Android Kötü Amaçlı Yazılım Tarayıcıları, Meşru Uygulamaları ve Eksik Tehditleri Bağlam Olmadan İşaretliyor

Android kötü amaçlı yazılım tarayıcıları, sıradan görünümlü kod kalıplarının arkasına saklanan karmaşık tehditleri sessizce kaçırırken, meşru, yüksek izinli uygulamaları aşırı işaretleyerek gerçek dünya riskiyle giderek daha fazla yanlış hizalanıyor. Bu artan tespit boşluğu, ağır endüstrinin davranış ve yürütme bağlamından ziyade yüzey düzeyinde statik sinyallere güvenmesinden kaynaklanmakta ve hem kullanıcılar hem de güvenlik analistleri arasında güveni aşındıran gürültülü tespitler üretmektedir. Geleneksel Android kötü amaçlı yazılım dedektörleri, uygulamaları istenen izinler, hassas API çağrıları ve çağrı grafiği özellikleri gibi statik sinyallere göre değerlendirir. Bununla birlikte, bu sinyaller yalnızca bir uygulamanın gerçekte ne yaptığını tahmin eder. Yedekleme yöneticileri, ebeveyn kontrol sistemleri veya güvenlik yardımcı programları gibi zengin özelliklere sahip iyi huylu yazılımlar, rutin olarak geniş izinler talep eder ve sadece özellik profilleri eğitim verilerine kıyasla istatistiksel olarak "olağandışı" göründüğü için işaretlenir. Tersine, gelişen kötü amaçlı yazılım aileleri, izlenmeyen API'ler etrafında mantığı yeniden uygular veya iyi huylu çoğunluğa karışmak için göze çarpan izinleri bırakır. Öğrenme tabanlı dedektörler, kavram sürüklenmesi başladığında bu sorunu büyütür: geçmişteki kötü amaçlı yazılım dağıtımları üzerine eğitilmiş modeller, yeni aileler geliştikçe genelleme yapamazlar. Hassas API'leri dilimleyen daha yeni Büyük Dil Modeli (LLM) araçları bile, görünüşte iyi huylu eylemlerin gerçek istismara nasıl dönüştüğünü gözden kaçırarak, saldırı yaşam döngülerini tamamlamak yerine izole çağrı zincirlerini incelemeye devam ediyor. Android Kötü Amaçlı Yazılım Tarayıcıları Meşru Uygulamaları İşaretliyor

Temel sorun, kötü niyetin ham sinyallerin değil, bağlam içinde değerlendirilen eylemlerin doğal bir özelliği olmasıdır: bir uygulamanın ne yaptığı, ne zaman harekete geçtiği ve bu eylemlerin kullanıcı beklentileriyle uyumlu olup olmadığı. Örneğin, bir SMS gönderme işlemi, bir mesajlaşma uygulaması içindeki bir kullanıcı tarafından tetiklendiğinde meşrudur, ancak bir bankacılık taklitçisi sessizce tek seferlik şifreleri (OTP'ler) ele geçirdiğinde ve bunları harici bir sunucuya yönlendirdiğinde kötü niyetlidir.