Hvordan oppdager maskinlæring skadevare? En steg-for-steg-forklaring

Kortversjonen: signaturbasert antivirus er som en vakt med en fotobok – er ikke ansiktet ditt i boken, slipper du inn. Maskinlæringsdeteksjon er som en vakt som har studert tusenvis av slåsskamper og lært seg å lese kroppsspråk – selv om du er ukjent, avslører måten du bærer deg på deg. Det skillet er det som skiller «vi stoppet gårsdagens virus» fra «vi stoppet et zero-day-angrep ingen hadde katalogisert ennå.» Nedenfor: hva signaturer faktisk gjør, hvorfor de ikke er nok, hvordan ML-klassifiserere fungerer, de tre viktigste tilnærmingene, hva Casper's Cloak gjør spesifikt på nettverkslaget, og de ærlige begrensningene.

Signaturbasert vs. ML-basert deteksjon – en oversikt

Før vi går inn i mekanikken, her er en overordnet sammenligning. Begge tilnærmingene har sin plass; spørsmålet er hvilke trusler hver av dem håndterer best.

Det praktiske svaret er «bruk begge.» Signaturer er raske og presise for kjente trusler; ML fanger opp de nye. De fleste moderne sikkerhetsprodukter lagdeler dem. Det interessante spørsmålet er hvordan ML-delen fungerer – og det er det vi bruker resten av denne artikkelen på.

Hva signaturbasert deteksjon gjør (og hvorfor det ikke er nok)

Signaturbasert deteksjon er konseptuelt enkelt: en sikkerhetsanalytiker analyserer et nytt stykke skadevare, trekker ut en unik bytesekvens («signaturen»), og legger den til i en database. Hver fil antivirusprogrammet ditt skanner, sammenlignes mot denne databasen. Treff funnet? Satt i karantene. Ingen treff? Rent.

Denne modellen fungerte godt gjennom tidlig 2000-tall da ny skadevare dukket opp i en takt av titalls per dag, og menneskelige analytikere klarte å holde tritt. AV-TEST Institute registrerer nå over 450 000 nye skadelige programmer og potensielt unødete applikasjoner per dag. Ingen gruppe med menneskelige analytikere skriver 450 000 signaturer per dag. Til og med automatisert signaturgenering klarer ikke å holde tritt, fordi skadevareforfattere bruker polymorfi – de endrer kodebytesekvensen ved hver distribusjon mens atferden bevares. Et polymorfisk virus kan ha tusen varianter, hver med en annen hash, og hver krever en annen signatur. Spillet er rigget mot statisk mønstermatching.

Det andre problemet er eksponeringsvinduet. Fra det øyeblikket en ny skadevare dukker opp i naturen til signaturen for den sendes til enheten din, er det en periode uten beskyttelse. Den perioden var i gjennomsnitt 24–48 timer i 2020; med raskere pipeline-automatisering er den kortere nå, men den er aldri null. I løpet av den perioden er signaturbasert antivirus fullstendig blind for den nye trusselen. Det er der zero-day-angrep lever.

Det tredje problemet er mobil. Tradisjonell signaturbasert skanning krever at alle filer skannes mot en stor database – en operasjon som tapper batteriet og krever lagringsplass for selve signaturdatabasen. iOS tillater ikke engang at apper skanner andre appers filer. På mobil er det enten upraktisk (Android-batteridrenasje) eller arkitektonisk umulig (iOS-sandkasse) å kjøre en tradisjonell AV-motor i bakgrunnen. Deteksjonen må skje et annet sted.

Hvordan ML-modeller lærer hva «ondsinnet» ser ut som

Maskinlæringsdeteksjon tar en fundamentalt annerledes tilnærming. I stedet for å memorere individuelle skadevareeksemplarer trener du en modell på funksjoner – målbare egenskaper som tenderer til å skille seg mellom ondsinnet og godartede programmer (eller ondsinnet og godartet nettverksatferd). Modellen lærer en beslutningsgrense: «ting med disse funksjonskombinasjoner er sannsynligvis ondsinnede; ting med de kombinasjonene er sannsynligvis trygge.»

