التمويه (البرمجيات)

يوضح المثال التالي عملية بسيطة لإخفاء شفرة المصدر. كلا البرنامجين يطبعان نفس المخرجات، لكن النسخة الثانية أصعب في الفهم عمداً.

مسح الرمز:

#include <stdio.h>int main ( void ) { int x = 5 ; int y = 7 ; printf ( "%d \n " , x + y ); return 0 ; }

الكود المشفر:

#include <stdio.h> int main (){ int _ = 5 , __ = 7 ; printf ( "%d \n " , _ -~ __ -1 );}

في النسخة المبهمة، تتم إزالة أسماء المتغيرات ذات المعنى وإعادة كتابة التعبيرات الحسابية بشكل أقل قابلية للقراءة، مع الحفاظ على سلوك البرنامج.

يُعدّ تشفير XOR وتشفير Base64 من الطرق الشائعة لإخفاء البرامج الضارة عن برامج مكافحة الفيروسات . وتعمل كلتا الطريقتين عن طريق تغيير شكل الشيفرة الخبيثة في ملفها، مما يمنع برامج الحماية من التعرّف على الأنماط الخطيرة.

في عملية التمويه باستخدام XOR، يختار المهاجم مفتاحًا سريًا ويُطبق عملية XOR الثنائية على ملف البرمجية الخبيثة. يُحوّل هذا الملف التنفيذي إلى ما يبدو كبيانات عشوائية. تختفي أسماء الدوال في جدول الاستيراد، وتتلف رؤوس ملفات PE ، ويفقد الملف بأكمله بنيته. ثم تُدمج الحمولة المُموّهة في برنامج تحميل (Dropper) ، وهو ملف تنفيذي يبدو عاديًا ولكنه يحتوي على البرمجية الخبيثة المخفية كمورد أو قسم بيانات. عندما يُشغّل المستخدم برنامج التحميل، يُجري عملية XOR مرة أخرى باستخدام المفتاح نفسه لإعادة بناء البرمجية الخبيثة الأصلية، ثم يُنفّذها إما مباشرةً من الذاكرة أو يكتبها على القرص قبل تشغيلها. ^{[ 13 ]}

تُزيل هذه العملية العديد من المؤشرات التي تعتمد عليها برامج مكافحة الفيروسات. يتم إخفاء رأس MZ - وهو التوقيع الثنائي "MZ" الذي يُشير إلى بداية كل ملف تنفيذي لنظام ويندوز -تمامًا بواسطة عملية XOR. غالبًا ما تفحص برامج الأمان هذا التوقيع الثنائي عند البحث عن الملفات التنفيذية المُضمنة. يُحقق ترميز Base64 نتائج مماثلة من خلال طريقة مختلفة: فهو يُحوّل البيانات الثنائية إلى نص ASCII بحيث يبدو الملف التنفيذي كنص عادي (بدلاً من أن يبدو كبرنامج).

أظهرت الأبحاث التي أجريت في مسابقة التهرب الأمني ​​باستخدام التعلم الآلي لعام 2020 أن هذه الأساليب قادرة على تجاوز أنظمة الكشف الحديثة. استخدم المشاركون مزيجًا من ترميز XOR، وترميز Base64، وإدخال التعليمات البرمجية غير المستخدمة للتحايل على جميع نماذج المسابقة الثلاثة بأقل من خمس محاولات لكل عينة. كما فشل الكشف القائم على الانتروبيا، وفي بعض الحالات، أدى ترميز Base64 فعليًا إلى خفض الانتروبيا مقارنةً بملفات البرامج الضارة الأصلية. ^{[ 14 ]}

إن بساطة هذه التقنيات هي ما يجعلها خطيرة للغاية. فعمليات التشفير XOR وBase64 لا تتطلب سوى مهارات برمجية أساسية لتطبيقها، ومع ذلك فقد أثبتت فعاليتها ضد مصنفات التعلم الآلي المتقدمة . وقد دفع هذا الأمر باحثي الأمن إلى البحث عن وسائل دفاع جديدة، بما في ذلك أدوات استعادة مفاتيح XOR الآلية والتحليل المعمق للموارد المضمنة في الملفات التنفيذية.

