Hur identifierar maskininlärning skadlig kod? En steg-för-steg-förklaring

Kortversionen: signaturbaserat antivirus är som en dörrvakt med ett fotoalbum — om ditt ansikte inte finns i albumet får du gå in. Maskininlärningsidentifiering är som en dörrvakt som studerat tusentals slagsmål och lärt sig läsa kroppsspråk — även om du är en okänd person avslöjar ditt sätt att bära dig åt dig. Den skillnaden är vad som skiljer "vi fångade gårdagens virus" från "vi fångade en zero day-attack som ingen hade katalogiserat ännu." Nedan: vad signaturer faktiskt gör, varför de inte räcker till, hur ML-klassificerare fungerar, de tre huvudmetoderna, vad Casper's Cloak gör på nätverksnivå specifikt, och de ärliga begränsningarna.

Signaturbaserad vs ML-baserad identifiering i korthet

Innan vi går in på mekaniken, här är jämförelsen på hög nivå. Båda metoderna har sin plats; frågan är vilka hot vardera hanterar bäst.

Det verkliga svaret är "använd båda." Signaturer är snabba och precisa för kända hot; ML fångar de nya. De flesta moderna säkerhetsprodukter kombinerar dem. Den intressanta frågan är hur ML-delen fungerar — och det är vad vi ägnar resten av den här artikeln åt.

Vad signaturbaserad identifiering gör (och varför det inte räcker)

Signaturbaserad identifiering är konceptuellt enkelt: en säkerhetsforskare analyserar ett nytt skadeprogram, extraherar en unik bytesekvens ("signaturen") och lägger till den i en databas. Varje fil ditt antivirus skannar jämförs mot den databasen. Match hittad? Karantän. Ingen match? Ren.

Den här modellen fungerade bra under tidigt 2000-tal när ny skadlig kod dök upp i en takt av dussintals per dag och mänskliga analytiker kunde hålla jämna steg. AV-TEST Institute registrerar nu över 450 000 nya skadeprogram och potentiellt oönskade program per dag. Inget team av mänskliga analytiker skriver 450 000 signaturer per dag. Även automatiserad signaturgeneration kan inte hålla jämna steg eftersom skadeprogram-skapare använder polymorfism — de ändrar kodens bytesekvens vid varje distribution men behåller beteendet. Ett polymorft virus kan ha tusen varianter, var och en med ett annat hashvärde, var och en som kräver en annan signatur. Spelet är riggat mot statisk mönstermatchning.

Det andra problemet är exponeringsfönstret. Mellan ögonblicket då ett nytt skadeprogram dyker upp i naturen och ögonblicket då en signatur för det skickas till din enhet finns det ett gap. Det gapet var i genomsnitt 24–48 timmar år 2020; med snabbare pipeline-automation är det kortare nu, men aldrig noll. Under det gapet är ditt signaturbaserade antivirus helt blind för det nya hotet. Det gapet är där zero day-attacker lever.

Det tredje problemet är mobila enheter. Traditionell signaturbaserad skanning kräver att man skannar varje fil mot en stor databas — en operation som dränerar batteriet och kräver lagringsutrymme för signaturdatabasen i sig. iOS tillåter inte ens att appar skannar andra appars filer. På mobilen är det antingen opraktiskt (Android-batteridränering) eller arkitektoniskt omöjligt (iOS-sandboxning) att köra en traditionell AV-motor i bakgrunden. Identifieringen måste ske någon annanstans.

Hur ML-modeller lär sig hur "skadligt" ser ut

Maskininlärningsidentifiering tar ett fundamentalt annorlunda tillvägagångssätt. Istället för att memorera enskilda skadeprogram tränar du en modell på funktioner — mätbara egenskaper som tenderar att skilja sig mellan skadlig och ofarlig programvara (eller skadligt och ofarligt nätverksbeteende). Modellen lär sig en beslutsgräns: "saker med dessa funktionskombinationer är förmodligen skadliga; saker med dessa kombinationer är förmodligen säkra."

Steg 1: Samla in ett träningsdatamängd

Du behöver märkta exempel — kända skadliga prover och kända ofarliga prover. För filbaserad ML innebär detta typiskt miljontals PE-filer (Portable Executable) från underrättelsefeeder om hot, offentliga arkiv som VirusTotal, företagets honeypots och konsortier för skadeprogram-delning. För nätverksbaserad ML innebär det märkta DNS-frågeloggar, nätverksflödesposter och metadata om domänregistrering — miljontals kända skadliga domäner och miljontals kända ofarliga.

