🤖 machine learning

A Hybrid Framework For Crypto-Ransomware Detection In Enterprise Shared Storage

Este artículo propone un marco híbrido para la detección de cripto-ransomware en el almacenamiento compartido empresarial mediante la combinación de una técnica basada en firmas de "Región de Interés" para extraer Indicadores de Compromiso con un modelo de aprendizaje automático que logra un 99,64% de precisión y un 99,44% de exactitud de detección temprana, manteniendo una tasa de falsos negativos del 0%.

Autores originales: Gervais Hatungimana, Abdun Naser Mahmood, Mohammad Jabed Morshed Chowdhury

Publicado 2026-06-30

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Gervais Hatungimana, Abdun Naser Mahmood, Mohammad Jabed Morshed Chowdhury

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina un edificio de oficinas muy concurrido donde todos comparten archivos en un "archivador digital central" (el servidor) en lugar de guardarlos en sus propios escritorios. Así es como trabajan muchas empresas.

El problema es que un nuevo tipo de ladrón digital, llamado ransomware, ha aprendido a colarse. En lugar de solo bloquear archivos en una sola computadora, estos ladrones atacan el archivador compartido, cifrando los documentos de todos a la vez. Los guardias de seguridad tradicionales (el software) suelen vigilar solo los escritorios individuales (las computadoras), por lo que a menudo no detectan al ladrón hasta que el archivador ya ha sido bloqueado.

Este artículo propone un nuevo sistema de seguridad más inteligente —un marco híbrido— para atrapar a estos ladrones de forma más temprana y precisa. Así es como funciona, desglosado en pasos sencillos:

1. El Control de Seguridad de Tres Capas

Los autores construyeron un sistema que revisa el tráfico entrante de tres maneras distintas, como un equipo de seguridad con tres herramientas diferentes:

Capa 1: El Control de "Carteles de Se Busca" (Detección de IoC)
Imagina que el equipo de seguridad tiene una lista de "Carteles de Se Busca" para ladrones conocidos. Estos carteles describen cosas específicas y únicas que un ladrón siempre hace, como dejar caer una nota de rescate específica en una carpeta.
- Cómo funciona: El sistema escanea cada uno de los paquetes de datos (el correo digital) buscando estas "firmas" específicas. Si ve un paquete que coincide con el patrón de un ladrón conocido (como un tamaño de archivo específico para una nota de rescate), detiene inmediatamente el ataque. Esto atrapa a los "malos conocidos".
Capa 2: El Control de la "Nota Fragmentada" (Análisis de RoI)
Los ladrones inteligentes intentan ocultar sus notas de rescate rompiéndolas en trozos diminutos para que ya no parezcan el "Cartel de Se Busca".
- Cómo funciona: El sistema observa grupos de paquetes (llamados Región de Interés o RoI) para ver si los trozos diminutos, al juntarse, siguen formando un patrón sospechoso. Es como un detective que mira una pila de papel triturado para ver si las palabras "Páguenos" están escondidas dentro, incluso si ninguna pieza individual parece sospechosa por sí sola.
Capa 3: El "Detective de Comportamiento" (Aprendizaje Automático)
¿Qué pasa si el ladrón es totalmente nuevo y aún no tiene un "Cartel de Se Busca"?
- Cómo funciona: Aquí es donde el sistema utiliza el Aprendizaje Automático (un programa informático que aprende de la experiencia). En lugar de buscar códigos específicos, observa cómo se mueven los datos.
- La analogía: Un empleado normal abre un archivo, lo lee y lo guarda. Un ladrón de ransomware, sin embargo, podría abrir cientos de archivos en un segundo, leerlos e inmediatamente sobrescribirlos con jeroglíficos. El modelo de Aprendizaje Automático está entrenado para detectar esta "danza" frenética y antinatural de los datos. Aprende la diferencia entre un humano copiando archivos y un robot cifrándolos.

2. La "Clase de Entrenamiento" (El Conjunto de Datos)

Para enseñar a este sistema, los investigadores no usaron simplemente datos aleatorios. Crearon una clase de entrenamiento especial:

Los "Malos": Probaron con 22 familias diferentes de ransomware.
Los "Buenos": No usaron solo archivos seguros al azar. Utilizaron herramientas que parecen ransomware pero que son seguras (como personas comprimiendo archivos con Zip o cifrando sus propios datos con herramientas como VeraCrypt). Esto asegura que el sistema de seguridad no se confunda y bloquee accidentalmente el trabajo de un usuario normal.

