How Far Does Entropy Go? Duplicates, Confounding, Drift and Padding in Entropy-Based Detection of Malicious PE Files
Cet article démontre que la détection de fichiers PE malveillants basée sur l'entropie est gravement compromise par les doublons de données, le biais de confusion lié à la taille et le bourrage adversaire, révélant que de tels modèles mémorisent largement des sections connues et peuvent être facilement évadés en ajoutant des octets d'apparence bénigne, nécessitant ainsi des stratégies de détection plus robustes.
Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde numérique, les experts en sécurité s'appuient souvent sur une idée mathématique simple appelée l'entropie pour repérer les logiciels dangereux. Imaginez un fichier comme une longue chaîne de nombres. Si ces nombres suivent un motif prévisible, comme une histoire écrite en anglais courant ou un programme standard, la chaîne a une faible entropie ; elle est ordonnée et facile à décrire. Mais si les nombres sont brouillés, comme un message verrouillé dans un coffre-fort ou un fichier compressé pour gagner de l'espace, la chaîne a une entropie élevée ; elle semble aléatoire et chaotique. Comme les programmes malveillants cachent souvent leur véritable nature en brouillant leur code, les outils de sécurité recherchent fréquemment ce haut niveau de hasard. Si un fichier semble trop chaotique, l'outil le signale comme suspect. Cette méthode est rapide, peu coûteuse et largement utilisée pour passer au crible des millions de fichiers, décidant lesquels nécessitent un examen plus approfondi et lesquels peuvent être ignorés.
Cependant, une nouvelle étude menée par des chercheurs de l'Université de Florence et de l'Université de Pise pose une question critique : à quel point pouvons-nous réellement faire confiance à cette mesure du chaos ? L'équipe a cherché à savoir si le caractère aléatoire d'une partie spécifique d'un fichier exécutable Windows — la première section de son code — est réellement un signe de danger, ou s'il s'agit d'un tour qui peut être facilement déjoué. Ils ont analysé près de 43 000 en-têtes de fichiers et presque 800 000 échantillons étiquetés provenant d'un ensemble de données de sécurité majeur. Leur travail révèle que la dépendance actuelle à cette mesure unique est bien plus fragile qu'on ne le pensait auparavant, confondant souvent la répétition avec le danger et échouant totalement face à de nouvelles menaces inconnues.
Les chercheurs ont commencé par examiner une faille cachée dans la manière dont ces outils de sécurité sont testés. Ils ont découvert que dans leurs deux ensembles de données, environ 64 % des fichiers malveillants partageaient la première section de leur code avec au moins un autre fichier. Cela signifie que de nombreux programmes malveillants différents ont été construits à partir du même modèle brouillé. Lorsque les outils de sécurité sont testés par mélange aléatoire, le même modèle apparaît souvent à la fois dans le groupe d'entraînement et le groupe de test. L'outil n'apprend pas réellement à reconnaître le danger ; il se contente de mémoriser ce modèle spécifique. Lorsque les chercheurs ont corrigé cela en regroupant les fichiers identiques, la capacité de l'outil à détecter de nouvelles menaces a chuté de manière significative. Sur un test conçu pour simuler des conditions réelles où l'outil rencontre des fichiers qu'il n'a jamais rencontrés auparavant, le détecteur basé sur l'entropie est devenu presque inutile, ne capturant moins de un pour cent des logiciels malveillants pour un taux d'erreur sûr.
L'étude a également révélé que les outils s'appuyaient souvent sur la taille du fichier plutôt que sur son chaos. Dans un ensemble de données, les fichiers malveillants se trouvaient être plus volumineux que les fichiers sains, ainsi le détecteur a appris à signaler les fichiers volumineux comme dangereux. Mais lorsque les chercheurs ont testé cela sur un autre ensemble de données plus vaste, cette différence de taille a disparu, et la performance de l'outil s'est effondrée. Cela a prouvé que le détecteur ne trouvait pas une règle universelle sur les logiciels malveillants, mais exploitait plutôt une coïncidence spécifique à une collection de données. De plus, ils ont constaté que les fichiers avec des premières sections vides — un signe courant de logiciels de compactage utilisés pour masquer le code — se retrouvaient fréquemment dans des programmes sûrs également, ce qui signifie que cette caractéristique seule ne peut pas distinguer un virus d'une application légitime.
La découverte la plus frappante concerne la facilité avec laquelle ces détecteurs peuvent être contournés. Les chercheurs ont calculé les limites mathématiques de ce qui se passe lorsqu'un attaquant ajoute des octets inoffensifs à la fin de la première section d'un fichier. Ils ont trouvé qu'un attaquant pourrait presque toujours ajouter suffisamment de remplissage pour changer l'apparence du fichier juste assez pour tromper le détecteur, sans réellement casser le programme. Si l'attaquant est autorisé à ajouter une grande quantité de remplissage, il peut garantir que le détecteur manquera la menace dans plus de 90 % des cas. Même si l'attaquant essaie d'être subtil et n'ajoute qu'une petite quantité de remplissage, il peut toujours échapper à la détection dans un nombre significatif de cas, surtout s'il choisit soigneusement le remplissage pour qu'il ressemble à des données normales et sûres.
Les chercheurs ont également exploré s'ils pouvaient construire un détecteur qui soit immunisé contre ces tours. Ils ont trouvé qu'un modèle basé sur une règle mathématique stricte — selon laquelle la quantité totale d'informations dans un fichier ne peut pas diminuer lorsque des octets sont ajoutés — serait effectivement impossible à tromper par l'ajout de remplissage. Cependant, ce modèle « inviolable » était si prudent qu'il ne parvenait à détecter presque aucun logiciel malveillant. C'était une défense parfaite contre l'évasion, mais un outil terrible pour trouver des menaces. L'étude conclut que bien que l'entropie soit un indice utile, s'appuyer uniquement sur elle est une erreur. Le signal qu'elle fournit est souvent le reflet de codes répétés ou de la taille des fichiers plutôt que d'une véritable malveillance, et il peut être supprimé par des changements simples et prévisibles. Pour que la sécurité soit efficace, les experts doivent regarder au-delà de cette mesure unique et la combiner avec de nombreux autres facteurs pour voir l'image complète.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.