Steg 2: Extrahera funktioner

Rådata är inte direkt användbart för en klassificerare. Du omvandlar varje prov till en funktionsvektor — en lista med tal som beskriver dess egenskaper. För en Windows-körbar fil kan funktioner inkludera: entropin för varje kodsektion (packad/krypterad kod har högre entropi), importerade API-anrop (skadlig kod tenderar att importera process-injections- och register-manipulations-API:er), förhållandet mellan läs-skriv- och skrivskyddade sektioner, om filen har en giltig digital signatur, strängmönster i binärfilen. För ett domännamn kan funktioner inkludera: domänålder, registrar, WHOIS-sekretessstatus, TLS-certifikatattribut, DNS-posthistorik, lexikal struktur på domännamnet i sig.

Steg 3: Träna en klassificerare

Med märkta funktionsvektorer till hands tränar du en maskininlärningsmodell — gradientboostade träd (XGBoost, LightGBM), slumpmässiga skogar, djupa neurala nätverk eller ensemblekombinationer av flera. Modellen lär sig vilka funktionskombinationer som korrelerar med "skadligt" och vilka som korrelerar med "ofarligt." Korsvalidering och testsätt med reservdata säkerställer att modellen generaliserar till osedda prover snarare än att memorera träningssättet.

Steg 4: Driftsätt för inferens

Den tränade modellen driftsätts där den kan poängsätta nya prover i realtid. För filbaserad identifiering är det vanligtvis en slutpunktsagent på användarens enhet eller en molnsandbox. För nätverksbaserad identifiering är det en klassificerare som sitter inline på DNS-resolvern eller nätverksproxyn. Ett nytt prov anländer, funktioner extraheras, modellen poängsätter det (typiskt som en sannolikhet mellan 0,0 och 1,0) och ett tröskelvärde bestämmer åtgärden — blockera, tillåta eller flagga för mänsklig granskning.

Den kritiska skillnaden från signaturer: modellen har aldrig sett just detta prov tidigare, men den känner igen mönstret. En ny polymorf variant av befintlig ransomware ändrar sin bytesekvens men importerar fortfarande samma krypterings-API:er, har fortfarande sektioner med hög entropi, saknar fortfarande ett giltigt certifikat — modellen fångar det eftersom funktionerna matchar det skadliga mönstret, även om ingen människa har skrivit en regel för just den varianten.

De tre huvudmetoderna för ML-baserad identifiering av skadlig kod

ML-baserad identifiering är inte en sak — det är minst tre olika metoder, var och en opererar på ett annat lager i stacken och fångar olika kategorier av hot.

1. Statisk analys: inspektera filen utan att köra den

Statiska ML-modeller analyserar filens struktur, metadata och innehåll utan att köra det. Funktioner inkluderar PE-headerattribut, sektionsentropi, importtabeller, inbäddade strängar, resursmetadata, packaridentifiering och i allt högre grad rå bytesekvenser matade in i konvolutionella neurala nätverk som lär sig sina egna funktioner direkt från binärfilen.

Styrkor: snabb (ingen sandbox-körning behövs), skalbar till miljontals filer, fångar många standardiserade hot. Svagheter: kan kringgås av obfuskering, packning eller metamorfisk kod som omstrukturerar sig självt. En tillräckligt motiverad angripare kan transformera sin binärfil tills de statiska funktionerna ser ofarliga ut. MITRE ATT&CK-ramverket dokumenterar dessa kringgående tekniker under Defense Evasion (TA0005).

2. Dynamisk/beteendemässig analys: köra filen och observera vad den gör

Dynamisk analys kör den misstänkta filen i en sandbox (en instrumenterad virtuell maskin) och registrerar dess körtidsbeteende: vilka filer den läser och skriver, vilka registernycklar den modifierar, vilka nätverksanslutningar den öppnar, vilka processer den skapar, vilka systemanrop den gör. En ML-modell tränad på dessa beteendespår kan klassificera provet baserat på vad det gör, inte hur det ser ut.

Styrkor: mycket svårare att kringgå — även om binärfilen är obfuskerad måste beteendet utspela sig för att skadeprogrammet ska uppnå sitt mål. Ransomware måste kryptera filer; en keylogger måste haka fast på tangentbordet; ett C2-beacon måste ringa hem. Beteendet är grundsanningen. Svagheter: långsam (sandbox-körning tar sekunder till minuter), dyr (VM:ar konsumerar datorkraft) och en del skadlig kod identifierar sandboxar och vägrar att köras. Sandbox-kringgående är ett eget katt-och-råtta-spel.