3. Los Resultados: Atrapando a los Ladrones Antes de que Ataquen

El artículo afirma que este nuevo sistema es increíblemente efectivo:

Precisión: Identificó correctamente el ransomware el 99.64% de las veces.
Sin fallos: Tuvo una tasa de Falsos Negativos del 0%, lo que significa que no pasó por alto ni un solo ataque de ransomware en sus pruebas.
Alerta Temprana: Lo mejor de todo es que puede atrapar al ladrón mientras todavía está trabajando, antes de que termine de cifrar todo. Lograron una precisión del 99.44% incluso cuando el ataque solo se había completado parcialmente.

Resumen

Piensa en este marco como un equipo de seguridad que no se limita a esperar a que suene la alarma. Revisa rostros conocidos, busca pistas ocultas en notas trituradas y observa patrones de comportamiento sospechosos. Al hacer las tres cosas, pueden detener el ransomware antes de que bloquee los archivos compartidos de la empresa, a menudo antes de que el daño siquiera se haya producido.

Resumen Técnico: Un Marco Híbrido para la Detección de Crypto-Ransomware en Almacenamiento Compartido Empresarial

Declaración del Problema
Los entornos corporativos restringen cada vez más el almacenamiento de datos sensibles en los endpoints de los clientes, trasladando el almacenamiento a unidades de red y recursos compartidos a través del protocolo Server Message Block (SMB). Este cambio arquitectónico ha expandido la superficie de ataque de ransomware desde los sistemas locales hacia los servidores de archivos remotos. Los mecanismos tradicionales de detección de endpoints a menudo fallan en este contexto porque dependen del comportamiento del sistema local; un cliente comprometido puede cifrar datos compartidos en un servidor remoto sin activar alarmas de comportamiento en el propio servidor. Además, los métodos de detección existentes enfrentan limitaciones tales como el sesgo de los conjuntos de datos, la falta de reproducibilidad debido a las restricciones de privacidad en el tráfico de producción y la incapacidad de detectar variantes evasivas que fragmentan las cargas útiles maliciosas o que operan sobre vulnerabilidades de día cero (Zero-Day).

Metodología
Los autores proponen un marco de detección híbrido diseñado para entornos integrados de servidor de archivos y cliente, operando principalmente en el tráfico de red SMB (específicamente analizando códigos SMBv2, con equivalentes señalados para SMBv3). El marco consta de tres módulos secuenciales:

Detección de IoC por Paquete: Esta fase inicial escanea paquetes de red individuales en busca de Indicadores de Compromiso (IoC) conocidos. Específicamente, busca la presencia de mensajes de extorsión (a menudo depositados como archivos no cifrados en las carpetas de las víctimas) mediante la comparación de la longitud de los paquetes contra un repositorio de firmas de familias de ransomware conocidas. Si se encuentra una coincidencia, se activa una remediación inmediata.
Detección de IoC por Región de Interés (RoI): Para contrarrestar las variantes evasivas que fragmentan los mensajes de extorsión a través de múltiples paquetes, este módulo agrega paquetes en "Regiones de Interés" (RoI). Una RoI se define como la secuencia de actividades de red entre dos paquetes de control específicos consecutivos (identificados como $p_{260}$ , un paquete de 260 bytes utilizado para la enumeración de directorios). Dentro de una RoI, el sistema verifica patrones agregados de "Comandos de Interés" ($CoI$) específicos, tales como la creación de archivos ( $r_{p410}$ ), lectura ( $r_{q171}$ ) y escritura ( $r_{p138}$ ). Si la relación de estos paquetes agregados coincide con patrones de IoC conocidos, se genera una alarma.
Detección Basada en Aprendizaje Automático (ML): Si un paquete o una RoI no coinciden con las firmas conocidas, se pasan a un módulo de ML diseñado para detectar variantes de ransomware nuevas o desconocidas.
- Ingeniería de Características: El marco introduce una técnica novedosa de extracción de características basada en la RoI. Calcula características básicas (conteos de operaciones de lectura, escritura, apertura, cierre) y características extendidas (valores totales, medios, desviación estándar y valores más frecuentes de los datos de escritura activados por operaciones de lectura o creación). Para asegurar la neutralidad del entorno, estas características se estandarizan basándose en el número total de archivos en la unidad compartida.
- Entrenamiento del Modelo: El sistema utiliza un modelo de aprendizaje automático de Comité Aleatorio (Random Committee). El conjunto de datos de entrenamiento fue construido a partir de 22 familias de ransomware y 15 aplicaciones benignas. Las muestras benignas fueron cuidadosamente seleccionadas para imitar comportamientos de alto riesgo (por ejemplo, importación masiva de datos, cifrado mediante herramientas como Hicrypt, compresión mediante 7-Zip) para reducir los falsos positivos. El conjunto de datos fue balanceado y procesado utilizando validación cruzada de 10 pliegues (10-fold cross-validation).

