Учёные Новгородского государственного университета (НовГУ) и РАН установили, почему популярные антивирусы не замечают скрытые киберугрозы. Причина — несовершенство алгоритмов, сообщил ТАСС кандидат технических наук НовГУ Павел Довгалюк.

По его словам, встроенные счётчики сканеров теряют чувствительность на высоких частотах и не различают разницу между 200 и 2000 повторений потенциально вредоносного цикла. Из-за этого в некоторых приложениях до 75% путей выполнения сливаются воедино, маскируя угрозы. Осложняет ситуацию и то, что злоумышленники прячут вирусы за сжатием и шифрованием — структура кода остаётся невидимой до его исполнения.

Над исследованием работали специалисты Института системного программирования имени Иванникова РАН и Новгородского университета: разработчик ПО Аркадий Иванов и кандидаты технических наук Павел Довгалюк и Наталья Фурсова.

В поисках идеального гибрида

Учёные пришли к выводу: ни один существующий инструмент в чистом виде не годится для точного полносистемного анализа безопасности. По словам Довгалюка, чтобы находить редко выполняемые и потенциально уязвимые участки кода, нужно безошибочно связывать исходный текст с машинными инструкциями. Будущее — за гибридным подходом.

Оптимальный метод должен сочетать оценку покрытия на основе базовых блоков и рёберное покрытие, фиксирующее переходы между блоками. Новый подход не требует изменения исходного кода до запуска программы — это важно для анализа зашифрованных приложений и динамически генерируемого кода.

Главная цель — интеграция с анализом потоков чувствительных данных, таких как пароли или ключи доступа. Наложение карты покрытия на пути движения этой информации покажет, какие функции под прицелом хакеров. В безопасной разработке алгоритм поможет выявлять «слепые зоны» — редко выполняемые и плохо протестированные участки кода, где чаще всего кроются уязвимости.

Чтобы не забивать жёсткие диски огромными логами, исследователи предлагают сжимать файлы во время выполнения программы или хранить данные раздельно в компактных хеш-таблицах. По словам Довгалюка, конечная цель — создать расширенную таблицу модулей с детальной информацией о каждом процессе, чтобы анализировать систему целиком без математических погрешностей и больших накладных расходов.