3. Nätverkstrafikanalys: klassificera anslutningar utan att inspektera nyttolaster

Nätverksnivå-ML opererar på metadata för nätverksanslutningar — DNS-frågor, TLS-handshakeattribut, flödesstatistik, domänregistreringsmönster — utan att dekryptera eller inspektera den faktiska nyttolasten. Detta är den metod som är mest relevant för konsumentmobilsäkerhet, och det är där Casper's Cloak opererar.

Styrkor: fungerar på vilken enhet som helst utan att installera en slutpunktsagent som skannar filer, hanterar krypterad trafik utan att bryta krypteringen, skalbar till miljontals DNS-frågor per sekund, fångar phishing och C2-infrastruktur på domänregistreringsnivå innan skadeprogrammet ens når användarens enhet. Svagheter: kan inte se vad som finns inuti den krypterade nyttolasten, kan inte identifiera skadlig kod som inte gör nätverksanslutningar och förlitar sig på kvaliteten hos domän-/nätverksfunktioner.

Vilka funktioner tittar modellen egentligen på?

Det är här det abstrakta "ML identifierar mönster" blir konkret. För ML-klassificering på nätverksnivå — metoden som är mest relevant för Casper — faller funktionerna i sex kategorier:

• Domånålder och registreringsmönster. Skadliga domäner är överväldigande unga — registrerade dagar eller timmar före användning, ofta i bulk via automatiserade registrarer. En domän som registrerades för 72 timmar sedan via en sekretess-WHOIS-registrar som också registrerade 200 andra domäner i samma batch är statistiskt sett mycket mer sannolikt skadlig än en domän som registrerades för åtta år sedan med ett konsekvent WHOIS-register. Klassificeraren väger domänålder tungt, och med god anledning: NISTs Cybersecurity Framework identifierar tillgångshantering och leveranskedjerisker (inklusive domänursprung) som centrala identifieringsfunktionskontroller.
• TLS-certifikatattribut. Legitima webbplatser använder i allt högre grad certifikat från etablerade CA:er med organisationsvalidering. Phishing- och skadeprogramsinfrastruktur förlitar sig på gratis, automatiskt utfärdade DV-certifikat (Domain Validation) — specifikt ett stort antal Let's Encrypt-certifikat utfärdade i snabb följd för domäner utan tidigare webbplatsnärvaro. Klassificeraren granskar certifikatutfärdare, giltighetstid, SAN-poster (Subject Alternative Name) och om certifikatkedjan matchar domänens uppenbara syfte.
• DNS-beteende. Skadlig C2-infrastruktur använder ofta fast-flux DNS (snabbt roterande IP-adresser bakom en domän), DGA-genererade domännamn (algoritmiskt genererade strängar som xk3j7mq9.net), eller ovanliga posttyper (TXT-poster som används för dataexfiltrering). Klassificeraren tittar på TTL-värden, antalet returnerade IP-adresser, geografisk mångfald hos lösta IP-adresser och lexikal entropi hos domännamnet i sig.
• Hostinginfrastruktur. Bulletproof hosting-leverantörer och specifika ASN:er (Autonomous System Numbers) är oproportionerligt förknippade med skadeprogramsinfrastruktur. Modellen lär sig vilka hostingmiljöer som korrelerar med skadlig aktivitet — inte som en blockerlista, utan som en viktad funktion tillsammans med alla andra.
• Förfrågningsmönster. Skadliga C2-beacons tenderar att producera distinkta trafikmönster: regelbundna callback-intervall, små nyttolaster i båda riktningarna, anslutningar till infrastruktur som inte har något legitimt webbinnehåll. Klassificeraren kan identifiera dessa mönster från flödesmetadata (tidpunkt, storlek, riktning) utan att inspektera det krypterade innehållet.
• Lexikal och strukturell analys av domännamnet. DGA-domäner har hög entropi och låg uttalbarhet. Phishing-domäner efterliknar legitima varumärken med teckensubstitutioner (paypa1.com, arnazon-security.com). NLP-baserade funktioner mäter redigeringsavståndet till kända varumärken, teckens n-gram-fördelningar och om domänen följer strukturmönstren för legitima registreringar.

Ingen enskild funktion är avgörande — gott om legitima domäner är nya, använder Let's Encrypt eller finns på delad infrastruktur. Klassificerarens uppgift är att väga alla funktioner samtidigt och producera en riskpoäng. En ny domän ensam kanske får 0,3; en ny domän med ett DGA-liknande namn, ett 48-timmar gammalt Let's Encrypt-certifikat, hostad på ett känt missbrukat ASN, som inte serverar webbinnehåll? Det ger 0,95+.

