В НовГУ выяснили, почему популярные антивирусы пропускают до 75% скрытых киберугроз

02 ноября 2026, 13:09   30

Популярные инструменты кибербезопасности ошибаются при поиске уязвимостей в программах: из-за несовершенства алгоритмов в некоторых приложениях до 75% путей выполнения сливаются воедино, маскируя потенциальные угрозы. Как поясняет кандидат технических наук НовГУ Павел Довгалюк, встроенные счетчики таких сканеров «слепнут» на высоких частотах, не замечая разницы между 200 и 2000 повторений потенциально вредоносного цикла. Ситуация усугубляется тем, что злоумышленники прячут вирусы за сложными алгоритмами сжатия и шифрования, из-за чего структура кода остается невидимой вплоть до момента его исполнения внутри системы.

Над исследованием работала группа специалистов Института системного программирования имени Иванникова РАН и Новгородского университета: разработчик ПО Аркадий Иванов, кандидаты технических наук Павел Довгалюк и Наталья Фурсова.

В поисках идеального гибрида

Ученые пришли к выводу: ни один из существующих инструментов в чистом виде не подходит для точного полносистемного анализа безопасности.

— Если мы хотим точно выявлять поверхность атаки и находить редко выполняемые, а значит потенциально уязвимые участки кода, нам необходимо безошибочно связывать исходный текст с машинными инструкциями, — подчеркивает Павел Довгалюк. — Будущее в этой сфере за гибридным подходом.

Чтобы успешно обходить хакерские преграды, оптимальный метод должен органично сочетать в себе сразу две технологии: оценку покрытия на основе базовых блоков и реберное покрытие, которое скрупулезно фиксирует переходы между этими блоками. Новый подход не требует предварительного вмешательства и изменения исходного кода до запуска программы. Это критически важно для анализа сложных зашифрованных приложений и динамически генерируемого кода, который создается системой буквально на лету. Совмещение статистики по отдельным блокам и маршрутам дает исчерпывающий объем данных, позволяя безошибочно связывать машинные инструкции с понятным исходным текстом через отладочную информацию.

Умное хранение и практика применения

Главная цель гибридного метода заключается в интеграции с технологиями анализа потоков чувствительных данных, таких как пароли или ключи доступа. Наложение карты покрытия кода на пути движения этой информации покажет специалистам по безопасности, какие именно функции находятся под прицелом хакеров. В сфере безопасной разработки новый алгоритм поможет безошибочно выявлять «слепые зоны» — редко выполняемые и плохо протестированные участки кода, где чаще всего кроются скрытые уязвимости.

Чтобы не забивать жесткие диски гигантскими нечитаемыми логами, исследователи предлагают внедрить динамическое сжатие файлов прямо во время выполнения программы или использовать раздельное хранение данных в компактных хеш-таблицах.

— Наша конечная цель не просто собрать адреса выполненных команд, а создать расширенную таблицу модулей с детальной информацией о каждом процессе, — объясняет Павел Довгалюк. — Раздельное хранение статистики и внедрение новых форматов записи позволит нам анализировать систему целиком, избегая математических погрешностей и огромных накладных расходов.

Авторы исследования уверены, что только комплексный полносистемный подход позволит специалистам видеть программу насквозь в реальных условиях, не оставляя нарушителям шансов спрятать вредоносный код за хитрой оптимизацией компилятора или системными исключениями.

Эту и другие новости читайте в официальном МАХ-канале Новгородского университета.