Evaluating Endpoint Detection Robustness Against Genetic Algorithm Driven Code Transformations
Cet article introduit ShellForge, un cadre piloté par algorithme génétique qui génère des variantes de code post-compromission fonctionnellement équivalentes afin d'évaluer et d'exposer systématiquement les lacunes de robustesse des systèmes modernes d'Antivirus et d'Endpoint Detection and Response, proposant ainsi un benchmark reproductible pour améliorer la surveillance défensive.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez que vous êtes un agent de sécurité dans un bâtiment de haute technologie (l'ordinateur). Votre travail est d'arrêter les intrus. Vous avez deux manières principales de le faire :
- La liste des « Avis de recherche » (Détection par signature) : Vous vérifiez le visage de chaque personne par rapport à une liste de méchants connus. Si quelqu'un ressemble exactement à une personne sur la liste, vous l'arrêtez.
- La surveillance du « Comportement suspect » (Détection comportementale) : Vous observez ce que les gens font. Si quelqu'un essaie de crocheter une serrure, de courir vers le toit ou de chuchoter des secrets, vous l'arrêtez, même si vous ne reconnaissez pas son visage.
Le Problème :
Les méchants (les hackers) sont intelligents. Ils savent que vous avez ces listes et ces surveillances. Ils commencent donc à porter des déguisements. Ils peuvent porter une fausse moustache, changer la couleur de leurs cheveux ou marcher avec une boiterie. Ce sont ce qu'on appelle des « transformations de code ».
La plupart des outils de sécurité actuels sont excellents pour repérer le méchant original, mais ils sont souvent confus lorsque le méchant enfile un déguisement. Les chercheurs de ce document voulaient tester : À quel point nos agents de sécurité sont-ils doués pour repérer un méchant qui essaie activement de changer d'apparence ?
La Solution : « ShellForge » (La salle de sport évolutive)
Les auteurs ont construit un outil appelé ShellForge. Considérez cela non pas comme une arme, mais comme un simulateur d'entraînement pour les agents de sécurité.
Au lieu qu'un humain essaie de deviner comment déguiser un méchant, ShellForge utilise un « Algorithme Génétique ». Imaginez une salle de sport où vous avez 25 « stagiaires » (des déguisements de méchants).
- L'entraînement : Chaque stagiaire essaie de se faufiler devant l'agent de sécurité.
- Le score : Si l'agent attrape le stagiaire, il reçoit un score faible. S'il se faufile, il reçoit un score élevé.
- La reproduction : Les stagiaires ayant obtenu les scores les plus élevés (les meilleurs pour se faufiler) sont appariés pour créer des « bébés » (de nouveaux déguisements). Ces bébés mélangent les meilleurs traits de leurs parents (par exemple, la fausse moustache du père + la boiterie de la mère).
- La mutation : Parfois, un changement aléatoire se produit, comme le bébé qui porte soudainement un chapeau.
- Répéter : Cela se produit encore et encore (générations), devenant de plus en plus intelligent et de plus en plus doué pour se faufiler.
Le but n'est pas réellement de s'introduire dans un bâtiment ; c'est de voir aussi facilement que le système de sécurité peut être trompé afin que les défenseurs puissent corriger leurs angles morts.
Ce qu'ils ont testé
Ils ont utilisé un type de comportement de « méchant » très courant appelé Reverse Shell.
- Analogie : Imaginez un intrus qui s'introduit, puis appelle immédiatement son patron sur une ligne téléphonique secrète pour dire : « Je suis dedans, dis-moi quoi faire ensuite ».
- Ils ont pris cet « appel » et ont utilisé ShellForge pour faire évoluer des milliers de versions différentes de celui-ci, en modifiant le code (le déguisement) tout en s'assurant que l'appel fonctionne toujours.
Ils ont testé ces déguisements en évolution contre :
- Les scanners statiques : Les « Avis de recherche » (comme VirusTotal et Windows Defender).
- Les scanners comportementaux : Les « Surveillances de comportement suspect » (comme un bac à sable/sandbox qui observe ce que fait le code).
Les Résultats : La Surprise
Après avoir fait tourner la simulation pendant seulement quelques tours (générations), ShellForge a trouvé un « super-déguisement ».
- L'ancienne méthode : Les outils qui utilisent simplement des déguisements pré-faits (comme Msfvenom ou Veil) étaient presque toujours attrapés par presque tous les agents de sécurité. Ils étaient comme des méchants portant un panneau « Je suis un criminel ».
- La méthode ShellForge : Le déguisement évolué n'a été attrapé par aucun des 62 différents moteurs antivirus qu'ils ont testés.
- Score Statique : 100 % (La liste des « Avis de recherche » ne l'a pas du tout reconnu).
- Score Comportemental : Élevé (L'agent de sécurité observant le comportement était confus et ne pouvait pas décider si c'était mauvais ou non).
- Fonctionnalité : 100 % (L'« appel » au patron a parfaitement fonctionné).
Le Grand Enseignement :
Les chercheurs ont découvert que vous n'avez pas besoin d'un déguisement complexe et fou pour tromper les gardiens. Le « déguisement gagnant » était en fait assez simple : il changeait simplement l'apparence du code (en utilisant des astuces mathématiques simples comme le XOR et le Base64) et n'essayait rien de spécial pour se cacher de la « surveillance comportementale ».
Cela suggère que les systèmes de sécurité actuels sont trop concentrés sur la liste des « Avis de recherche ». Si un méchant change simplement légèrement d'apparence, le système les manque complètement.
Pourquoi cela importe (selon le document)
Les auteurs soulignent que ceci est purement destiné à la défense. Ils n'enseignent pas aux hackers comment s'introduire dans un système. Au contraire, ils montrent aux entreprises de sécurité :
« Hé, vos gardes actuels ratent ces déguisements simples. Vous devez devenir meilleurs pour repérer le comportement du code, et pas seulement le comparer à une liste de méchants connus. »
Ils proposent que les futurs outils de sécurité doivent être plus intelligents, en recherchant des modèles et des connexions dans la façon dont le code se comporte, plutôt que de simplement vérifier si le code ressemble à quelque chose qu'ils ont déjà vu auparavant.
En bref : ShellForge est un miroir qui montre aux équipes de sécurité exactement où se trouvent leurs angles morts, prouvant que des changements simples et automatisés peuvent contourner les défenses actuelles, et les incitant à mettre à jour leurs méthodes de détection.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.