Hur Casper's Cloak använder ML-identifiering på nätverksnivå

Caspers hotskydd opererar på DNS-upplösningslagret. När din enhet gör en DNS-fråga — vilken app som helst, vilken anslutning som helst — passerar frågan genom Caspers resolver innan en IP-adress returneras. Här är vad som händer under millisekunder mellan fråga och svar:

1. DNS-frågan anländer till Caspers resolver. Din telefon frågar "vad är IP för suspicious-domain.com?" Frågan reser genom den krypterade VPN-tunneln, så ingen i det lokala nätverket (kafé-WiFi, ISP) kan se den.
2. Statisk blocklistekontroll. Först görs en snabb sökning mot kurerade blockeringslistor — kända phishing-domäner, kända skadliga C2-domäner, kända spårningsdomäner. Detta är ekvivalenten till signaturkontrollen: precis, snabb och begränsad till kända hot. Om det finns en matchning blockeras domänen omedelbart.
3. ML-klassificeringspoängsättning. Om domänen inte finns på någon statisk lista extraherar klassificeraren funktioner: domänålder, registrar, certifikatmetadata, DNS-posthistorik, lexikal analys, hostinginfrastruktur och nyliga frågemönster för den här domänen bland alla Casper-användare (anonymiserade och aggregerade). Modellen poängsätter domänens risk.
4. Tröskelbaserat beslut. Om riskpoängen överskrider det konfigurerade tröskelvärdet blockeras domänen (resolvern returnerar NXDOMAIN). Om den är under tröskelvärdet returneras den legitima IP-adressen. Gränsvärdespoäng kan utlösa en "mjuk blockering" — användaren ser en varningssida snarare än en hård blockering, med möjlighet att fortsätta.
5. Hela processen slutförs innan anslutningen upprättas. Klassificeringen sker vid DNS-upplösningstiden — innan TCP-handskaket, innan TLS-förhandlingen, innan någon data utbyts. Den skadliga anslutningen öppnas aldrig.

Det är detta som gör ML-identifiering på DNS-nivå särskilt väl lämpad för mobil: den skyddar varje app på enheten, kräver ingen skanning på enheten (modellen körs på vår resolverinfrastruktur), dränerar inte batteriet och fungerar på både iOS och Android utan de arkitektoniska begränsningar som hindrar traditionellt antivirus från att fungera på mobil. Vi täckte phishing-sidan av detta i detalj i vår analys av tre verkliga phishing-kampanjer.

Vad Caspers nätverksnivå-ML inte gör: den skannar inte filer på din enhet. Den inspekterar inte innehållet i krypterade anslutningar. Den övervakar inte appbeteende på enheten. Om en skadlig fil redan finns på din enhet och kommunicerar enbart via IP-adress (ingen DNS-sökning), kommer Caspers DNS-nivåklassificerare inte att se den. Det här är den ärliga gränsen för identifiering på nätverksnivå — den är extremt effektiv på att fånga hot som involverar domänbaserad infrastruktur (vilket är den stora majoriteten av phishing, distribution av skadlig kod och C2-kommunikation), men den ersätter inte säkerhet för slutpunkter på enheten i företagsmiljöer där riktade, sofistikerade angripare kan använda IP-only C2-kanaler.

Begränsningar och ärliga förbehåll

ML-baserad identifiering av skadlig kod är en verklig förbättring jämfört med enbart signaturer, men det har verkliga begränsningar som en ärlig diskussion måste nämna.

Falskt positiva är en verklig kostnad

Probabilistisk klassificering innebär att modellen ibland kommer att flagga legitima domäner som skadliga. En nystartad startup med en nyligen registrerad domän, ett Let's Encrypt-certifikat och hosting hos en budgetleverantör kan utlösa samma funktioner som skadeprogramsinfrastruktur utlöser. Falskt positiv-frekvensen för en välkalibrerad DNS-klassificerare är typiskt i intervallet 0,01–0,1 % — låg i procenttermer, men när du behandlar miljontals frågor per dag innebär även 0,01 % tusentals flaggade legitima frågor. Ingenjörsarbetet ligger i att kalibrera tröskelvärdet, bygga snabba tillåtningslistningsmekanismer och kontinuerligt omtrana på falskt positivt-feedback för att trycka ner frekvensen.

Adversariell ML är en verklig disciplin

Angripare som förstår ML-klassificerare kan konstruera sin infrastruktur för att undvika dem — åldra domäner före användning, skaffa EV-certifikat, hosta hos ansedda leverantörer, använda legitima domännamn. Detta kallas adversariell maskininlärning och är ett aktivt område för akademisk forskning och verkligt katt-och-råtta-spel. MITRE ATLAS-ramverket (Adversarial Threat Landscape for AI Systems) katalogiserar kända adversariella ML-tekniker specifikt för det här området.

