ارائه راهکاری برای تشخیص زودهنگام و خنثی سازی حملات تزریق کد و کتابخانه در بدافزارها

آهنگ رشد بدافزارها در سال­های اخیر به­صورت فزآینده­ای افزایش یافته است. همچنین رفتار بدافزارهای جدید در حال مبهم­تر شدن و پیچیده­تر شدن است. این مقاله ضمن تشریح روش­های موجود برای تشخیص بدافزار به­صورت خاص بر روی تشخیص زودهنگام حملات تزریق کد و کتابخانه متمرکز شده است. بدافزارهای نوین با تزریق کد بدخواه در فایل باینری و یا حافظه اجرایی برنامه­های مجاز سعی در مبهم­سازی و مخفی­سازی رفتار خود دارند. روش پیشنهادی این مقاله با داده­کاوی در حجم انبوه بدافزار، زنجیره فراخوانی­های رفتار مخرب تزریق کد/کتابخانه را به­وسیله نصب قلاب­های شنودگر در فضای هسته سیستم­عامل استخراج و بر اساس تابع رگرسیون خطی مدل­سازی  می­کند. روش پیشنهادی برای تشخیص زود هنگام حمله از یادگیری مبتنی بر قواعد انجمنی بر اساس الگوریتم Apriori استفاده می­کند و قادر است حملات را قبل از کامل شدن و از بین رفتن کنترل جریان اجرایی برنامه قربانی تشخیص دهد. همچنین روش پیشنهادی می­تواند از وقوع حمله با انسداد فراخوانی ایجاد نخ راه دور جلوگیری کند. در انتها این مقاله دقت روش پیشنهادی خود در تشخیص بدافزارهای کلاس تزریق­کننده را با مجموعه داده جمع­آوری­شده از مراجع معتبر ارزیابی و در شرایط یکسان با ابزارهای ضدبدافزار موجود مقایسه می­کند. نتایج ارزیابی نشان می­دهد که روش پیشنهادی می­تواند با دقت نزدیک به 94% حملات تزریق کد/کتابخانه را تشخیص دهد. همچنین ضریب موفقیت سامانه خود حفاظتی پیشنهادی در مواجهه با حملات تزریق کد/کتابخانه 88/88 سنجش شده است.

Keywords:

تحلیل بدافزار , کشف جاسوس افزار , تزریق کد , خود حفاظتی , مبهم سازی , مخفی سازی