How Far Does Entropy Go? Duplicates, Confounding, Drift and Padding in Entropy-Based Detection of Malicious PE Files
Este artigo demonstra que a detecção baseada em entropia de arquivos PE maliciosos é severamente comprometida por duplicatas de dados, confusão de tamanho e preenchimento adversário, revelando que tais modelos memorizam amplamente seções conhecidas e podem ser facilmente evitados pela anexação de bytes com aparência benigna, necessitando, portanto, de estratégias de detecção mais robustas.
Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
No mundo digital, especialistas em segurança frequentemente confiam em uma ideia matemática simples chamada entropia para detectar softwares perigosos. Imagine um arquivo como uma longa sequência de números. Se esses números seguem um padrão previsível, como uma história escrita em inglês claro ou um programa padrão, a sequência tem baixa entropia; ela é ordenada e fácil de descrever. Mas se os números estão embaralhados, como uma mensagem trancada em um cofre ou um arquivo compactado para economizar espaço, a sequência tem alta entropia; ela parece aleatória e caótica. Como programas maliciosos frequentemente escondem sua verdadeira natureza embaralhando seu código, as ferramentas de segurança frequentemente buscam por esse alto nível de aleatoriedade. Se um arquivo parece excessivamente caótico, a ferramenta o sinaliza como suspeito. Este método é rápido, barato e amplamente utilizado para filtrar milhões de arquivos, decidindo quais precisam de uma análise mais detalhada e quais podem ser ignorados.
No entanto, um novo estudo realizado por pesquisadores da Universidade de Florença e da Universidade de Pisa faz uma pergunta crítica: o quanto podemos realmente confiar nesta medida de caos? A equipe investigou se a aleatoriedade de uma parte específica de um arquivo executável do Windows — a primeira seção de seu código — é de fato um sinal confiável de perigo, ou se é um truque que pode ser facilmente enganado. Eles analisaram quase 43.000 cabeçalhos de arquivos e quase 800.000 amostras rotuladas de um grande conjunto de dados de segurança. O trabalho deles revela que a dependência atual desta única medida é muito mais frágil do que se pensava anteriormente, muitas vezes confundindo repetição com perigo e falhando completamente ao enfrentar novas ameaças não vistas.
Os pesquisadores começaram olhando para uma falha oculta na forma como essas ferramentas de segurança são testadas. Eles descobriram que, em ambos os seus conjuntos de dados, cerca de 64% dos arquivos maliciosos compartilhavam a primeira seção de seu código com pelo menos um outro arquivo. Isso significa que muitos programas maliciosos diferentes foram construídos a partir do mesmo modelo embaralhado. Quando as ferramentas de segurança são testadas usando embaralhamento aleatório, o mesmo modelo frequentemente aparece tanto no grupo de treinamento quanto no grupo de teste. A ferramenta não está realmente aprendendo a reconhecer o perigo; ela está simplesmente memorizando esse modelo específico. Quando os pesquisadores corrigiram isso ao agrupar arquivos idênticos, a capacidade da ferramenta de detectar novas ameaças caiu significativamente. Em um teste projetado para simular condições do mundo real, onde a ferramenta vê arquivos que nunca encontrou antes, o detector baseado em entropia tornou-se quase inútil, capturando menos de um por cento do malware em uma taxa de erro segura.
O estudo também descobriu que as ferramentas estavam frequentemente dependendo do tamanho do arquivo, em vez de seu caos. Em um conjunto de dados, arquivos maliciosos eram, por acaso, maiores do que arquivos seguros, então o detector aprendeu a sinalizar arquivos grandes como perigosos. Mas quando os pesquisadores testaram isso em um conjunto de dados diferente e maior, essa diferença de tamanho desapareceu, e o desempenho da ferramenta colapsou. Isso provou que o detector não estava encontrando uma regra universal sobre malware, mas estava, em vez disso, explorando uma coincidência específica de uma determinada coleção de dados. Além disso, eles descobriram que arquivos com primeiras seções vazias — um sinal comum de software de empacotamento usado para esconder código — eram frequentemente encontrados também em programas seguros, o que significa que este recurso sozinho não pode distinguir entre um vírus e uma aplicação legítima.
Talvez a descoberta mais impressionante diga respeito à facilidade com que esses detectores podem ser contornados. Os pesquisadores calcularam os limites matemáticos do que acontece quando um atacante adiciona bytes extras e inofensivos ao final da primeira seção de um arquivo. Eles descobriram que um atacante poderia quase sempre adicionar preenchimento (padding) suficiente para mudar a aparência do arquivo o suficiente para enganar o detector, sem de fato quebrar o programa. Se o atacante tiver permissão para adicionar uma grande quantidade de preenchimento, ele pode garantir que o detector perca a ameaça em mais de 90% dos casos. Mesmo que o atacante tente ser sutil e adicione apenas uma pequena quantidade de preenchimento, ele ainda pode evitar a detecção em um número significativo de casos, especialmente se escolher o preenchimento cuidadosamente para parecer dados normais e seguros.
Os pesquisadores também exploraram se poderiam construir um detector que fosse imune a esses truques. Eles descobriram que um modelo baseado em uma regra matemática estrita — que a quantidade total de informação em um arquivo não pode diminuir quando bytes são adicionados — seria, de fato, impossível de ser enganado pela adição de preenchimento. No entanto, este modelo "impossível de hackear" era tão cauteloso que falhou em detectar quase qualquer malware. Era uma defesa perfeita contra a evasão, mas uma ferramenta terrível para encontrar ameaças. O estudo conclui que, embora a entropia seja uma pista útil, confiar nela isoladamente é um erro. O sinal que ela fornece é frequentemente um reflexo de código repetido ou do tamanho do arquivo, em vez de malícia real, e pode ser removido com mudanças simples e previsíveis. Para que a segurança seja eficaz, os especialistas devem olhar além desta medida única e combiná-la com muitos outros fatores para ver o quadro completo.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.