मोबाइल खतरा डिटेक्शन टेक्नोलॉजीज। मूल अनुरेखण ™ के बारे में थोड़ा

प्रिय हैबरवेंच, हमने आपको बार-बार एंड्रॉइड के लिए खतरों के बारे में बताया है और, शायद, पहले से ही कुछ संशय खा चुके हैं। आज हम आपको इस मोबाइल प्लेटफॉर्म के लिए मैलवेयर के बारे में नहीं, बल्कि बात करने के लिए आमंत्रित करेंगे, लेकिन इसका पता लगाने के लिए इस्तेमाल की जाने वाली तकनीकों के बारे में। और चलो हमारी कहानी शुरू करते हैं, शायद, एंड्रॉइड के लिए Dr.Web में ओरिजिन्स ट्रेसिंग तकनीक को लागू किया गया है।

आज इस विषय पर आपके सभी प्रश्नों का उत्तर कुछ विपणन विशेषज्ञों द्वारा नहीं, बल्कि अलेक्जेंडर गोर्याचेव द्वारा दिया गया है, जो कि अन्य गंभीर खतरों पर डॉक्टर वेब के विश्लेषक हैं।

Android के लिए Dr.Web के मुख्य आकर्षण में से एक है ओरिजिन्स ट्रेसिंग तकनीक। यह दिलचस्प है कि यह उत्पाद के जन्म के साथ एक साथ दिखाई नहीं दिया, लेकिन बाद में इसे स्थानांतरित कर दिया गया। डॉक्टर वेब कर्मचारियों द्वारा विशेष रूप से बनाई गई एक अनोखी तकनीक, ऑरिजिंस ट्रेसिंग विभिन्न प्रकार के मैलवेयर का पता लगाने के लिए एंटीवायरस की क्षमता में काफी वृद्धि कर सकती है। प्रौद्योगिकी का सार यह है कि प्रत्येक खतरे के लिए व्यवहार एल्गोरिथ्म का विवरण बनाया जाता है, जिसे एंटी-वायरस डेटाबेस में जोड़ा जाता है। ऐसा एक रिकॉर्ड दुर्भावनापूर्ण अनुप्रयोगों के पूरे परिवार को कवर करने के लिए काफी हो सकता है, जिसके कारण इस परिवार से नए संशोधनों और संस्करणों का पता लगाना एंटी-वायरस प्रयोगशाला में उनके प्रारंभिक विश्लेषण के बिना सुनिश्चित किया जा सकता है। इसी समय, वायरस के आधार की मात्रा काफी कम हो जाती है, क्योंकि प्रत्येक विशिष्ट नमूने के लिए रिकॉर्ड करने की कोई आवश्यकता नहीं है, और यह विधि कई एंटी-वायरस विक्रेताओं के लिए मुख्य थी। हम सभी रहस्यों को उजागर नहीं कर सकते, लेकिन हम आपको ओरिजिन्स ट्रेसिंग की मुख्य विशेषताओं के बारे में कुछ बताएंगे।

सबसे पहले, आइए याद करें कि मूल एंड्रॉइड एप्लिकेशन कैसा दिखता है: एपीके एक्सटेंशन के साथ मुख्य सॉफ्टवेयर पैकेज (उदाहरण के लिए, SuperGame.apk) सभी एप्लिकेशन घटकों वाले एक मानक ज़िप संग्रह है। इसके अंदर AndroidManifest.xml फ़ाइल है, जो एप्लिकेशन के नाम, इसके संस्करण, उपयोग किए गए पुस्तकालयों, सेवाओं, साथ ही संचालन के लिए आवश्यक कार्यों को इंगित करता है; एप्लिकेशन का एक डिजिटल हस्ताक्षर है, साथ ही साथ डेक्स फाइल, classes.dex Dalvik वर्चुअल मशीन (Dalvik VM) में ऑपरेशन के लिए संकलित मुख्य निष्पादन योग्य कोड (Dalvik एक्ज़ीक्यूटेबल) है। यह डेक्स फ़ाइल है जो प्राथमिक हित की है, क्योंकि अधिकांश दुर्भावनापूर्ण प्रोग्राम किसी भी तरह एंड्रॉइड एप्लिकेशन को एक मानक एंड्रॉइड के रूप में कार्य करते हैं - डाल्विक वर्चुअल मशीन में।

