Ученые объяснили, почему антивирусы пропускают большинство скрытых угроз

Специалисты Новгородского государственного университета и Института системного программирования имени Иванникова РАН установили, что популярные антивирусные сканеры пропускают значительную часть скрытых киберугроз из-за несовершенства алгоритмов. Как сообщил ТАСС кандидат технических наук НовГУ Павел Довгалюк, в некоторых приложениях до 75% путей выполнения сливаются воедино, маскируя потенциальные угрозы. Об этом пишет сайт Ferra.

По словам ученых, встроенные счетчики таких сканеров перестают различать количество повторений потенциально вредоносного цикла на высоких частотах, например, не видят разницы между 200 и 2000 повторений. Ситуацию усугубляет то, что злоумышленники прячут вирусы за сложными алгоритмами сжатия и шифрования, из-за чего структура кода остается невидимой до момента его исполнения внутри системы.

Исследователи пришли к выводу, что ни один из существующих инструментов в чистом виде не подходит для точного полносистемного анализа безопасности. По мнению Павла Довгалюка, будущее в этой сфере за гибридным подходом, который безошибочно связывает исходный текст с машинными инструкциями. Оптимальный метод должен сочетать оценку покрытия на основе базовых блоков и реберное покрытие, фиксирующее переходы между этими блоками.

Новый подход не требует предварительного изменения исходного кода до запуска программы, что важно для анализа сложных зашифрованных приложений и динамически генерируемого кода. Совмещение статистики по отдельным блокам и маршрутам позволяет связывать машинные инструкции с понятным исходным текстом через отладочную информацию.

Главная цель гибридного метода — интеграция с технологиями анализа потоков чувствительных данных, таких как пароли или ключи доступа. Наложение карты покрытия кода на пути движения этой информации покажет специалистам по безопасности, какие функции находятся под прицелом хакеров. В сфере безопасной разработки алгоритм поможет выявлять редко выполняемые и плохо протестированные участки кода, где чаще всего кроются скрытые уязвимости.

Чтобы избежать гигантских нечитаемых логов, исследователи предлагают внедрить динамическое сжатие файлов во время выполнения программы или использовать раздельное хранение данных в компактных хеш-таблицах. Как пояснил Довгалюк, конечная цель — создать расширенную таблицу модулей с детальной информацией о каждом процессе, что позволит анализировать систему целиком без математических погрешностей и больших накладных расходов.