Useissa tapauksissa haittaohjelmat estävät havaitsemisen skannaamalla moottoreita ja menemättä vahingoittumatta muuttamalla sen rakennetta ja käyttäytymistä. Tätä attribuuttia (kun sitä esiintyy suurissa määrissä) voidaan kuitenkin käyttää eri tyyppisten haittaohjelmien etsimiseen ja uusien kantojen havaitsemiseen. Turvallisuustutkijan Silvio Cesaren julkaisemassa viimeaikaisessa tutkimuksessa korostetaan, että haittaohjelmien kantoja voidaan tunnistaa perintö. Tutkija kehitti mallin nimeltä Simseer kykenevä tunnistamaan plagioitu ohjelmisto ja luoda haittaohjelmien välinen suhde.
Miten Simseer toimii
Sinun on lähetettävä haittaohjelmalle sisältävä Zip-arkisto Simseerille. Maksimikoko on 100 000 tavua. Näytteen tiedostonimen on oltava aakkosnumeerinen tai jaksoja ja vain PE-32 ja ELF-32-suoritustiedostoja. Enintään 20 hakemusta voidaan sallia päivässä.
Simseer-palvelimet ryhmittävät näytteet klustereiksi, sitten tutustu tuntemattomaan näytteeseen tunnettujen malwareperheiden samankaltaisuudesta ja tunnista uusia. Sen jälkeen näkyy vasemmalla oleva evoluutiopuu, jossa näkyy olemassa olevan ja uuden koodin väliset suhteet. Mitä lähempänä ohjelmia puussa on, sitä lähempänä ne ovat läheisiä ja todennäköisesti kuuluvat samaan perheeseen. Uusia kantoja, jos niitä löydetään, luetteloidaan erikseen, kun ne ovat alle 98 prosenttia samanlaisia kuin olemassa oleva kanta.
Simseer-tietokannan ylläpitämiseksi Cesare lataa raakamaksaohjelmakoodin avoimelta haittaohjelmien jakamisverkolta VirusShare ja muilta lähteiltään, jotka sisältävät 600- 16 Gt: n tietoja algoritmeihin joka ilta.
Via AusCERT 2013.
