How Far Does Entropy Go? Duplicates, Confounding, Drift and Padding in Entropy-Based Detection of Malicious PE Files
Este artículo demuestra que la detección de archivos PE maliciosos basada en la entropía se ve severamente comprometida por los duplicados de datos, la confusión por tamaño y el relleno adversario, revelando que tales modelos memorizan en gran medida secciones conocidas y pueden ser fácilmente evadidos mediante la anexión de bytes de apariencia benigna, lo que hace necesaria la implementación de estrategias de detección más robustas.
Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
En el mundo digital, los expertos en seguridad suelen confiar en una idea matemática sencilla llamada entropía para detectar software peligroso. Imagine un archivo como una larga cadena de números. Si esos números siguen un patrón predecible, como una historia escrita en inglés sencillo o un programa estándar, la cadena tiene una entropía baja; es ordenada y fácil de describir. Pero si los números están revueltos, como un mensaje encerrado en una caja fuerte o un archivo comprimido para ahorrar espacio, la cadena tiene una entropía alta; parece aleatoria y caótica. Debido a que los programas maliciosos a menudo ocultan su verdadera naturaleza revirtiendo su código, las herramientas de seguridad frecuentemente escanean este alto nivel de aleatoriedad. Si un archivo parece demasiado caótico, la herramienta lo marca como sospechoso. Este método es rápido, barato y ampliamente utilizado para clasificar millones de archivos, decidiendo cuáles necesitan un vistazo más cercano y cuáles pueden ser ignorados.
Sin embargo, un nuevo estudio realizado por investigadores de la Universidad de Florencia y la Universidad de Pisa plantea una pregunta crítica: ¿cuánto podemos confiar realmente en esta medida del caos? El equipo investigó si la aleatoriedad de una parte específica de un archivo ejecutable de Windows —la primera sección de su código— es en realidad un signo fiable de peligro, o si es un truco que puede ser fácilmente engañado. Analizaron casi 43,000 encabezados de archivos y casi 800,000 muestras etiquetadas de un importante conjunto de datos de seguridad. Su trabajo revela que la dependencia actual en esta única medida es mucho más frágil de lo que se pensaba anteriormente, confundiendo a menudo la repetición con el peligro y fallando por completo cuando se enfrenta a nuevas amenazas no vistas.
Los investigadores comenzaron mirando un fallo oculto en cómo se prueban estas herramientas de seguridad. Descubrieron que en ambos conjuntos de datos, alrededor del 64 por ciento de los archivos maliciosos compartían su primera sección de código con al menos otro archivo. Esto significa que muchos programas maliciosos diferentes fueron construidos a partir de la misma plantilla revuelta. Cuando las herramientas de seguridad se prueban utilizando un barajado aleatorio, la misma plantilla aparece a menudo tanto en el grupo de entrenamiento como en el grupo de prueba. La herramienta no está aprendiendo realmente a reconocer el peligro; simplemente está memorizando esa plantilla específica. Cuando los investigadores corrigieron esto agrupando los archivos idénticos, la capacidad de la herramienta para detectar nuevas amenazas disminuyó significativamente. En una prueba diseñada para imitar las condiciones del mundo real donde la herramienta ve archivos que nunca ha encontrado antes, el detector basado en la entropía se volvió casi inútil, detectando menos del uno por ciento del malware con una tasa de error segura.
El estudio también descubrió que las herramientas a menudo dependían del tamaño del archivo en lugar de su caos. En un conjunto de datos, los archivos maliciosos resultaron ser más grandes que los archivos seguros, por lo que el detector aprendió a marcar los archivos grandes como peligrosos. Pero cuando los investigadores probaron esto en un conjunto de datos diferente y más grande, esta diferencia de tamaño desapareció y el rendimiento de la herramienta colapsó. Esto demostió que el detector no estaba encontrando una regla universal sobre el malware, sino que estaba explotando una coincidencia específica de una colección de datos determinada. Además, encontraron que los archivos con secciones primeras vacías —un signo común de software de empaquetado utilizado para ocultar código— se encontraban frecuentemente también en programas seguros, lo que significa que esta característica por sí sola no puede distinguir entre un virus y una aplicación legítima.
Quizás el hallazgo más sorprendente concierne a la facilidad con la que estos detectores pueden ser evadidos. Los investigadores calcularon los límites matemáticos de lo que sucede cuando un atacante añade bytes inofensivos al final de la primera sección de un archivo. Encontraron que un atacante casi siempre podría añadir suficiente relleno para cambiar la apariencia del archivo lo suficiente como para engañar al detector, sin romper realmente el programa. Si el atacante tiene permitido añadir una gran cantidad de relleno, puede garantizar que el detector pierda la amenaza en más del 90 por ciento de los casos. Incluso si el atacante intenta ser sutil y solo añade una pequeña cantidad de relleno, todavía puede evadir la detección en un número significativo de casos, especialmente si elige el relleno cuidadosamente para que parezca datos normales y seguros.
Los investigadores también exploraron si podían construir un detector que fuera inmune a estos trucos. Encontraron que un modelo basado en una regla matemática estricta —que la cantidad total de información en un archivo no puede disminuir cuando se añaden bytes— sería, de hecho, imposible de engañar mediante la adición de relleno. Sin embargo, este modelo "inhackeable" era tan cauteloso que fallaba en detectar casi cualquier malware. Era una defensa perfecta contra la evasión, pero una herramienta terrible para encontrar amenazas. El estudio concluye que, si bien la entropía es una pista útil, confiar solo en ella es un error. La señal que proporciona es a menudo un reflejo de código repetido o del tamaño del archivo en lugar de una verdadera malicia, y puede ser eliminada con cambios simples y predecibles. Para que la seguridad sea efectiva, los expertos deben mirar más allá de esta única medida y combinarla con muchos otros factores para ver el panorama completo.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.