تتوفر أدوات متنوعة لتنفيذ أو المساعدة في إخفاء الشيفرة البرمجية. تشمل هذه الأدوات أدوات بحث تجريبية طوّرها أكاديميون، وأدوات هواة، ومنتجات تجارية كتبها محترفون، وبرامج مفتوحة المصدر . بالإضافة إلى ذلك، توجد أدوات لفك التشفير، تهدف إلى عكس عملية التشفير.

بينما تقوم معظم حلول التمويه التجارية بتحويل إما شفرة المصدر للبرنامج أو الشفرة البايتية المستقلة عن النظام الأساسي، أي الشفرة القابلة للنقل (كما هو مستخدم في Java و .NET )، فإن بعضها يعمل أيضًا بشكل مباشر على الملفات الثنائية المترجمة.

• يمكن العثور على بعض الأمثلة المتعلقة بلغة بايثون في قسم الأسئلة الشائعة الرسمية لبرمجة بايثون وفي مصادر أخرى. ^{[ 15 ] [ 16 ] [ 17 ]}
• يستخدم مُصرّف لغة C الخاص بـ movfuscator لبنية x86_32 تعليمة mov فقط لإخفاء البيانات. ^{[ 18 ] [ 19 ] [ 20 ]}

قد يكون كتابة وقراءة شفرة المصدر المُبهمة لغزاً محيراً . وتُكافئ العديد من مسابقات البرمجة أكثر الشفرات المُبهمة إبداعاً، مثل مسابقة شفرة C المُبهمة الدولية ومسابقة شفرة Perl المُبهمة .

قد تُستخدم برامج بيرل القصيرة والمشفرة في توقيعات مبرمجي بيرل، والمعروفة باسم JAPHs (" مجرد مخترق بيرل آخر "). ^{[ 21 ]}

استكشف علماء التشفير فكرة إخفاء الشيفرة البرمجية بحيث يصعب فك تشفيرها . وقد تمّ إضفاء الطابع الرسمي على هذه الفكرة في العديد من المقترحات المتعلقة بإخفاء عدم التمييز ، وهو عنصر أساسي في التشفير، إذا أمكن بناؤه بشكل آمن، فإنه سيسمح بإنشاء أنواع أخرى كثيرة من التشفير، بما في ذلك أنواع جديدة تمامًا لا يعرف أحد كيفية إنشائها. (أما مفهوم أقوى، وهو إخفاء الصندوق الأسود ، فمن المعروف أنه مستحيل بشكل عام). ^{[ 22 ] [ 23 ]}

تقوم بعض برامج مكافحة الفيروسات، مثل AVG AntiVirus ^{[ 25 ]} ، بتنبيه مستخدميها عند زيارة موقع ويب يحتوي على شفرة برمجية مُشفرة يدويًا، إذ يُعد إخفاء الشفرات البرمجية الخبيثة أحد أهداف التشفير. مع ذلك، قد يلجأ بعض المطورين إلى تشفير الشفرة لتقليل حجم الملفات أو تعزيز الأمان. قد لا يتوقع المستخدم العادي أن يُنبهه برنامج مكافحة الفيروسات بشأن شفرة برمجية غير ضارة، خاصةً من شركات موثوقة، لذا قد تُثني هذه الميزة المستخدمين عن استخدام البرامج المشروعة.

تمنع كل من موزيلا وجوجل إضافات المتصفح التي تحتوي على شفرة مشفرة في متاجر إضافات المتصفح الخاصة بهما ( فايرفوكس وكروم ، على التوالي). ^{[ 26 ] [ 27 ]}

دار نقاش حول ما إذا كان التحايل على تراخيص البرمجيات ذات حقوق النسخ المفتوحة (Copyleft) بنشر شفرة المصدر بصيغة مشوشة يُعدّ مخالفًا للقانون، كما في الحالات التي يتردد فيها المؤلف في إتاحة شفرة المصدر. وقد تناولت رخصة جنو العمومية العامة (GNU GPL) هذه المسألة ، إذ اشترطت إتاحة "الصيغة المُفضّلة لإجراء التعديلات". ^{[ 28 ]} وينص موقع جنو الإلكتروني على أن "شفرة المصدر المشوشة ليست شفرة مصدر حقيقية ولا تُعتبر شفرة مصدر". ^{[ 29 ]}