию.
В дальнейшем ученые рассчитывают следить за перемещением секретных сведений — паролей и ключей доступа. Сопоставление таких маршрутов с картой выполнения поможет находить функции, интересные злоумышленникам. Еще одна задача — сократить объем собираемой информации: сжимать файлы при выполнении кода или хранить статистику раздельно в компактных хеш-таблицах. Конечная цель — расширенная таблица модулей со сведениями о каждом процессе и анализ всей системы с меньшими погрешностями и накладными расходами.
