Выявлена причина слепоты антивирусов к 75% скрытых киберугроз
Ученые НовГУ и РАН установили, что основным фактором, по которому популярные антивирусы пропускают скрытые киберугрозы, является несовершенство алгоритмов. Исследование показало, что в некоторых приложениях до 75% путей выполнения сливаются воедино, что затрудняет обнаружение потенциальных угроз, сообщил кандидат технических наук НовГУ Павел Довгалюк. Об этом сообщает портал Ferra.
По его словам, встроенные счетчики антивирусов "слепнут" на высоких частотах, не различая разницу между 200 и 2000 повторениями потенциально вредоносного цикла. Это приводит к тому, что до 75% путей выполнения сливаются, маскируя угрозы.
Ученые также отметили, что злоумышленники используют сложные алгоритмы сжатия и шифрования для сокрытия вирусов, что делает структуру кода невидимой до момента его исполнения в системе. В исследовании участвовали специалисты Института системного программирования имени Иванникова РАН и Новгородского университета, включая разработчика ПО Аркадия Иванова и кандидатов технических наук Павла Довгалюка и Наталью Фурсову.
Исследователи пришли к выводу, что ни один из существующих инструментов не подходит для точного полносистемного анализа безопасности. Для выявления поверхности атаки и поиска редко выполняемых, потенциально уязвимых участков кода необходимо связывать исходный текст с машинными инструкциями. Будущее в этой области видится в гибридном подходе.
Оптимальный метод должен сочетать две технологии: оценку покрытия на основе базовых блоков и реберное покрытие, фиксирующее переходы между блоками.
Новый подход не требует изменения исходного кода до запуска программы, что критически важно для анализа сложных зашифрованных приложений и динамически генерируемого кода. Совмещение статистики по блокам и маршрутам позволяет связывать машинные инструкции с исходным текстом через отладочную информацию.
Главная цель гибридного метода заключается в интеграции с технологиями анализа потоков чувствительных данных, таких как пароли и ключи доступа. Наложение карты покрытия кода на пути движения этой информации поможет специалистам по безопасности выявить функции, находящиеся под угрозой.
Для оптимизации хранения данных исследователи предлагают внедрить динамическое сжатие файлов во время выполнения программы или использовать раздельное хранение в компактных хеш-таблицах. Конечная цель заключается не только в сборе адресов выполненных команд, но и в создании расширенной таблицы модулей с детальной информацией о каждом процессе. Раздельное хранение статистики и внедрение новых форматов записи позволит анализировать систему целиком, избегая математических погрешностей и накладных расходов.
