Опубликовано: 24.10.2026, 07:21
Российские ученые выявили недостатки алгоритмов, из-за которых средства анализа программного обеспечения могут не замечать потенциально опасные участки кода. В некоторых приложениях до 75% путей выполнения объединяются при обработке данных, что затрудняет обнаружение скрытых угроз. Об этом ТАСС сообщил кандидат технических наук Новгородского государственного университета Павел Довгалюк.
Исследователи установили, что встроенные счетчики программных сканеров могут некорректно учитывать многократное выполнение одних и тех же операций. Например, при высокой частоте повторений алгоритм не различает 200 и 2000 запусков потенциально вредоносного цикла. В результате часть информации о работе программы теряется, а опасные участки могут оставаться незамеченными.
Дополнительные трудности возникают при проверке программ, использующих сложные методы сжатия и шифрования. Злоумышленники применяют такие технологии для сокрытия вредоносного кода, структура которого становится доступной для анализа только во время выполнения. Исследование провели специалисты Института системного программирования имени В. П. Иванникова РАН и Новгородского университета Аркадий Иванов, Павел Довгалюк и Наталья Фурсова.
Ученые пришли к выводу, что существующие инструменты по отдельности не обеспечивают необходимую точность полносистемного анализа безопасности. Для обнаружения редко выполняемых и потенциально уязвимых участков требуется надежно сопоставлять исходный код программы с машинными инструкциями. Решением исследователи считают сочетание нескольких методов проверки.
Предложенный гибридный подход объединяет анализ покрытия базовых блоков программы и учет переходов между ними. Первый метод позволяет определить, какие части кода выполнялись, а второй фиксирует маршруты их выполнения. Совместное использование этих данных дает более полную картину работы приложения.
Важная особенность подхода заключается в отсутствии необходимости заранее изменять исходный код проверяемой программы. Это позволяет применять метод при исследовании зашифрованных приложений и программного кода, который формируется непосредственно во время работы системы. Для сопоставления машинных инструкций с исходным текстом используется отладочная информация.
В дальнейшем ученые рассчитывают объединить гибридный анализ с технологиями отслеживания потоков конфиденциальных данных, включая пароли и ключи доступа. Сопоставление маршрутов движения такой информации с картой выполнения программы поможет определять функции, которые могут представлять интерес для злоумышленников. Метод также предназначен для поиска редко используемых и недостаточно протестированных участков, где могут находиться скрытые уязвимости.
Отдельной задачей исследователи назвали сокращение объема данных, собираемых при проверке программ. Для этого предлагается сжимать файлы непосредственно во время выполнения кода либо раздельно хранить статистику в компактных хеш-таблицах. Такой подход должен уменьшить объем записываемой информации и расходы ресурсов на ее обработку.
Конечная цель разработки, по словам Довгалюка, заключается в создании расширенной таблицы модулей с подробными сведениями о каждом процессе. Раздельное хранение статистики и новые форматы записи должны обеспечить анализ всей системы с меньшими математическими погрешностями и накладными расходами.
Главные новости технологий – в Техносовете в MAX