Contribuciones Clave

Técnica de Región de Interés (RoI): Un nuevo método de ingeniería de características que agrega paquetes de red basados en códigos de control SMB específicos ( $p_{260}$ ) para definir muestras de datos ricas en contexto, reduizando el sesgo inherente a los enfoques de ventana de tiempo fija o basados en flujos.
Arquitectura de Detección Híbrida: Un marco que combina la detección de IoC basada en firmas (para amenazas conocidas) con la detección de anomalías basada en ML (para amenazas desconocidas/evasivas), integrado en un flujo de trabajo que permite la intervención temprana.
Nuevos Conjuntos de Datos: Los autores presentan dos nuevos conjuntos de datos:
1. Un conjunto de datos etiquetado que contiene 22 familias de ransomware y 15 aplicaciones benignas con similitud conductual al ransomware, diseñado para minimizar el sesgo.
2. Un repositorio de Indicadores de Compromiso (IoC) basados en la red derivados de estas familias.

Resultados
La evaluación experimental del marco arrojó los siguientes métricas de desempeño:

Precisión de Detección: El modelo de Comité Aleatorio logró una precisión de detección del 99.64%.
Tasas de Error: El sistema demostró una Tasa de Falsos Negativos (FNR) del 0%, asegurando que no se pasara por alto ninguna intrusión de ransomware, y una Tasa de Falsos Positivos (FPR) mínima del 0.004%.
Detección Temprana: El marco identificó con éxito las intrusiones de ransomware antes de que ocurriera un daño significativo. Utilizando una ventana deslizante de 48 RoIs, el sistema logró una precisión de detección temprana del 99.44%.
Desempeño por Familia Específica: Aunque los modelos entrenados en familias únicas (por ejemplo, LockBit2.0) alcanzaron una precisión del 100%, los autores señalan que tales modelos estrechos carecen de robustez. La fuerza del marco híbrido reside en su capacidad para generalizar a través de 22 familias diversas.

Significancia y Reivindicaciones
El artículo afirma que este enfoque híbrido aborda la brecha crítica en la detección de ransomware que apunta a sistemas de almacenamiento compartido en lugar de solo a endpoints locales. Al ir más allá de la dependencia exclusiva del estado del sistema host e incorporar el análisis de tráfico de red con la novedosa técnica de RoI, el marco ofrece una defensa robusta contra variantes tanto conocidas como evasivas. Los autores enfatizan que la inclusión de comportamientos benignos que imitan estrechamente las operaciones de ransomware (como el cifrado y la compresión masiva legítimos) asegura que el modelo de detección no sea confundido fácilmente por acciones comunes de los usuarios. El descubrimiento de nuevos IoC basados en la red y la provisión de conjuntos de datos reproducibles se destacan como contribuciones significativas tanto para la investigación académica como para la defensa de la ciberseguridad industrial. El estudio concluye que, si bien los IoC presentados corresponden a tráfico no cifrado, la metodología es aplicable a entornos cifrados (SMBv3) con los ajustes de código correspondientes, ofreciendo una solución escalable para la seguridad del almacenamiento compartido empresarial.

1. El Control de Seguridad de Tres Capas

2. La "Clase de Entrenamiento" (El Conjunto de Datos)

3. Los Resultados: Atrapando a los Ladrones Antes de que Ataquen

Resumen

Más como este