Försvararens fördel: att kringgå en funktion är lätt; att kringgå alla funktioner samtidigt är dyrt. Att åldra en domän kostar tid (och tid är pengar för attackkampanjer). Att skaffa ett EV-certifikat kräver verifiering av organisationsidentitet. Att hosta hos ansedda leverantörer innebär att acceptera deras missbrukshanteringsprocesser. ML-klassificeraren behöver inte att varje funktion är individuellt oslagbar — den behöver att kombinationen är tillräckligt dyr att kringgå att de flesta angripare inte bryr sig, och de som gör det fångas på andra funktioner eller av nästa omträningscykel.

Krypterade nyttolaster är ogenomskinliga på nätverksnivå

Nätverksnivå-ML ser metadata — domännamn, certifikatattribut, flödesstatistik — inte nyttolastinnehåll. Om en skadlig nyttolast levereras via HTTPS från en legitim-utseende domän (en komprometterad WordPress-webbplats, en skadlig fil hostad på en stor molnleverantörs lagring), kanske DNS-klassificeraren inte flaggar den eftersom domänens funktioner ser rena ut. Det är därför identifiering på nätverksnivå kompletterar men inte ersätter andra lager: spårarblockeringen på DNS-nivå stoppar dataexfiltreringskanalen; skydd på webbläsar- och OS-nivå (Google Safe Browsing, Apples XProtect) hanterar nyttolastinspektionslagret.

Modelldrift kräver kontinuerlig omträning

Hotlandskapet förändras konstant. Angripare byter registrarer, antar nya hostingleverantörer, ändrar sina domängenereringsalgoritmer. En modell tränad på 2025 års data kommer att försämras i noggrannhet under månader om den inte tränas om på färska märkta data. Kontinuerlig omträning på ny hotinformation — plus feedbackslingor från falskt positiva och falskt negativa i produktion — är avgörande. En driftsatt ML-klassificerare är inte en "träna en gång, leverera för alltid"-artefakt; det är ett levande system som kräver löpande investering.

Vad det här betyder för din telefon

Om du läser det här på en telefon — vilket statistiskt sett de flesta av er gör — här är det praktiska resultatet:

• Traditionellt antivirus fungerar inte bra på mobil. iOS tillåter det inte arkitektoniskt; på Android dränerar det batteriet och kan fortfarande inte skanna de flesta appdata. Signaturmodellen byggdes för datorer med full tillgång till filsystemet.
• ML-identifiering på nätverksnivå fungerar på alla mobilplattformar. Det behöver inte filsystemsåtkomst, behöver inte köra på enheten och skyddar varje app simultaneously. När din telefon försöker nå en phishing-domän blockerar DNS-nivåklassificeraren den innan anslutningen öppnas — oavsett vilken app som initierade anslutningen.
• Kombinationen av statiska blockeringslistor och ML-klassificering täcker både kända och okända hot. Blockeringslistor fångar domänerna som redan har katalogiserats; ML-klassificeraren fångar de nya som inte har det. Tillsammans är de meningsfullt mer effektiva än endera var för sig.
• Inget enskilt lager täcker allt. ML på DNS-nivå fångar domänbaserade hot (phishing, distribution av skadlig kod, C2-kommunikation, spårning). Det fångar inte första-parts-hostade hot eller hot som kringgår DNS helt. Ett flerskiktat tillvägagångssätt — Casper på nätverkslagret, webbläsarskydd på innehållslagret, OS-skydd på systemlagret — ger dig den bredaste täckningen.

Den bredare poängen: maskininlärning inom säkerhet är varken hype eller magi. Det är en specifik ingenjörsdisciplin som känner igen mönster i data — och för det specifika problemet "är den här domänen sannolikt skadlig?" överträffar mönstrigenkänningsmetoden statiska listor med bred marginal, särskilt för zero day-hoten som signaturer aldrig kommer att fånga i tid. Frågan är om dina säkerhetsverktyg använder det, och om de är ärliga om vad det täcker och vad det inte gör.

Relaterat: Phishing-meddelanden 2026 — anatomin hos tre kampanjer visar ML-klassificeraren i aktion mot verklig phishing-infrastruktur. Hotskydd är funktionssidan för Caspers ML-baserade identifiering. Spårarblockeringen täcker det komplementära DNS-nivåfiltreringslagret. För de akademiska grunderna katalogiserar MITRE ATLAS-ramverket adversariella ML-tekniker, och NISTs Cybersecurity Framework ger den bredare riskhanteringskontexten som dessa identifieringssystem verkar inom.