Evaluating Endpoint Detection Robustness Against Genetic Algorithm Driven Code Transformations
Dieses Paper stellt ShellForge vor, ein durch genetische Algorithmen gesteuertes Framework, das funktional äquivalente Post-Compromise-Codevarianten generiert, um Robustheitslücken in modernen Antiviren- und Endpoint-Detection-and-Response-Systemen systematisch zu evaluieren und aufzudecken, und schlägt letztlich einen reproduzierbaren Benchmark zur Verbesserung der defensiven Überwachung vor.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie sind ein Sicherheitswachmann in einem hochmodernen Gebäude (dem Computer). Ihr Job ist es, Eindringlinge zu stoppen. Sie haben zwei Hauptwege, um dies zu tun:
- Die „Steckbrief“-Liste (Signaturerkennung): Sie gleichen jedes Gesicht mit einer Liste bekannter Übeltäter ab. Wenn jemand exakt wie jemand auf der Liste aussieht, halten Sie ihn auf.
- Die „Verhaltensbeobachtung“ (Verhaltenserkennung): Sie beobachten, was die Leute tun. Wenn jemand versucht, ein Schloss zu knacken, auf das Dach zu rennen oder Geheimnisse zu flüstern, halten Sie ihn auf, selbst wenn Sie sein Gesicht nicht erkennen.
Das Problem:
Die Bösewichte (Hacker) sind schlau. Sie wissen, dass Sie diese Listen und Beobachtungen haben. Also beginnen sie, Verkleidungen zu tragen. Sie setzen sich vielleicht einen falschen Schnurrbart auf, ändern ihre Haarfarbe oder gehen mit einem Hinken. Dies werden als „Code-Transformationen“ bezeichnet.
Die meisten heutigen Sicherheitstools sind großartig darin, den ursprünglichen Bösewicht zu entdecken, aber sie werden oft verwirrt, wenn der Bösewicht eine Verkleidung anlegt. Die Forscher in dieser Arbeit wollten testen: Wie gut sind unsere Sicherheitswachmänner darin, einen Bösewicht zu entdecken, der aktiv versucht, sein Aussehen zu verändern?
Die Lösung: „ShellForge“ (Das evolutionäre Fitnessstudio)
Die Autoren entwickelten ein Tool namens ShellForge. Betrachten Sie dies nicht als eine Waffe, sondern als einen Trainingssimulator für Sicherheitswachmänner.
Anstatt dass ein Mensch versucht zu erraten, wie man einen Bösewicht tarnt, nutzt ShellForge einen „Genetischen Algorithmus“. Stellen Sie sich ein Fitnessstudio vor, in dem Sie 25 „Trainierende“ (Bösewicht-Verkleidungen) haben.
- Das Training: Jeder Trainierende versucht, am Sicherheitswachmann vorbeizuschleichen.
- Die Punktzahl: Wenn der Wachmann sie erwischt, erhalten sie eine niedrige Punktzahl. Wenn sie vorbeischlüpfen, erhalten sie eine hohe Punktzahl.
- Die Fortpflanzung: Die Trainierenden mit den höchsten Punktzahlen (die besten im Anschleichen) werden zusammengeführt, um „Babys“ (neue Verkleidungen) zu erzeugen. Diese Babys mischen die besten Merkmale ihrer Eltern (z. B. den falschen Schnurrbart des Vaters + den Hinkenschritt der Mutter).
- Die Mutation: Manchmal geschieht eine zufällige Änderung, wie zum Beispiel, dass das Baby plötzlich einen Hut trägt.
- Wiederholung: Dies geschieht immer und immer wieder (Generationen), wodurch es immer klüger und besser im Anschleichen wird.
Das Ziel ist nicht, tatsächlich in ein Gebäude einzubrechen; es geht darum zu sehen, wie leicht das Sicherheitssystem getäuscht werden kann, damit die Verteidiger ihre blinden Flecken beheben können.
