RABIS:Ransomware Analysis Based on Information Theory and System Calls

En el mundo digital, cada acción que realiza un programa informático se registra como una serie de peticiones al sistema operativo. Cuando un programa necesita abrir un archivo, guardar un documento o conectarse a una red, debe pedirle al software central del ordenador que lo haga. Estas peticiones se denominan llamadas al sistema (system calls). Durante décadas, los expertos en seguridad han observado estas peticiones para detectar problemas. La lógica es sencilla: un programa normal, como un procesador de textos o un navegador web, se comporta de una manera compleja y variada porque está responciendo a un usuario humano que piensa, hace clic y escribe siguiendo patrones impredecibles. Sus peticiones al ordenador son diversas e irregulares. Un programa malicioso, sin embargo, suele tener un objetivo único y rígido. Si ese objetivo es robar o destruir datos, el programa repetirá las mismas pocas acciones una y otra vez, pidiendo al ordenador que abra, lea, cifre y renombre miles de archivos con un ritmo implacable y mecánico. Esta naturaleza repetitiva deja una huella digital distinta, diferente del ruido caótico del software cotidiano.

Investigadores de la Universidad Nacional de Ciencias Forenses de la India y del Instituto Avanzado de Matemáticas C. R. Rao en Hyderabad han desarrollado una nueva forma de atrapar estos programas maliciosos midiendo ese ritmo. Llaman a su método RABIS. En lugar de intentar reconocer un virus específico por su nombre o su código, algo que los hackers pueden cambiar fácilmente, este enfoque observa el patrón estadístico del comportamiento del programa. Tratan la secuencia de llamadas al sistema como un flujo de datos y miden cuánta variedad existe dentro de él. Desde su punto de vista, un programa sano está lleno de sorpresas y variedad, mientras que un programa de ransomware es aburridamente predecible. Al calcular un valor que representa este nivel de imprevisibilidad, pueden separar los programas peligrosos de los seguros sin necesidad de saber exactamente cómo se llama el virus o cómo fue construido.

Para probar esta idea, el equipo creó un entorno controlado donde podían observar tanto software seguro como peligroso en acción. Reunieron 150 ejemplos de programas normales y cotidianos, como editores de texto, calculadoras, navegadores web y herramientas de línea de comandos utilizadas por administradores de sistemas. También obtuvieron cuatro muestras distintas de ransomware real conocidas por nombres como Conti, REvil, Monti y SougoLock. Estos programas maliciosos están diseñados para bloquear los archivos de un usuario y exigir dinero por la clave. Los investigadores ejecutaron todos estos programas en un sistema informático que contenía una gran colección de archivos, simulando el disco duro de un usuario real. A medida que cada programa se ejecutaba, una herramienta de monitorización registraba cada una de las peticiones que realizaba al sistema operativo, creando un registro detallado de su comportamiento.

El núcleo de su investigación consistió en dividir estos largos registros en grupos pequeños y superpuestos de tres peticiones a la vez. Luego contaron con qué frecuencia aparecía cada grupo específico de tres. Para los programas normales, los registros mostraron una amplia mezcla de diferentes grupos, sin que un único patrón se repitiera demasiado. Los programas maliciosos, sin embargo, mostraron un panorama muy diferente. Debido a que el ransomware debe procesar archivo tras archivo de la misma manera, repetía constantemente la misma secuencia exacta de peticiones. Los investigadores utilizaron un concepto matemático conocido como entropía para cuantificar esta diferencia. En términos sencillos, la entropía mide cuánto desorden o aleatoriedad hay presente en un conjunto de datos. Una entropía alta significa que los datos son variados y difíciles de predecir, que es lo que vieron en los programas seguros. Una entropía baja significa que los datos son repetitivos y predecibles, que es exactamente lo que encontraron en el ransomware.

Los resultados fueron impactantes. Cuando el equipo aplicó su método, los programas maliciosos destacaron claramente entre la multitud. Las cuatro muestras de ransomware mostraron valores de entropía muy bajos, confirmando su naturaleza repetitiva y mecánica. Los 150 programas seguros mostraron valores mucho más altos, reflejando su comportamiento complejo y variado. El sistema identificó correctamente cada una de las muestras de ransomware como peligrosas. Sí clasificó erróneamente un pequeño número de programas seguros como amenazas, específicamente aquellos que realizan tareas repetitivas por naturaleza, como ciertas herramientas de copia de seguridad o software antivirus que escanean muchos archivos. Sin embargo, la precisión general del método alcanzó el 98,05 por ciento. Los investigadores descubrieron que cuanto mayor era la colección de archivos que el ransomware intentaba cifrar, más claro era su patrón repetitivo, lo que lo hacía aún más fácil de detectar.

Este enfoque ofrece una ventaja significativa sobre los métodos más antiguos que dependen de modelos complejos de inteligencia artificial o de bases de datos masivas de firmas de virus conocidas. Esos sistemas antiguos pueden ser lentos, requieren mucha potencia de cálculo y a menudo fallan cuando un hacker altera ligeramente un virus para que parezca nuevo. El método RABIS es ligero y rápido porque simplemente cuenta patrones y mide su variedad. No necesita ser entrenado con miles de ejemplos de malware para funcionar; solo necesita entender la diferencia entre el comportamiento caótico de un programa impulsado por un humano y el comportamiento rígido y repetitivo de un ataque impulsado por una máquina. Los investigadores demostraron que, al centrarse en el ritmo fundamental de cómo el software habla con el ordenador, pueden detectar un ataque de ransomware mientras ocurre, incluso si el virus no ha sido visto antes.

Si bien el método es altamente efectivo, los investigadores reconocen que no es perfecto. Los pocos programas seguros que fueron señalados como amenazas fueron aquellos que realizan operaciones de archivos repetitivas por naturaleza, lo que a veces puede imitar el comportamiento de un atacante. Para manejar esto, el equipo sugiere que las futuras versiones del sistema podrían observar el contexto de la actividad, como cuántos archivos están siendo tocados o con qué rapidez se está ejecutando el proceso, para reducir estas falsas alarmas. También planean expandir el sistema para que funcione en diferentes tipos de ordenadores, no solo en el sistema operativo específico que probaron. Por ahora, el estudio demuestra que una mirada estadística simple a la forma en que el software se comporta puede ser un escudo poderoso contra una de las formas más destructivas del cibercrimen, ofreciendo una forma de detectar la amenaza mediante su falta de imaginación.