15902

15902

روشي براي كاهش فضاي حالت در يك روش تحليل بدافزار مبتني بر بررسي مدل

كارشناسي ارشد

نرم‌افزار

مهر ماه 1394

مهر ماه 1394

دكتر محمد عبداللهي ازگمي

كامپيوتر

چكيده بدافزارها تهديدي دائمي براي كاربران سيستم‌هاي كامپيوتري و اينترنتي هستند و تعداد و پيچيدگي آنها روزبروز درحال رشد است. لذا برخورداري از يك ابزار شناسايي بدافزار كارا امري ضروري است. روش‌هاي مرسوم ايستاي مبتني بر امضا يا روش‌هاي پوياي مبتني بر اجرا در برخي موارد ديگر كارا نيستند. دليل آن اين است كه نويسندگان بدافزارها از شيوه‌هاي مبهم‌سازي و مخفي‌ كردن فراخواني‌هاي سيستمي استفاده كرده و با شيوه‌هاي مختلف امضاي نحوي يا الگوي رفتاري بدافزار را تغيير مي‌دهند. ما قصد داريم از روش بررسي مدل براي شناسايي بدافزار استفاده نماييم و فرايند شناسايي بدافزار را به شيوه‌ي ايستا بجاي اجراي كد يا تحليل دستوري آن، با كمك تحليل رفتاري برنامه دودويي انجام دهيم. از آنجا كه بدافزارهاي مبهم‌سازي‌شده براي مخفي‌كردن فراخواني‌هاي سيستمي از عمليات بر روي پشته استفاده مي‌كنند، براي مدل‌سازي صوري از منطق صوري نسبتاً جديد SCTPL به منظور مشخص كردن رفتارهاي بدخواهانه استفاده مي‌كنيم. اين زبان يك توسعه از منطق صوري انشعاب زماني CTL مي‌باشد كه به همراه متغيرها، مسندها و گزاره‌ها بر روي پشته قابل استفاده است و از آن براي تعريف دقيق ويژگي‌هاي بدافزارها، چه بر روي پشته و يا بر روي ثبات‌هاي پردازنده استفاده مي‌كنيم. كاري كه در انتها بايد انجام دهيم ساده‌سازي مساله‌ي شناسايي بدافزار به يك مساله بررسي‌مدل براي وارسي فرمول صوري بدافزار بر روي يك سيستم پايين‌فشردني است كه از روي برنامه تحت بررسي ساخته شده است. مشكل اصلي شيوه‌هاي بررسي مدل، انفجار فضاي حالت و درنتيجه خطاي كمبود حافظه است. ما براي حل اين مشكل، از روشي استفاده مي‌كنيم كه گراف جريان كنترلي برنامه‌ي مورد تحليل را فشرده‌تر كرده و با حفظ كارايي و عملكرد اصلي برنامه، دستورالعمل‌هاي اسمبلي آن برنامه را به يك زبان مياني ترجمه مي‌كند. سپس برنامه توليدشده براي ساختن CFG مورد استفاده قرار گرفته و درنهايت تبديل به سيستم پايين‌فشردني شده و عمل بررسي مدل بر روي آن انجام مي‌شود. مقايسه‌ها نشان داده كه بررسي مدل يكي از شيوه‌هاي موثر و در مواردي با نسبت تشخيص 100% براي شناسايي ويروس‌هاي چندريختي يا فراريختي و حتي ويروس‌هايي همچون Flame مي‌باشد. كاري كه ما در اين پروژه سعي در انجامش داريم استفاده از شيوه‌هاي بررسي مدل براي مدل‌سازي رفتاري ويروس و بهينه كردن نتايج عملكرد اين الگوريتم‌ها مي‌باشد. بررسي‌كننده‌ي مدلي كه قصد استفاده از آن را داريم Pumoc نام دارد كه دركنار بررسي‌كننده‌ي مدل moped از هر دو زبان پايه CTL و LTL پشتيباني مي‌كند. واژه‌هاي كليدي: شناسايي بدافزار، بررسي مدل، گراف جريان كنترلي، آتاماتاي پايين‌فشردني، فضاي حالت.