RABIS:Ransomware Analysis Based on Information Theory and System Calls

No mundo digital, cada ação que um programa de computador realiza é registrada como uma série de requisições ao sistema operacional. Quando um programa precisa abrir um arquivo, salvar um documento ou conectar-se a uma rede, ele deve pedir ao software central do computador para fazê-lo. Essas requisições são chamadas de chamadas de sistema (system calls). Por décadas, especialistas em segurança têm observado essas requisições para detectar problemas. A lógica é direta: um programa normal, como um processador de texto ou um navegador web, comporta-se de uma maneira complexa e variada porque está respondendo a um usuário humano que está pensando, clicando e digitando em padrões imprevisíveis. Suas requisições ao computador são diversas e irregulares. Um programa malicioso, entretanto, costuma ter um objetivo único e rígido. Se esse objetivo for roubar ou destruir dados, o programa repetirá as mesmas poucas ações repetidamente, pedindo ao computador para abrir, ler, criptografar e renomear milhares de arquivos em um ritmo implacável e mecânico. Essa natureza repetitiva deixa uma impressão digital distinta, que é diferente do ruído caótico do software cotidiano.

Pesquisadores da National Forensic Sciences University, na Índia, e do C. R. Rao Advanced Institute of Mathematics, em Hyderabad, desenvolveram uma nova maneira de capturar esses programas maliciosos medindo esse ritmo. Eles chamam seu método de RABIS. Em vez de tentar reconhecer um vírus específico pelo seu nome ou pelo seu código, que os hackers podem alterar facilmente, essa abordagem observa o padrão estatístico do comportamento do programa. Eles tratam a sequência de chamadas de sistema como um fluxo de dados e medem quanta variedade existe dentro dele. Em sua visão, um programa saudável é cheio de surpresas e variedade, enquanto um programa de ransomware é entediantemente previsível. Ao calcular um valor que representa esse nível de imprevisibilidade, eles conseguem separar os programas perigosos dos seguros sem precisar saber exatamente como o vírus é chamado ou como foi construído.

Para testar essa ideia, a equipe criou um ambiente controlado onde puderam observar tanto softwares seguros quanto perigosos em ação. Eles reuniram 150 exemplos de programas normais e cotidianos, como editores de texto, calculadoras, navegadores web e ferramentas de linha de comando usadas por administradores de sistema. Eles também obtiveram quatro amostras distintas de ransomware do mundo real, conhecidas por nomes como Conti, REvil, Monti e SougoLock. Esses programas maliciosos são projetados para bloquear os arquivos de um usuário e exigir dinheiro pelo acesso à chave. Os pesquisadores executaram todos esses programas em um sistema de computador que continha uma grande coleção de arquivos, simulando o disco rígido de um usuário real. Conforme cada programa era executado, uma ferramenta de monitoramento registrava cada requisição feita ao sistema operacional, criando um log detalhado de seu comportamento.

O cerne de sua investigação envolveu a divisão desses logs longos em pequenos grupos sobrepostos de três requisições por vez. Eles então contaram com que frequência cada grupo específico de três aparecia. Para os programas normais, os logs mostraram uma ampla mistura de diferentes grupos, sem que um único padrão se repetisse com muita frequência. Os programas maliciosos, no entanto, mostraram um cenário muito diferente. Como o ransomware deve processar arquivo após arquivo da mesma maneira, ele repetia constantemente a exata mesma sequência de requisições. Os pesquisadores utilizaram um conceito matemático conhecido como entropia para quantificar essa diferença. Em termos simples, a entropia mede quanta desordem ou aleatoriedade está presente em um conjunto de dados. Alta entropia significa que os dados são variados e difíceis de prever, o que foi o que viram nos programas seguros. Baixa entropia significa que os dados são repetitivos e previsíveis, que foi exatamente o que encontraram no ransomware.

Os resultados foram impressionantes. Quando a equipe aplicou seu método, os programas maliciosos destacaram-se claramente da multidão. As quatro amostras de ransomware apresentaram valores de entropia muito baixos, confirmando sua natureza repetitiva e mecânica. Os 150 programas seguros mostraram valores muito mais altos, refletindo seu comportamento complexo e variado. O sistema identificou corretamente cada amostra de ransomware como perigosa. Ele classificou incorretamente um pequeno número de programas seguros como ameaças, especificamente aqueles que realizam tarefas repetitivas, como certas ferramentas de backup ou softwares antivírus que escaneiam muitos arquivos. No entanto, a precisão geral do método atingiu 98,05 por cento. Os pesquisadores descobriram que, quanto maior a coleção de arquivos que o ransomware tentava criptografar, mais claro se tornava seu padrão repetitivo, tornando-o ainda mais fácil de detectar.

Essa abordagem oferece uma vantagem significativa sobre métodos mais antigos que dependem de modelos complexos de inteligência artificial ou de vastas bases de dados de assinaturas de vírus conhecidas. Esses sistemas antigos podem ser lentos, exigir grande poder computacional e frequentemente falham quando um hacker altera ligeiramente um vírus para fazer com que pareça novo. O método RABIS é leve e rápido porque simplesmente conta padrões e mede sua variedade. Ele não precisa ser treinado em milhares de exemplos de malware para funcionar; ele só precisa entender a diferença entre o comportamento caótico de um programa impulsionado por um humano e o comportamento rígido e repetitivo de um ataque impulsionado por uma máquina. Os pesquisadores demonstraram que, ao focar no ritmo fundamental de como o software comunica com o computador, eles podem detectar um ataque de ransomware conforme ele acontece, mesmo que o vírus nunca tenha sido visto antes.

Embora o método seja altamente eficaz, os pesquisadores reconhecem que não é perfeito. Os poucos programas seguros que foram sinalizados como ameaças foram aqueles que naturalmente realizam operações de arquivos repetitivas, o que às vezes pode mimetizar o comportamento de um atacante. Para lidar com isso, a equipe sugere que versões futuras do sistema poderiam observar o contexto da atividade, como quantos arquivos estão sendo tocados ou a rapidez com que o processo está ocorrendo, para reduzir esses alarmes falsos. Eles também planejam expandir o sistema para trabalhar em diferentes tipos de computadores, não apenas no sistema operacional específico que testaram. Por enquanto, o estudo prova que um olhar estatístico simples sobre a forma como o software se comporta pode ser um escudo poderoso contra uma das formas mais destrutivas de cibercrime, oferecendo uma maneira de detectar a ameaça por sua falta de imaginação.