يشهد كل عام ظهور دودة كمبيوترية جديدة أكبر وأسوأ من سابقاتها لتجتاح الشبكة العنكبوتية. وعلى الرغم من أن البرمجيات الخبيثة الجديدة تبدو وكأنها تأتي من العدم، فإن كلاً منها له تاريخه. وقد يؤدي فهم أوجه التشابه العائلية إلى تسريع استجابتنا لأية تهديدات مستقبلية.

ونقلت مجلة "نيو ساينتست" العلمية المتخصصة، في تقرير نشرته أخيراً، عن الباحث جوش ساكس من مختبرات شركة "إنفنسيا" الواقعة في فيرفاكس بولاية فرجينيا الأميركية قوله: "تتمثل رؤيتنا في تأسيس قاعدة بيانات للبرمجيات الخبيثة على امتداد العالم، يستطيع الناس استخدامها لتبادل وجهات النظر". وذكرت المجلة أن نظام شركة "إنفنسيا" يستند إلى طريقة جديدة لتصنيف البرمجيات الخبيثة، التي يستخدمها قراصنة الإنترنت لسرقة كلمات السر، وإرسال الرسائل غير المرغوب فيها، والقيام بغير ذلك من الأنشطة الشائنة.

نهج جديد

ويتم إنتاج البرمجيات الخبيثة بمعدل مذهل إلى درجة أن خبراء الحماية عكفوا على وضع آلية لتصنيف السلالات الجديدة. غير أن الكثير من خططهم تستند إلى تحليلات لشيفرة البرمجية الخبيثة، التي يستطيع القراصنة إخفاءها في كثير من الأحيان. أما النهج الجديد، فيركز، بدلاً من ذلك، على سلوك البرمجيات الخبيثة نفسه.

وجرب ساكس وزملاؤه أفكارهم على أكثر بقليل من 100 ألف عينة من البرمجيات الخبيثة جمعت في الفترة بين فبراير 2011 ويونيو 2012. حيث شغل الفريق كل برمجية خبيثة وسجل الاتصال بين البرنامج والجهاز الذي كان يعمل عليه. ويتألف هذا الاتصال من "نداءات"، مثل طلبات قراءة محتويات ملف معين. وغالباً ما تنتج سلالات البرمجيات الخبيثة المختلفة عشرات الألوف من هذا النوع من النداءات.

وبعد مراقبة سلوك العديد من السلالات، أصبح ساكس وزملاؤه قادرين على تقسيم بيانات الاتصال إلى كتل تحتوي على تسلسلات محددة من النداءات التي تكررت عبر عدة عينات مختلفة. وتمثل هذه الكتل نتيجة لإعادة استخدام مؤلفي البرمجيات الخبيثة لشيفرات من سلالات أقدم. وقد استخدم الفريق هذه الكتل لتصنيف السلالات إلى ما يسميه ساكس بـ"عائلات البرمجيات الخبيثة". وعرض ساكس عمله في مؤتمر أنظمة معالجة المعلومات العصبية الذي عقد أخيراً بولاية نيفادا الأميركية.

وسوف يتمكن المحللون من استخدام فهرس عائلات البرمجيات الخبيثة هذا لتبادل المعلومات المتعلقة بالتهديدات الجديدة. ويمكن لأداة من هذا النوع أن تكون مفيدة للغاية، لأن شقاً كبيراً من التعاون الذي يحصل في مجتمع الحماية يكون وليد ساعته. وفي حين أن فرقاً من الباحثين تجتمع أحياناً معاً لمعالجة التهديدات الجديدة، فإن التحليلات المفصلة للسلالات الناشئة تجرى عادة في الوقت نفسه وبشكل مستقل.

بديل مناسب

ويقدم نظام "إنفنسيا" بديلاً مناسباً. فهو يمكن المحللين من إرفاق ملاحظات بكتل النداءات المتسلسلة، وفي حال أنتجت سلالة جديدة ما كتلة مماثلة، فإن تلك الملاحظات تظهر، وهو ما من شأنه أن يسمح للمحللين الآخرين بالسيطرة على السلالة الجديدة بسرعة أكبر.

ويقول غانتر أولمان، كبير مسؤولي التكنولوجيا في شركة "آي أو أكتيف" في سياتل، إن النظام الجديد يمكن المحللين أيضاً من تكوين فكرة عن مجموعات عائلات البرمجيات الخبيثة، وهو ما قد يساعدهم في تحديد أسلاف السلالات الجديدة ومؤلفيها. إلا أنه يحذر من أن هذا النوع من مشاركة المعلومات يمكن أن تعرقله الاختلافات التقنية بين أنظمة المحللين. ويعتبر مشروع "إنفنسيا" أحد عدة مشاريع ممولة في إطار "برنامج الجينوم السيبراني"، الذي تديره وكالة مشاريع البحوث المتقدمة التابعة لوزارة الدفاع الأميركية.

ومن شأن نتائجه، التي لم يتم الإعلان عن كثير منها، أن تستخدم لتأمين شبكات الكمبيوتر التي تديرها وزارة الدفاع.

ويقول ساكس: "إننا نحاول أن نسمح للناس باتخاذ خيارات أكثر ذكاءً فيما يتعلق بما ينبغي تحليله لتجنب التكرار. ونحاول أيضاً أن نضاعف كفاءة المحللين".