Steg 1: Samle inn et treningsdatasett

Du trenger merkede eksempler – kjente ondsinnede prøver og kjente godartede prøver. For filbasert ML betyr dette typisk millioner av PE-filer (Portable Executable) fra trusselsetterretningsfeeder, offentlige arkiver som VirusTotal, bedriftshoneypotter og konsortier for deling av skadevare. For nettverksbasert ML betyr det merkede DNS-spørringslogger, nettverksflyteregistreringer og metadata om domeneregistrering – millioner av kjente ondsinnede domener og millioner av kjente godartede.

Steg 2: Trekk ut funksjoner

Rådata er ikke direkte nyttig for en klassifiserer. Du transformerer hver prøve til en funksjonsvektor – en liste med tall som beskriver egenskapene. For en Windows-kjørbar fil kan funksjoner inkludere: entropien til hver kodedel (pakket/kryptert kode har høyere entropi), importerte API-kall (skadevare har en tendens til å importere prosessinjeksjon og registerredigerings-APIer), forholdet mellom lese-skrive- og skrivebeskyttede seksjoner, om filen har en gyldig digital signatur, strengmønstre i binærfilen. For et domenenavn kan funksjoner inkludere: domenealdre, registrar, WHOIS personvernstatus, TLS-sertifikatattributter, DNS-rekordhistorikk, leksikalsk struktur av selve domenenavnet.

Steg 3: Tren en klassifiserer

Med merkede funksjonsvektorer for hånden trener du en maskinlæringsmodell – gradientboostede trær (XGBoost, LightGBM), tilfeldige skoger, dype nevrale nettverk, eller ensemblekombinasjoner av flere. Modellen lærer hvilke funksjonskombinasjoner som korrelerer med «ondsinnet» og hvilke som korrelerer med «godartet.» Kryssvalidering og holdout-testsett sikrer at modellen generaliserer til usette prøver i stedet for å memorere treningssettet.

Steg 4: Distribuer for inferens

Den trente modellen distribueres der den kan gi poeng til nye prøver i sanntid. For filbasert deteksjon er det vanligvis en endepunktsagent på brukerens enhet eller en sky-sandkasse. For nettverksbasert deteksjon er det en klassifiserer som sitter inline på DNS-resolveren eller nettverksproxyen. En ny prøve ankommer, funksjoner trekkes ut, modellen gir den poeng (typisk som en sannsynlighet mellom 0,0 og 1,0), og en terskelverdi bestemmer handlingen – blokker, tillat, eller flagg for menneskelig gjennomgang.

Den kritiske forskjellen fra signaturer: modellen har aldri sett denne spesifikke prøven før, men den gjenkjenner mønsteret. En ny polymorf variant av eksisterende løsepengevare endrer bytesekvensen sin, men importerer fortsatt de samme krypterings-APIene, har fortsatt høyentropideler, mangler fortsatt et gyldig sertifikat – modellen fanger det opp fordi funksjonene samsvarer med det ondsinnede mønsteret, selv om ingen menneskelig har skrevet en regel for denne varianten.

De tre viktigste ML-tilnærmingene til skadevaredeteksjon

ML-basert deteksjon er ikke én ting – det er minst tre forskjellige tilnærminger, som hver opererer på et annet lag i stakken og fanger opp forskjellige kategorier av trusler.

1. Statisk analyse: inspeksjon av filen uten å kjøre den

Statiske ML-modeller analyserer filens struktur, metadata og innhold uten å utføre den. Funksjoner inkluderer PE-headerattributter, seksjonsentriopi, importtabeller, innebygde strenger, ressursmetadata, pakkeridentifikasjon, og i økende grad rå bytesekvenser matet inn i konvolusjonsnevrale nettverk som lærer sine egne funksjoner direkte fra binærfilen.

