A Hybrid Framework For Crypto-Ransomware Detection In Enterprise Shared Storage

Resumo Técnico: Um Framework Híbrido para Detecção de Crypto-Ransomware em Armazenamento Compartilhado Corporativo

Declaração do Problema
Os ambientes corporativos restringem cada vez mais o armazenamento de dados sensíveis em endpoints de clientes, deslocando o armazenamento para unidades de rede e recursos compartilhados via protocolo Server Message Block (SMB). Essa mudança arquitetural expandiu a superfície de ataque de ransomware do sistemas locais para servidores de arquivos remotos. Os mecanismos tradicionais de detecção de endpoint frequentemente falham nesse contexto porque dependem do comportamento do sistema local; um cliente comprometido pode criptografar dados compartilhados em um servidor remoto sem disparar alarmes comportamentais no próprio servidor. Além disso, os métodos de detecção existentes enfrentam limitações como viés de conjunto de dados, falta de reprodutibilidade devido a restrições de privacidade no tráfego de produção e a incapacidade de detectar variantes evasivas que fragmentam payloads maliciosos ou operam em vulnerabilidades de Dia Zero (Zero-Day).

Metodologia
Os autores propõem um framework de detecção híbrido projetado para ambientes integrados de servidor de arquivos e cliente, operando primariamente no tráfego de rede SMB (especificamente analisando códigos SMBv2, com equivalentes observados para SMBv3). O framework consiste em três módulos sequenciais:

1. Detecção de IoC por Pacote: Esta fase inicial varre pacotes de rede individuais em busca de Indicadores de Comprometimento (IoCs) conhecidos. Especificamente, busca a presença de mensagens de extorsão (frequentemente deixadas como arquivos não criptografados em pastas de vítimas) ao comparar o comprimento dos pacotes com um repositório de assinaturas de famílias de ransomware conhecidas. Se uma correspondência for encontrada, a remediação imediata é acionada.
2. Detecção de IoC por Região de Interesse (RoI): Para combater variantes evasivas que fragmentam mensagens de extorsão entre múltiplos pacotes, este módulo agrega pacotes em "Regiões de Interesse" (RoI). Uma RoI é definida como a sequência de atividades de rede entre dois pacotes de controle específicos consecutivos (identificados como $p_{260}$, um pacote de 260 bytes usado para enumeração de diretórios). Dentro de uma RoI, o sistema verifica padrões agregados de "Comandos de Interesse" ($CoI$) específicos, como criação de arquivo ($r_{p410}$), leitura ($r_{q171}$) e escrita ($r_{p138}$). Se a razão desses pacotes agregados corresponder a padrões de IoC conhecidos, um alarme é disparado.
3. Detecção Baseada em Aprendizado de Máquina (ML): Se um pacote ou RoI não corresponder às assinaturas conhecidas, ele é passado para um módulo de ML projetado para detectar variantes de ransomware novas ou desconhecidas.
   • Engenharia de Atributos (Feature Engineering): O framework introduz uma técnica de extração de atributos inovadora baseada na RoI. Ele calcula atributos básicos (contagens de operações de leitura, escrita, abertura, fechamento) e atributos estendidos (total, média, desvio padrão e valores mais frequentes de dados de escrita disparados por operações de leitura ou criação). Para garantir a neutralidade do ambiente, esses atributos são padronizados com base no número total de arquivos no drive compartilhado.
   • Treinamento do Modelo: O sistema utiliza um modelo de aprendizado de máquina de Comitê Aleatório (Random Committee). O conjunto de dados de treinamento foi construído a partir de 22 famílias de ransomware e 15 aplicações benignas. As amostras benignas foram cuidadosamente selecionadas para mimetizar comportamentos de alto risco de usuários (ex: importação massiva de dados, criptografia via ferramentas como Hicrypt, compressão via 7-Zip) para reduzir falsos positivos. O conjunto de dados foi balanceado e processado usando validação cruzada de 10 dobras (10-fold cross-validation).

Principais Contribuições

• Técnica de Região de Interesse (RoI): Um novo método de engenharia de atributos que agrega pacotes de rede baseados em códigos de controle SMB específicos ($p_{260}$) para definir amostras de dados ricas em contexto, reduzindo o viés inerente às abordagens de janela de tempo fixa ou baseadas em fluxo.
• Arquitetura de Detecção Híbrida: Um framework que combina detecção de IoC baseada em assinatura (para ameaças conhecidas) com detecção de anomalias baseada em ML (para ameaças desconhecidas/evasivas), integrado em um fluxo de trabalho que permite intervenção precoce.
• Novos Conjuntos de Dados: Os autores apresentam dois novos conjuntos de dados:
  1. Um conjunto de dados rotulado contendo 22 famílias de ransomware e 15 aplicações benignas com similaridade comportamental ao ransomware, projetado para minimizar o viés.
  2. Um repositório de Indicadores de Comprometimento (IoCs) baseados em rede derivados dessas famílias.

Resultos
A avaliação experimental do framework rendeu os seguintes métricas de desempenho:

• Precisão de Detecção: O modelo de Comitê Aleatório alcançou uma precisão de detecção de 99,64%.
• Taxas de Erro: O sistema demonstrou uma Taxa de Falso Negativo (FNR) de 0%, garantando que nenhuma intrusão de ransomware fosse perdida, e uma Taxa de Falso Positivo (FPR) mínima de 0,004%.
• Detecção Precoce: O framework identificou com sucesso intrusões de ransomware antes que danos significativos ocorressem. Usando uma janela deslizante de 48 RoIs, o sistema alcançou uma precisão de detecção precoce de 99,44%.
• Desempenho Específico por Família: Embora modelos treinados em famílias únicas (ex: LockBit2.0) tenham alcançado 100% de precisão, os autores observam que tais modelos estreitos carecem de robustez. A força do framework híbrido reside em sua capacidade de generalizar para 22 famílias diversas.

Significância e Alegações
O artigo afirma que esta abordagem híbrida aborda a lacuna crítica na detecção de ransomware que visa o armazenamento compartilhado em vez de apenas endpoints locais. Ao ir além da dependência exclusiva do estado do sistema host e incorporar a análise de tráfego de rede com a nova técnica de RoI, o framework oferece uma defesa robusta contra variantes conhecidas e evasivas. Os autores enfatizam que a inclusão de comportamentos benignos que mimetizam de perto as operações de ransomware (como criptografia e compressão legítimas em massa) garante que o modelo de detecção não seja facilmente confundido por ações comuns de usuários. A descoberta de novos IoCs baseados em rede e a provisão de conjuntos de dados reproduzíveis são destacadas como contribuições significativas tanto para a pesquisa acadêmica quanto para a defesa de cibersegurança industrial. O estudo conclui que, embora os IoCs apresentados correspondam ao tráfego não criptografado, a metodologia é aplicável a ambientes criptografados (SMBv3) com os ajustes de código correspondentes, ofereando uma solução escalável para a segurança de armazenamento compartilhado empresarial.