Was sie getestet haben
Sie verwendeten eine gängige Art von „Bösewicht-Verhalten“, die man Reverse Shell nennt.
- Analogie: Stellen Sie sich einen Eindringling vor, der einbricht und dann sofort über eine geheime Telefonleitung seinen Chef anruft, um zu sagen: „Ich bin drin, sag mir, was ich als Nächstes tun soll.“
- Sie nahmen diesen „Anruf“ und nutzten ShellForge, um tausende verschiedene Versionen davon zu entwickeln, wobei sie den Code änderten (die Verkleidung), während sie sicherstellten, dass der Anruf weiterhin funktionierte.
Sie testeten diese sich entwickelnden Verkleidungen gegen:
- Statische Scanner: Die „Steckbrief“-Listen (wie VirusTotal und Windows Defender).
- Verhaltensbasierte Scanner: Die „Verhaltensbeobachtungen“ (wie eine Sandbox, die beobachtet, was der Code tut).
Das Ergebnis: Die Überraschung
Nachdem sie die Simulation nur für wenige Runden (Generationen) laufen ließen, fand ShellForge eine „Super-Verkleidung“.
- Der alte Weg: Tools, die nur vorgefertigte Verkleidungen verwenden (wie Msfvenom oder Veil), wurden von fast jedem Sicherheitswachmann erwischt. Sie waren wie Bösewichte, die ein Schild mit der Aufschrift „Ich bin ein Krimineller“ tragen.
- Der ShellForge-Weg: Die entwickelte Verkleidung wurde von keinem der 62 verschiedenen Antiviren-Engines, die sie testeten, erkannt.
- Statische Bewertung: 100 % (Die „Steckbrief“-Liste erkannte sie überhaupt nicht).
- Verhaltensbasierte Bewertung: Hoch (Der Sicherheitswachmann, der das Verhalten beobachtete, war verwirrt und konnte nicht entscheiden, ob es schlecht oder nicht war).
- Funktionalität: 100 % (Der „Anruf“ an den Chef funktionierte weiterhin perfekt).
Das große Fazit:
Die Forscher fanden heraus, dass man keine komplexe, verrückte Verkleidung braucht, um die Wächter zu täuschen. Die „Gewinner-Verkleidung“ war eigentlich recht einfach: Sie änderte lediglich das Aussehen des Codes (durch einfache mathematische Tricks wie XOR und Base64) und versuchte gar nicht erst, etwas Besonderes zu tun, um sich vor der „Verhaltensbeobachtung“ zu verstecken.
Dies deutet darauf darauf hin, dass aktuelle Sicherheitssysteme zu sehr auf die „Steckbrief“-Liste fokussiert sind. Wenn ein Bösewicht sein Aussehen nur geringfügig ändert, übersieht das System ihn oft komplett.
Warum dies wichtig ist (laut dem Paper)
Die Autoren betonen, dass dies rein der Verteidigung dient. Sie bringen Hackern nicht bei, wie man einbricht. Stattdessen zeigen sie Sicherheitsteams:
„Hey, eure aktuellen Wächter übersehen diese einfachen Verkleidungen. Ihr müsst besser darin werden, das Verhalten des Codes zu erkennen, nicht nur zu prüfen, ob der Code einer Liste bekannter Bösewichte entspricht.“
Sie schlagen vor, dass zukünftige Sicherheitstools klüger sein müssen und nach Mustern und Verbindungen in der Art und Weise suchen müssen, wie Code agiert, anstatt nur zu prüfen, ob der Code so aussieht wie etwas, das sie schon einmal gesehen haben.
Kurz gesagt: ShellForge ist ein Spiegel, der Sicherheitsteams genau zeigt, wo ihre blinden Flecken liegen, indem er beweist, dass einfache, automatisierte Änderungen die aktuellen Abwehrmechanismen umgehen können, und sie dazu drängt, ihre Erkennungsmethoden zu verbessern.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.