Styrker: rask (ingen sandkasseeksekution nødvendig), skaleres til millioner av filer, fanger mange standardtrusler. Svakheter: kan unngås av obfuskering, pakking eller metamorf kode som omstrukturerer seg selv. En tilstrekkelig motivert angriper kan transformere den binære filen til de statiske funksjonene ser godartede ut. MITRE ATT&CK-rammeverket dokumenterer disse unngåelsesteknikker under Defense Evasion (TA0005).

2. Dynamisk/atferdsanalyse: kjøre filen og se hva den gjør

Dynamisk analyse utfører mistenkelig fil i en sandkasse (en instrumentert virtuell maskin) og registrerer dens kjøretidsatferd: hvilke filer den leser og skriver, hvilke registernøkler den endrer, hvilke nettverkstilkoblinger den åpner, hvilke prosesser den starter, hvilke systemkall den gjør. En ML-modell trent på disse atferdssporene kan klassifisere prøven basert på hva den gjør, ikke hvordan den ser ut.

Styrker: mye vanskeligere å unngå – selv om binærfilen er obfuskert, må atferden utfolde seg for at skadevaren skal nå målet sitt. Løsepengevare må kryptere filer; en keylogger må hekte seg på tastaturet; et C2-beacon må ringe hjem. Atferden er sannheten. Svakheter: treg (sandkasseeksekution tar sekunder til minutter), kostbar (VMer bruker ressurser), og noe skadevare oppdager sandkasser og nekter å utføre. Sandkasseunngåelse er sitt eget katt-og-mus-spill.

3. Nettverkstrafikk-analyse: klassifisering av tilkoblinger uten å inspisere nyttelast

ML på nettverksnivå opererer på metadata for nettverkstilkoblinger – DNS-spørringer, TLS-handshake-attributter, flytestatistikk, domeneregistreringsmønstre – uten å dekryptere eller inspisere den faktiske nyttelasten. Dette er tilnærmingen som er mest relevant for forbrukermobilsikkerhet, og det er der Casper's Cloak opererer.

Styrker: fungerer på alle enheter uten å installere en endepunktsagent som skanner filer, håndterer kryptert trafikk uten å bryte kryptering, skaleres til millioner av DNS-spørringer per sekund, fanger opp phishing og C2-infrastruktur på domeneregistreringsnivå før skadevaren engang når brukerens enhet. Svakheter: kan ikke se hva som er inne i den krypterte nyttelasten, kan ikke oppdage skadevare som ikke gjør nettverkstilkoblinger, og er avhengig av kvaliteten på domene-/nettverksfunksjonene.

Hvilke funksjoner ser modellen faktisk på?

Her er der det abstrakte «ML oppdager mønstre» blir konkret. For ML-klassifisering på nettverksnivå – tilnærmingen som er mest relevant for Casper – faller funksjonene i seks kategorier:

