Исследователи Новгородского государственного университета и Российской академии наук связали пропуск скрытых киберугроз популярными антивирусными средствами с недостатками алгоритмов. Как сообщает ТАСС со ссылкой на кандидата технических наук НовГУ Павла Довгалюка, в отдельных приложениях до 75% путей выполнения объединяются, из-за чего потенциально опасные участки кода остаются незамеченными.
По словам Довгалюка, встроенные счетчики сканирующих систем теряют точность на высоких частотах и не различают 200 и 2000 повторений потенциально вредоносного цикла. Дополнительную сложность создают применяемые злоумышленниками алгоритмы сжатия и шифрования: структура вирусного кода остается скрытой до его исполнения внутри системы.
В исследовательскую группу вошли специалисты Института системного программирования имени Иванникова РАН и Новгородского университета — разработчик программного обеспечения Аркадий Иванов, а также кандидаты технических наук Павел Довгалюк и Наталья Фурсова. Они установили, что ни один из существующих инструментов сам по себе не обеспечивает точного полносистемного анализа безопасности.
Предложенный учеными гибридный подход объединяет оценку покрытия на основе базовых блоков с реберным покрытием, фиксирующим переходы между такими блоками. Метод предназначен для точного связывания исходного текста программы с машинными инструкциями и выявления редко выполняемых участков кода, которые могут содержать уязвимости.
Для применения нового подхода не требуется заранее вмешиваться в исходный код или изменять его перед запуском программы. Это позволяет анализировать сложные зашифрованные приложения и динамически создаваемый код. Совмещение статистики по блокам и маршрутам дает возможность сопоставлять машинные инструкции с исходным текстом при помощи отладочной информации.
Разработчики намерены объединить гибридный метод с технологиями анализа потоков чувствительных данных, включая пароли и ключи доступа. Чтобы не накапливать большие объемы трудночитаемых журналов, они предлагают сжимать файлы во время выполнения программы либо раздельно хранить данные в компактных хеш-таблицах. По замыслу исследователей, новые форматы записи и разделение статистики позволят анализировать систему целиком без математических погрешностей и значительных накладных расходов.