How Far Does Entropy Go? Duplicates, Confounding, Drift and Padding in Entropy-Based Detection of Malicious PE Files
Questo articolo dimostra che il rilevamento basato sull'entropia di file PE malevoli è gravemente compromesso dai duplicati dei dati, dal confondimento della dimensione e dal padding avversario, rivelando che tali modelli memorizzano ampiamente le sezioni note e possono essere facilmente elusi aggiungendo byte dall'aspetto benigno, rendendo così necessari strategie di rilevamento più robuste.
Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo digitale, gli esperti di sicurezza si affidano spesso a un semplice concetto matematico chiamato entropia per individuare software pericolosi. Immaginate un file come una lunga stringa di numeri. Se quei numeri seguono uno schema prevedibile, come una storia scritta in inglese semplice o un programma standard, la stringa ha una bassa entropia; è ordinata e facile da descrivere. Ma se i numeri sono rimescolati, come un messaggio chiuso in un caveau o un file compresso per risparmiare spazio, la stringa ha un'alta entropia; appare casuale e caotica. Poiché i programmi malevoli spesso nascondono la loro vera natura rimescolando il proprio codice, gli strumenti di sicurezza scansionano frequentemente questo alto livello di casualità. Se un file appare troppo caotico, lo strumento lo segnala come sospetto. Questo metodo è veloce, economico e ampiamente utilizzato per esaminare milioni di file, decidendo quali richiedano un esame più approfondito e quali possano essere ignorati.
Tuttavia, un nuovo studio condotto da ricercatori dell'Università di Firenze e dell'Università di Pisa pone una domanda critica: quanto possiamo realmente fidarci di questa misura del caos? Il team ha indagato se la casualità di una parte specifica di un file eseguibile Windows — la prima sezione del suo codice — sia in realtà un segno affidabile di pericolo, o se sia un trucco che può essere facilmente aggirato. Hanno analizzato quasi 43.000 intestazioni di file e quasi 800.000 campioni etichettati da un importante dataset di sicurezza. Il loro lavoro rivela che l'attuale affidamento su questa singola misura è molto più fragile di quanto precedentemente pensato, confondendo spesso la ripetizione con il pericolo e fallendo completamente di fronte a nuove minacce mai viste prima.
I ricercatori hanno iniziato osservando un difetto nascosto nel modo in cui questi strumenti di sicurezza vengono testati. Hanno scoperto che in entrambi i loro dataset, circa il 64 percento dei file malevoli condivideva la prima sezione di codice con almeno un altro file. Ciò significa che molti programmi malevoli diversi erano stati costruiti a partire dallo stesso modello rimescolato. Quando gli strumenti di sicurezza vengono testati utilizzando l'estrazione casuale, lo stesso modello appare spesso sia nel gruppo di addestramento che nel gruppo di test. Lo strumento non sta imparando realmente a riconoscere il pericolo; sta semplicemente memorizzando quel particolare modello. Quando i ricercatori hanno corretto questo aspetto raggruppando i file identici, la capacità dello strumento di rilevare nuove minacce è diminuita significativamente. In un test progettato per simulare le condizioni del mondo reale, dove lo strumento incontra file che non ha mai visto prima, il rilevatore basato sull'entropia è diventato quasi inutile, intercettando meno dell'uno percento dei malware a un tasso di errore sicuro.
Lo studio ha anche scoperto che gli strumenti spesso si basavano sulla dimensione del file piuttosto che sul suo caos. In un dataset, i file malevoli risultavano casualmente più grandi dei file sicuri, quindi il rilevatore ha imparato a segnalare i file grandi come pericolosi. Ma quando i ricercatori hanno testato questo approccio su un dataset diverso e più grande, questa differenza di dimensione è scomparsa e le prestazioni del rilevatore sono crollate. Ciò ha dimostrato che il rilevatore non stava trovando una regola universale sul malware, ma stava invece sfruttando una coincidenza specifica di una particolare collezione di dati. Inoltre, hanno scoperto che i file con sezioni iniziali vuote — un segno comune dei software di "packing" usati per nascondere il codice — si trovavano frequentemente anche in programmi sicuri, il che significa che questa caratteristica da sola non può distinguere tra un virus e un'applicazione legittima.
Forse il reperto più sorprendente riguarda la facilità con cui questi rilevatori possono essere aggirati. I ricercatori hanno calcolato i limiti matematici di ciò che accade quando un attaccante aggiunge byte innocui alla fine della prima sezione di un file. Hanno scoperto che un attaccante può quasi sempre aggiungere abbastanza "padding" (riempimento) da cambiare l'aspetto del file quanto basta per ingannare il rilevatore, senza effettivamente rompere il programma. Se l'attaccante può aggiungere una grande quantità di padding, può garantire che il rilevatore manchi la minaccia in oltre il 90 percento dei casi. Anche se l'attaccante cerca di essere sottile e aggiunge solo una piccola quantità di padding, può comunque eludere il rilevamento in un numero significativo di casi, specialmente se sceglie il padding con cura affinché sembri dati normali e sicuri.
I ricercatori hanno anche esplorato se potessero costruire un rilevatore che fosse immune a questi trucchi. Hanno scoperto che un modello basato su una regola matematica rigorosa — secondo la quale la quantità totale di informazioni in un file non può diminuire quando vengono aggiunti byte — sarebbe effettivamente impossibile da ingannare aggiungendo padding. Tuttavia, questo modello "impossibile da hackerare" era così cauto da non riuscire a rilevare quasi nessun malware. Era una difesa perfetta contro l'evasione, ma uno strumento terribile per trovare le minacce. Lo studio conclude che, sebbene l'entropia sia un indizio utile, affidarsi ad essa da soli è un errore. Il segnale che fornisce è spesso un riflesso di codice ripetuto o della dimensione del file piuttosto che di vera malizia, e può essere rimosso con cambiamenti semplici e prevedibili. Per essere efficace, la sicurezza deve guardare oltre questa singola misura e combinarla con molti altri fattori per vedere il quadro completo.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.