• Domenealdre og registreringsmønstre. Ondsinnede domener er overveldende unge – registrert dager eller timer før bruk, ofte i bulk via automatiserte registrarer. Et domene registrert for 72 timer siden gjennom en privacy-WHOIS-registrar som også registrerte 200 andre domener i samme batch, er statistisk sett langt mer sannsynlig å være ondsinnet enn et domene registrert for åtte år siden med en konsistent WHOIS-post. Klassifisereren vekter domenealder tungt, og med god grunn: NISTets Cybersikkerhetsrammeverk identifiserer ressursforvaltning og forsyningskjederisiko (inkludert domeneopprinnelse) som sentrale identifiseringsfunksjonskontroller.
• TLS-sertifikatattributter. Legitime nettsteder bruker i økende grad sertifikater fra etablerte CAer med organisasjonsvalidering. Phishing- og skadevareinfrastruktur lener seg på gratis, automatisk utstedte DV-sertifikater (Domenevalidering) – spesielt et høyt volum av Let's Encrypt-sertifikater utstedt raskt etter hverandre for domener uten tidligere nettilstedeværelse. Klassifisereren undersøker sertifikatutstederen, gyldighetsperioden, SAN-oppføringer (Subject Alternative Name) og om sertifikatkjeden samsvarer med domenets tilsynelatende formål.
• DNS-atferd. Skadevare C2-infrastruktur bruker ofte fast-flux DNS (hurtig roterende IP-adresser bak ett domene), DGA-genererte domenenavn (algoritmisk genererte strenger som xk3j7mq9.net), eller uvanlige posttyper (TXT-poster brukt for dataeksfiltrering). Klassifisereren ser på TTL-verdier, antall IP-adresser som returneres, geografisk mangfold av løste IP-er, og leksikalsk entropi av selve domenenavnet.
• Vertsinfrastruktur. Bulletproof hosting-leverandører og spesifikke ASN-er (Autonomous System Numbers) er uforholdsmessig assosiert med skadevareinfrastruktur. Modellen lærer hvilke hostingmiljøer som korrelerer med ondsinnet aktivitet – ikke som en blokkliste, men som en vektet funksjon ved siden av alle de andre.
• Forespørselmønstre. C2-beacons for skadevare har en tendens til å produsere karakteristiske trafikkmmønstre: tilbakekallinger med jevne intervaller, små nyttelaster i begge retninger, tilkoblinger til infrastruktur uten legitimt nettinnhold. Klassifisereren kan identifisere disse mønstrene fra flytmetadata (timing, størrelse, retning) uten å inspisere det krypterte innholdet.
• Leksikalsk og strukturell analyse av domenenavnet. DGA-domener har høy entropi og lav uttalebarhet. Phishing-domener etterligner kjente merkevarer med tegnsubstitusjoner (paypa1.com, arnazon-security.com). NLP-baserte funksjoner måler redigeringsavstand til kjente merkevarer, tegn-n-gram-distribusjoner og om domenet følger de strukturelle mønstrene for legitime registreringer.

Ingen enkelt funksjon er avgjørende – mange legitime domener er nye, bruker Let's Encrypt, eller er hostet på delt infrastruktur. Klassifiserens jobb er å veie alle funksjoner samtidig og produsere en risikoscore. Et nytt domene alene kan score 0,3; et nytt domene med et DGA-lignende navn, et 48-timer gammelt Let's Encrypt-sertifikat, hostet på en kjent misbrukt ASN, uten webinnhold? Det scorer 0,95+.

Hvordan Casper's Cloak bruker ML-deteksjon på nettverksnivå

Caspers trusselbeskyttelse opererer på DNS-resolveringslaget. Når enheten din gjør en DNS-spørring – uansett app, uansett tilkobling – passerer spørringen gjennom Caspers resolver før en IP-adresse returneres. Her er hva som skjer i millisekunder mellom spørring og svar:

1. DNS-spørringen ankommer Caspers resolver. Telefonen din spør «hva er IP-en til suspicious-domain.com?» Spørringen reiser gjennom den krypterte VPN-tunnelen, så ingen på det lokale nettverket (kaffebars WiFi, internettleverandøren) kan se den.
2. Statisk blokklistesjekk. Først en rask oppslag mot kuraterte blokklister – kjente phishing-domener, kjente skadevare C2-domener, kjente sporingsdomener. Dette er ekvivalenten til signatursjekken: presis, rask og begrenset til kjente trusler. Hvis det er treff, blokkeres domenet umiddelbart.
3. ML-klassifisererscore. Hvis domenet ikke er på noen statisk liste, trekker klassifisereren ut funksjoner: domenealder, registrar, sertifikatmetadata, DNS-rekordhistorikk, leksikalsk analyse, vertsinfrastruktur og nylige spørringsmønstre for dette domenet på tvers av alle Casper-brukere (anonymisert og aggregert). Modellen gir domenet en risikoscore.
4. Terskelbasert beslutning. Hvis risikoscoren overskrider den konfigurerte terskelen, blokkeres domenet (resolveren returnerer NXDOMAIN). Hvis den er under terskelen, returneres den legitime IP-adressen. Grensepoeng kan utløse en «myk blokkering» – brukeren ser en advarselssidevegg i stedet for en hard blokkering, med mulighet til å fortsette.
5. Hele prosessen fullføres før tilkoblingen etableres. Klassifiseringen skjer på DNS-resolveringstidspunktet – før TCP-håndtrykket, før TLS-forhandlingen, før noen data utveksles. Den ondsinnede tilkoblingen åpner aldri.

