Daugeliu atvejų kenkėjiška programa išvengia nuskaitymo varikliams aptikimo, o jos būklė ir elgsena pasikeičia nepakitę. Tačiau šis vienas atributas (esant dideliam kiekiui) gali būti naudojamas norint nustatyti skirtingų kenkėjiškų programų tipus ir aptikti naujus štamus. Saugumo tyrėjo Silvio Cesare paskelbtame tyrime pabrėžiama, kad jų kenkėjai gali būti identifikuojami paveldas. Tyrėjas sukūrė vadinamąjį modelį Simseer galintis nustatyti plagiarizuotą programinę įrangą ir nustatyti kenkėjiškos programos ryšį.
Kaip veikia "Simseer"?
"Simseer" turite pateikti zip archyvą, kuriame yra kenkėjiška programa. Maksimalus failo dydis yra 100 000 baitų. Pavyzdžio failo pavadinimas turi būti: raidinis skaitmeninis arba laikotarpiai ir tik PE-32 ir ELF-32 vykdomi failai. Maksimalus 20 pateikimas per dieną yra leidžiamas.
"Simseer" serveriai grupuoja pavyzdžius į grupes, tada nuskenuoja nežinomą pavyzdį, panašų į žinomas kenkėjiškų programų šeimos, ir nustato naujus. Tada ekrane rodomas evoliucinis medis, rodantis esamo ir naujojo kodo santykius. Kuo arčiau programos yra medyje, tuo arčiau jie yra susiję ir greičiausiai priklauso tai pačiai šeimai. Nauji padermiai, jei rasta, yra katalizuojami atskirai, kai jie yra mažesni nei 98%, panašūs į esamą padermę.
Norėdami išsaugoti "Simseer" duomenų bazę, "Cesare" atsisiunčia žaliavinio kenkėjiškų programų kodą iš atvirų kenkėjiškų programų tinklo "VirusShare" ir kitų šaltinių, kiekvieną vakarą į jo algoritmus perduodama nuo 600 MB iki 16 GB duomenų.
Via AusCERT 2013.
