شناسایی بدافزارهای فراریخت با ترکیب تحلیل ایستا و پویا

بدافزارنویسان از فنون متعددی استفاده می کنند تا روش کشف نرم افزارهای ضد بدافزار را خنثی کنند. یکی از این روش های موثر، فراریخت کردن بدافزار با فنون مبهم سازی است. فراریختی ساختار کد را آن چنان تغییر می دهد که ضمن حفظ رفتار بدافزار، ساختار و الگوی کد آن عوض شود. پژوهش گران به تازگی روشی برای کشف بدافزارهای فراریخت پیشنهاد کرده اند که بر اساس تحلیل ایستای کد بدافزار کار می کند. مسئله اینجاست که کاربست بعضی از فنون مبهم سازی، اثربخشی تحلیل های ایستا را در کشف بدافزار فرایخت کم می کند. برای غلبه بر این مشکل، مقاله حاضر علاوه بر تحلیل ایستا، تحلیل پویایی نیز روی بدافزار انجام می دهد. روش جدید، اطلاعاتی از تحلیل ایستا و تحلیل پویا استخراج و سپس این دو گونه اطلاع را با هم ترکیب می کند و حاصل برای آموزش یک دسته بند مورد استفاده قرار می گیرد. دسته بند حاصل برای شناسایی نمونه فراریخت شده جدیدی از یک خانواده بدافزار مورد استفاده قرار می گیرد. در حقیقت، ترکیب اطلاعات حاصل از تحلیل ایستا و پویا سعی می کند بر نقاط ضعف هر کدام غلبه کند و در مجموع اثربخشی بهتری داشته باشد. به منظور ارزیابی روش پیشنهادی، آزمایش هایی بر روی 450 فایل متشکل از فایل های سالم و پنج خانواده بدافزار فراریخت از ویروس ها و کرم هایG2, MPCGEN, MWOR, NGVCK, VLC انجام شده است. آزمایش ها در سه حالت انجام شده اند: تحلیل ایستا، تحلیل پویا و ترکیب آن دو. نتایج مقایسه نشان می دهد که شناسایی بر پایه فقط تحلیل ایستا یا پویا اغلب با دقت صددرصد انجام نمی شود. با این حال، کشف بدافزار فراریخت با ترکیب اطلاعات حاصل از تحلیل ایستا و پویا به طور سازگار توانسته به دقت کشف صددرصدی دست پیدا کند که با معیار ROC اندازه گیری شده است.