Novo Método Revela Táticas de Evasão de Malware

Malware para Windows é bem comum na internet e geralmente é o alvo de atacantes que tentam passar despercebidos pelos sistemas de segurança. Pesquisadores têm estudado maneiras de como o malware pode contornar essas defesas, mas ainda tem muita coisa que precisa de resposta. Algumas dessas perguntas são sobre a eficácia das técnicas atuais, como garantir que o malware funcione como esperado após modificações e onde estão os melhores lugares para fazer mudanças sem ser notado.

Este artigo fala sobre um novo método para modificar arquivos Executáveis Portáteis do Windows (PE), que são o formato padrão para arquivos executáveis no Windows. A abordagem envolve criar um espaço dentro do próprio arquivo, onde pequenas mudanças podem ser feitas para ajudar o malware a evitar a detecção por scanners baseados em aprendizado de máquina, mantendo o malware funcional.

#Contexto

#O que é Malware?

Malware, abreviação de software malicioso, se refere a qualquer programa criado para prejudicar ou explorar sistemas de computador. Isso inclui vírus, worms e software que pode roubar informações pessoais. O malware pode ser entregue através de anexos de e-mail, downloads ou até mesmo sites.

#Entendendo Ataques de Evasão

Um ataque de evasão acontece quando o malware é deliberadamente alterado para evitar ser detectado por programas de segurança. Os atacantes modificam o malware para que ele pareça inofensivo para os scanners, que geralmente são baseados em algoritmos de aprendizado de máquina.

#O Desafio da Detecção de Malware

Detectar malware é uma tarefa desafiadora para os sistemas de segurança. Modelos de aprendizado de máquina, como redes neurais convolucionais (CNNs), são usados com frequência porque conseguem aprender a reconhecer padrões nos dados. No entanto, esses modelos podem ser enganados com pequenas alterações no malware, conhecidas como perturbações. A chave está em garantir que essas modificações não atrapalhem a funcionalidade do malware.

#Método Proposto

#O que é um Code Cave?

Um code cave é uma área dentro de um arquivo PE que não está sendo usada ou pode ser reaproveitada para comportar código ou dados adicionais. Ao usar esses espaços, os atacantes podem inserir suas modificações sem mudar o comportamento visível do malware.

#Passos para Criar um Code Cave Intra-Seção

1. Identificar Seções: Um arquivo PE é dividido em seções, como .text (código) e .data (variáveis). O primeiro passo é identificar qual seção tem espaço suficiente para as mudanças.

2. Aumentar o Tamanho: Uma vez que uma seção adequada é encontrada, o tamanho dessa seção é aumentado para abrir espaço para o code cave.

3. Inserir Loader de Código: Um loader de código é adicionado ao final da seção .text. Esse loader vai restaurar o malware original quando for executado, garantindo que ele continue operando como esperado.

4. Injetar Perturbações: Por fim, mudanças adversariais são feitas dentro do code cave. Isso pode ajudar o malware a escapar da detecção, fazendo com que pareça inofensivo para os sistemas de segurança.

#Configuração Experimental

Uma parte chave desta pesquisa envolveu a criação de um conjunto de dados de arquivos de malware. Dois conjuntos de dados foram usados: um com malware e outro com arquivos limpos (goodware). O malware incluía diferentes famílias como Trojans e ransomware.

#Modelos de Detecção de Malware

Dois modelos de detecção específicos, MalConv e MalConv2, foram escolhidos para os testes. Esses modelos servem como referências para avaliar o quão bem o malware modificado consegue evitar a detecção.

#Resultados

#Taxas de Evasão

Os experimentos mostraram que o novo método de usar code caves melhorou significativamente a taxa de evasão. Por exemplo:

• Quando direcionado ao modelo de detecção MalConv, a taxa de evasão chegou a 92,31%.
• Para o modelo MalConv2, a taxa de evasão foi ainda maior, chegando a 97,93%.

Essas taxas indicam que o malware modificado foi em grande parte indetectado pelos sistemas de segurança.

#Redução de Confiança

Outra métrica analisada foi a redução de confiança, que verifica quanto a confiança dos modelos de detecção cai após encontrar o malware modificado. Os resultados mostraram:

• Uma forte queda na confiança quando o malware modificado foi testado, significando que os modelos estavam menos certos sobre classificar o malware como prejudicial.

#Desafios Técnicos

#Praticidade

Implementar essas mudanças em cenários do mundo real ainda é um desafio. Embora os métodos testados tenham sido bem-sucedidos em um ambiente controlado, o uso prático pode enfrentar problemas como não saber o suficiente sobre os sistemas de detecção.

#Detectores de Malware

Embora a pesquisa tenha se concentrado em modelos específicos, os achados podem se aplicar a outros tipos de sistemas de detecção. Trabalhos futuros podem explorar como essas técnicas se saem contra uma gama maior de detectores.

#Limites de Tamanho

Uma limitação é a necessidade de espaço suficiente dentro das seções. Nem todos os arquivos PE terão espaço suficiente para realizar as modificações intra-seção.

#Injeção do Loader de Código

Criar e injetar o loader de código requer precisão. Existem mudanças que precisam ser feitas para garantir que o loader funcione corretamente, dependendo do ambiente de execução.

#Conclusão

Esta pesquisa propôs uma nova maneira de modificar malware para Windows de forma eficaz. Usando code caves intra-seção, os atacantes conseguem esconder mudanças, tornando mais difícil para os sistemas de segurança detectar arquivos prejudiciais. Os resultados promissores indicam um potencial para mais exploração em técnicas de evasão de malware, especialmente contra diferentes sistemas de detecção. Direções futuras podem incluir testes em ambientes de caixa-preta e aplicar estratégias semelhantes para detectar e combater malware de forma mais eficaz.