Специалисты Новгородского государственного университета и РАН раскрыли механизм, позволяющий скрытым киберугрозам обходить популярные системы защиты: из-за изъянов в алгоритмах сканеры упускают до 75 % путей выполнения программ, сообщили исследователи.
«Встроенные счетчики таких сканеров „слепнут“ на высоких частотах, не замечая разницы между 200 и 2000 повторений потенциально вредоносного цикла. Из-за несовершенства алгоритмов в некоторых приложениях до 75 % путей выполнения сливаются воедино, маскируя потенциальные угрозы», — пояснил кандидат технических наук НовГУ Павел Довгалюк.
Ситуацию серьезно усложняют действия хакеров. Злоумышленники упаковывают вредоносные модули с помощью сложных механизмов сжатия и шифрования. В итоге структура угрозы остается невидимой для защитных систем ровно до того момента, пока запуск не произойдет непосредственно в операционной системе. Над поиском решения работала совместная группа специалистов Института системного программирования имени Иванникова РАН и НовГУ — разработчик ПО Аркадий Иванов, а также кандидаты технических наук Павел Довгалюк и Наталья Фурсова.
Гибридное решение против хакерских лазеек
«Если мы хотим точно выявлять поверхность атаки и находить редко выполняемые, а значит потенциально уязвимые участки кода, нам необходимо безошибочно связывать исходный текст с машинными инструкциями. Будущее в этой сфере за гибридным подходом», — подчеркнул Павел Довгалюк.
Созданная технология объединяет оценку покрытия на базе базовых блоков и реберное покрытие, отслеживающее переходы между ними. Инструмент не требует предварительной модификации исходного кода перед запуском, благодаря чему специалисты могут анализировать динамически создаваемый код прямо на лету.
«Наша конечная цель не просто собрать адреса выполненных команд, а создать расширенную таблицу модулей с детальной информацией о каждом процессе. Раздельное хранение статистики и внедрение новых форматов записи позволит нам анализировать систему целиком, избегая математических погрешностей и огромных накладных расходов», — подытожил Довгалюк.