Dette er det som gjør ML-deteksjon på DNS-laget spesielt godt egnet for mobil: det beskytter alle apper på enheten, krever ingen skanning på enheten (modellen kjøres på vår resolverinfrastruktur), tapper ikke batteriet, og fungerer på både iOS og Android uten de arkitektoniske begrensningene som hindrer tradisjonelt antivirus i å fungere på mobil. Vi dekket phishing-siden av dette i detalj i vår analyse av tre reelle phishing-kampanjer.

Hva Caspers ML på nettverkslaget ikke gjør: det skanner ikke filer på enheten din. Det inspiserer ikke innholdet i krypterte tilkoblinger. Det overvåker ikke appatferd på enheten. Hvis en ondsinnet fil allerede er på enheten din og bare kommuniserer via IP-adresse (ingen DNS-oppslag), vil ikke Caspers DNS-lagsklassifiserer oppdage det. Dette er den ærlige grensen for deteksjon på nettverksnivå – det er svært effektivt for å fange trusler som involverer domenebasert infrastruktur (som er det store flertallet av phishing, distribusjon av skadevare og C2-kommunikasjon), men det er ikke en erstatning for endepunktsikkerhet på enheten i bedriftsmiljøer der målrettede, sofistikerte angripere kan bruke kun-IP C2-kanaler.

Begrensninger og ærlige forbehold

ML-basert skadevaredeteksjon er en reell forbedring fra signaturer alene, men den har reelle begrensninger som enhver ærlig diskusjon må nevne.

Falske positiver er en reell kostnad

Probabilistisk klassifisering betyr at modellen av og til vil flagge legitime domener som ondsinnede. En helt ny oppstart med et nylig registrert domene, et Let's Encrypt-sertifikat og hosting hos en budsjettleverandør kan utløse de samme funksjonene som skadevareinfrastruktur utløser. Falsk positiv-raten for en godt innstilt DNS-klassifiserer er typisk i området 0,01–0,1 % – lav i prosenttermer, men når du behandler millioner av spørringer per dag, betyr selv 0,01 % tusenvis av flaggede legitime spørringer. Ingeniørarbeidet ligger i å justere terskelen, bygge raske tillatelselistemekanismer og kontinuerlig omtrene på falsk positiv-tilbakemelding for å presse raten ned.

Adversariell ML er en reell disiplin

Angripere som forstår ML-klassifiserere, kan konstruere sin infrastruktur for å unngå dem – aldre domener før bruk, skaffe EV-sertifikater, hoste hos anerkjente leverandører, bruke legitim-utseende domenenavn. Dette kalles adversariell maskinlæring, og det er et aktivt område for akademisk forskning og virkelighetens katt-og-mus-lek. MITRE ATLAS-rammeverket (Adversarial Threat Landscape for AI Systems) katalogiserer kjente adversarielle ML-teknikker spesifikt for dette domenet.

Forsvarsfordelen: å unngå én funksjon er enkelt; å unngå alle funksjoner samtidig er kostbart. Å aldre et domene koster tid (og tid er penger for angrepskampanjer). Å skaffe et EV-sertifikat krever organisasjonsidentitetsverifisering. Å hoste hos anerkjente leverandører betyr å akseptere deres prosesser for håndtering av misbruk. ML-klassifisereren trenger ikke at hver funksjon skal være individuelt uslåelig – den trenger at kombinasjonen skal være kostbar nok å unngå at de fleste angripere ikke gidder, og de som gjør det blir tatt på andre funksjoner eller av neste omtreningssyklus.

