Evaluating Endpoint Detection Robustness Against Genetic Algorithm Driven Code Transformations

Sintesi Tecnica: Valutazione della Robustezza del Rilevamento degli Endpoint contro Trasformazioni di Codice Guidate da Algoritmi Genetici

Problematica
I moderni sistemi di Endpoint Detection and Response (EDR) e Antivirus (AV) si affidano sempre più a un approccio ibrido che combina lo scanning basato su firme con la telemetria comportamentale. Tuttavia, la robustezza di queste difese contro varianti di codice adattive e mutate automaticamente rimane insufficientemente compresa. Sebbene strumenti esistenti come MsfVenom, Veil e TheFatRat generino payload offuscati, essi spesso si basano su template fissi o schemi di codifica noti che attivano avvisi di base nei moderni sistemi di rilevamento. Inoltre, la ricerca precedente si è concentrata ampiamente su payload basati sul web (ad esempio, XSS) o trasformazioni di binari statici, lasciando un vuoto nella valutazione sistematica dei comportamenti post-compromissione — specificamente le reverse shell — contro sia gli strati di rilevamento statico che quelli comportamentali. È necessario un framework controllato per testare come le trasformazioni preservanti il semantismo influenzino l'affidabilità del rilevamento e per identificare le lacune di copertura nelle attuali pipeline difensive.

Metodologia: Il Framework ShellForge
Gli autori introducono ShellForge, un framework guidato da Algoritmi Genetici (GA) progettato per evolvere varianti di test post-compromissione funzionalmente equivalenti (specificamente reverse shell basate su Python) per il benchmarking difensivo. Il sistema opera come un ciclo di feedback chiuso composto da tre sottosistemi integrati:

1. Motore dell'Algoritmo Genetico:

   • Rappresentazione del Cromosoma: Ogni cromosoma codifica una strategia di trasformazione completa divisa in due segmenti: trasformazioni statiche (es. codifica XOR, wrapping Base64, ROT, divisione delle stringhe, inserimento di dead-code) e parametri comportamentali (es. ritardi di esecuzione, soglie di risorse, controlli ambientali come il rilevamento di VM).
   • Operatori Evolutivi: Il sistema impiega la selezione a torneo ($k=3$), il crossover uniforme ($p_c=0.7$) e la mutazione casuale ($p_m=0.2$). L'elettismo preserva il top 10% degli individui.
   • Spazio di Ricerca: Il GA esplora le combinazioni di operatori di offuscamento e il loro ordinamento per trovare varianti che evitino il rilevamento mantenendo la funzionalità.

2. Pipeline di Trasformazione del Payload:

   • Questo modulo decodifica i cromosomi e applica gli operatori specificati a un template di reverse-shell di base (generato tramite MsfVenom). Assicura la correttezza sintattica e la validità operativa, fondendo i frammenti trasformati in payload eseguibili.

3. Framework di Valutazione:

   • Analisi Statica: I payload vengono scansionati contro molteplici motori, inclusi istanze locali di ClamAV e Windows Defender, e l'API di VirusTotal (per il top 20% dei candidati).
   • Analisi Comportamentale: I payload vengono eseguiti in un sandbox CAPE/Cuckoo per monitorare il comportamento a runtime, gli alberi dei processi, le tracce di rete e le interazioni con il file system.
   • Controllo della Funzionalità: Un listener verifica l'effettivo stabilimento del callback TCP, l'esecuzione di comandi (es. whoami, pwd) e la stabilità della sessione.
   • Funzione di Fitness: Un punteggio multi-obiettivo ($F$) bilancia quattro criteri ponderati:
     • Robustezza Statica (40%): Resistenza alle firme AV.
     • Robustezza Comportamentale (35%): Invisibilità nella telemetria del sandbox.
     • Funzionalità (20%): Successo binario della reverse shell.
     • Efficienza (5%): Dimensione del payload e overhead.

Configurazione Sperimentale
Gli esperimenti sono stati condotti in un ambiente virtuale isolato utilizzando tre macchine virtuali: una macchina di Generazione/Orchestrazione (Kali Linux), una macchina Target (Windows 11 con motori AV) e una macchina di Analisi (Ubuntu con CAPE Sandbox). ShellForge è stato confrontato con i framework di base: MsfVenom non codificato, MsfVenom con shikata_ga_nai, Veil-Evasion e TheFatRat.

Risultati Chiave

• Convergenza: Il GA è convergito rapidamente, con il miglior individuo che ha raggiunto un punteggio di fitness di 0.906 alla Generazione 5. Lo spazio di ricerca è risultato ben strutturato, permettendo una rapida scoperta di soluzioni robuste.
• Evasione del Rilevamento:
  • Framework di Base: MsfVenom (19/62 rilevamenti), shikata_ga_nai (44/62), Veil (2/62) e TheFatRat (27/62) hanno tutti innescato tassi di rilevamento significativi e sono stati costantemente giudicati come "Malicious" dal sandbox.
  • ShellForge: La migliore variante evoluta ha ottenuto 0/62 rilevamenti su VirusTotal e ha ricevuto un verdetto "Inconclusive" dal sandbox comportamentale.
• Strategia Ottimale: Il GA ha evoluto una strategia che combina la codifica XOR (chiave=42) e un wrapping Base64 a iterazione singola. Significativamente, la configurazione più robusta disabilitava tutti i controlli ambientali (rilevamento VM, probing del debugger) e si affidava esclusivamente all'offuscamento statico.
• Funzionalità: Il payload evoluto ha mantenuto il 100% della funzionalità, stabilendo con successo reverse shell ed eseguendo comandi, con una dimensione del file di circa 3KB (rispetto ai ~450 byte del baseline).

Significatività e Contributi
Il documento rivendica diversi contributi chiave alla ricerca sulla sicurezza difensiva:

1. Framework Unificato: ShellForge è il primo lavoro ad applicare gli Algoritmi Genetici per evolvere varianti di post-compromissione di reverse-shell sotto un framework unificato che valuta simultaneamente l'analisi statica AV e l'analisi comportamentale di tipo EDR.
2. Scoperta Automatizzata: Lo studio dimostra che la ricerca evolutiva automatizzata può scoprire combinazioni di trasformazioni inedite (specificamente la sequenza XOR + Base64) che non fanno parte delle librerie di offuscamento preimpostate, risultando in un livello di alerting di base inferiore rispetto agli strumenti a template fisso.
3. Intuizione sulla Robustezza: Una scoperta primaria è che la complessità comportamentale minima combinata con forti trasformazioni statiche produce la massima robustezza di evasione. I risultati suggeriscono che, sotto il rilevamento basato su firme, la qualità della trasformazione statica è un determinante più forte dell'evasione rispetto alle tecniche di evasione comportamentale complesse.
4. Benchmarking Difensivo: Il lavoro fornisce un benchmark riproducibile per valutare la robustezza del rilevamento degli endpoint, evidenziando pratici punti ciechi nei sistemi attuali che si affidano pesantemente alle firme statiche.

Conclusione
Gli autori concludono che, sebbene ShellForge non sia uno strumento offensivo, dimostra efficacemente i limiti del rilevamento puramente orientato alle firme di fronte a trasformazioni di codice adattive e preservanti il semantismo. Lo studio motiva la necessità di strategie difensive che incorporino l'analisi semantica del codice, la correlazione comportamentale e i classificatori basati sul machine learning per affrontare le lacune rivelate dalla generazione evolutiva di payload. Il lavoro futuro mira ad estendere questo framework a diversi formati di esecuzione e linguaggi di programmazione.