एंटीवायरस के साथ अनुप्रयोगों को स्कैन करते समय, ऑरिजिंस ट्रेसिंग तकनीक एक डेक्स फ़ाइल के लिए एक विशिष्ट मॉडल बनाती है, जो एक मध्यवर्ती बायोटेक में विघटन पर आधारित है। वायरस डेटाबेस में ऐसे मॉडल की जानकारी होती है। मौजूदा विशेष दूरी फ़ंक्शन एक मॉडल की समानता को दूसरे के साथ निर्धारित करने में सक्षम है, जिसके कारण खतरों का पता लगाया जाता है।

एक उदाहरण के साथ मूल अनुरेखण के काम पर विचार करें:

प्रीमियम नंबर (Android.SmsSend के विशिष्ट प्रतिनिधि) को भुगतान किए गए एसएमएस संदेश भेजने के लिए डिज़ाइन किए गए दो दुर्भावनापूर्ण एप्लिकेशन हैं। स्क्रीनशॉट से पता चलता है कि मुख्य निष्पादन योग्य फ़ाइल आकार में भिन्न है (क्रमशः 194 424 और 233 728 बाइट्स):


AndroidManifest.xml के अनुसार, दोनों अनुप्रयोगों का एक ही नाम rreh.nyur और संस्करण 1.0 है। अब उन्हें सीधे अपने मोबाइल डिवाइस पर विचार करें।





दोनों अनुप्रयोगों का डिज़ाइन और संचालन पूरी तरह से एक ही है। अब देखते हैं कि Android के लिए Dr.Web इन कार्यक्रमों पर क्या प्रतिक्रिया देता है:


जैसा कि हम देखते हैं, पहचान के दौरान खतरों के नाम में उपसर्ग है। इसका मतलब यह है कि इसमें दिए गए मानदंडों के आधार पर ऑरिजिंस ट्रेसिंग तकनीक ने 114 वें उपपरिवार के Android.SmsSend परिवार के अगले प्रतिनिधियों की खोज की है।

निष्पादन योग्य डेक्स फ़ाइल (जैसा कि हमने पहले स्क्रीनशॉट में देखा था) के आकार में अंतर, समान दुर्भावनापूर्ण कार्यक्रमों के बीच, जैसे कि जांच किए गए एसएमएस ट्रोजन, अक्सर वायरस लेखकों द्वारा मानक हस्ताक्षर पहचान विधि का उपयोग करके एंटीवायरस द्वारा पता लगाने से बचने के प्रयासों के कारण होते हैं। इसके लिए, सरल चाल का उपयोग किया जा सकता है, उदाहरण के लिए, एप्लिकेशन स्रोत कोड में कक्षाओं, कार्यों और चर के नाम को बदलना। इस तरह के कोड को संकलित करने के बाद, परिवर्तित सामग्री के साथ एक डेक्स फ़ाइल प्राप्त होगी, जो अब वायरस डेटाबेस में मौजूदा हस्ताक्षर के अनुरूप नहीं होगी, जो बदले में, पारंपरिक हस्ताक्षर विधि द्वारा पता लगाने से रोक सकती है।

ऑरिजिंस ट्रेसिंग तकनीक का एक बड़ा फायदा यह है कि यह एक गैर-हस्ताक्षर पद्धति का उपयोग करता है, और यह अक्सर दुर्भावनापूर्ण कार्यक्रमों के अद्यतन या संशोधित संस्करणों के साथ-साथ दुर्भावनापूर्ण कार्यक्रमों का पता लगाने के साथ अधिक प्रभावी ढंग से निपटने की अनुमति देता है।

प्रौद्योगिकी का एक अन्य लाभ न केवल संशोधित, बल्कि एम्बेडेड कोड का पता लगाने की क्षमता है।
यह स्थिति Android.Gongfu, Android.DreamExploid, Android.Geinimi, Android.ADRD और अन्य के लिए विशिष्ट है। Android.SmsSend या व्यावसायिक स्पाइवेयर जैसे मैलवेयर के विपरीत, जो आत्मनिर्भर हैं, ये परिवार घुसपैठियों द्वारा वैध अनुप्रयोगों में फैले हुए हैं। मूल अनुरेखण विज्ञापन मॉड्यूल के साथ भी मेल खाता है, जैसे कि Adware.Airpush, Adware.Startapp, आदि, जो जानबूझकर डेवलपर्स या बेईमान लोगों द्वारा अनुप्रयोगों में एकीकृत किए जाते हैं जब वे संशोधित होते हैं।