Krypterte nyttelaster er ugjennomsiktige på nettverkslaget

ML på nettverksnivå ser metadata – domenenavn, sertifikatattributter, flytestatistikk – ikke nyttelastinnhold. Hvis en ondsinnet nyttelast leveres over HTTPS fra et legitim-utseende domene (et kompromittert WordPress-nettsted, en ondsinnet fil hostet på en stor skyleverandørs lagring), vil DNS-klassifisereren kanskje ikke flagge det fordi domenets funksjoner ser rene ut. Derfor komplementerer deteksjon på nettverksnivå – men erstatter ikke – andre lag: sporerblokkering på DNS-laget stopper dataeksfiltrasjonskanalen; nettleser- og OS-nivåbeskyttelse (Google Safe Browsing, Apples XProtect) håndterer nyttelastinspeksjonslaget.

Modellforfall krever kontinuerlig omtrening

Trussellandskapet endres konstant. Angripere skifter registrarer, adopterer nye hostingleverandører, endrer domengenereringsalgoritmene sine. En modell trent på 2025-data vil degradere i nøyaktighet over måneder hvis den ikke retrenes på nye merkede data. Kontinuerlig omtrening på nye trusselsetterretninger – pluss tilbakemeldingssløyfer fra falske positiver og falske negativer i produksjon – er avgjørende. En distribuert ML-klassifiserer er ikke et «træn én gang, lever for alltid»-artefakt; det er et levende system som trenger løpende investering.

Hva dette betyr for telefonen din

Leser du dette på en telefon – som de fleste av dere statistisk sett gjør – her er det praktiske poenget:

• Tradisjonelt antivirus fungerer ikke godt på mobil. iOS tillater det ikke arkitektonisk; på Android tapper det batteriet og kan fortsatt ikke skanne det meste av app-data. Signaturmodellen ble bygget for stasjonære datamaskiner med full filsystemtilgang.
• ML-deteksjon på nettverksnivå fungerer på alle mobilplattformer. Det trenger ikke filsystemtilgang, trenger ikke å kjøres på enheten, og beskytter alle apper samtidig. Når telefonen din prøver å nå et phishing-domene, blokkerer DNS-lagsklassifisereren det før tilkoblingen åpnes – uansett hvilken app som initierte tilkoblingen.
• Kombinasjonen av statiske blokklister og ML-klassifisering dekker både kjente og ukjente trusler. Blokklister fanger domenene som allerede er katalogisert; ML-klassifisereren fanger de nye som ikke er det. Sammen er de meningsfullt mer effektive enn enten alene.
• Intet enkelt lag dekker alt. ML på DNS-nivå fanger domenebaserte trusler (phishing, skadevaredistribusjon, C2-kommunikasjon, sporing). Det fanger ikke trusler som er hostet i første part eller trusler som omgår DNS helt. En lagdelt tilnærming – Casper på nettverkslaget, nettleserbeskyttelse på innholdslaget, OS-beskyttelse på systemlaget – gir deg den bredeste dekningen.

Det bredere poenget: maskinlæring i sikkerhet er ikke hype og det er ikke magi. Det er en spesifikk ingeniørdisiplin som gjenkjenner mønstre i data – og for det spesifikke problemet «er dette domenet sannsynligvis ondsinnet?», overgår mønstergjenkjenningsmetoden statiske lister med god margin, spesielt for zero-day-trusler som signaturer aldri vil fange opp i tide. Spørsmålet er om sikkerhetsverktøyene dine bruker det, og om de er ærlige om hva det dekker og hva det ikke gjør.

Relatert: Phishing-tekster i 2026 – anatomien til tre kampanjer viser ML-klassifisereren i aksjon mot virkelig phishing-infrastruktur. Trusselbeskyttelse er funksjonssiden for Caspers ML-baserte deteksjon. Sporerblokkering dekker det komplementære DNS-filtreringslaget. For det akademiske grunnlaget katalogiserer MITRE ATLAS-rammeverket adversarielle ML-teknikker, og NISTets Cybersikkerhetsrammeverk gir den bredere risikostyringssammenhengen disse deteksjonssystemene opererer innenfor.