0 
0 Emanações eletromagnéticas (EM) podem ser gravadas e usadas para detectar e identificar malwares em execução em dispositivos IoT, um grupo de pesquisadores que trabalham no IRISA provaram.
Esta nova abordagem de detecção de malware também oferece vantagens adicionais: como nenhum software específico precisa ser instalado no dispositivo monitorado, ele dificilmente pode ser detectado pelo malware e evitado pelos autores de malware.
“Além disso, como um malware não tem controle sobre eventos fora do nível de hardware (por exemplo, em emanação em EM, dissipação de calor), um sistema de proteção que depende de recursos de hardware não pode ser retirado, mesmo que o malware possua o privilégio máximo na máquina. Portanto, com a emanação EM, torna-se possível detectar malwares furtivos (por exemplo, rootkits de nível de kernel), que são capazes de prevenir métodos de análise baseados em software”, observaramos pesquisadores.
Outra vantagem é que o monitoramento da emanação EM não requer qualquer modificação do dispositivo de destino, o que significa que o método não depende de arquitetura específica do dispositivo, SISTEMA OPERACIONAL ou capacidade computacional.
Uma nova abordagem para detectar malware IoT
Para testar sua abordagem, os pesquisadores selecionaram um computador de placa única Raspberry Pi como o dispositivo alvo e coletaram suas emanações EM durante a execução de malware e aplicativos benignos (com diferentes métodos de ofuscação) usando um osciloscópio e um teste de campo H para gravar o sinal EM.
Dezenas de milhares de espectrogramas foram gerados a partir da atividade EM coletada e têm sido usados para treinar vários modelos de aprendizado de máquina para alcançar a classificação de malware.
A estrutura de classificação de malware
“Os binários de malware são variações de cinco famílias: gonnacry, keysniffer, maK_It, mirai e bashlite, incluindo sete técnicas diferentes de ofuscação”, compartilharam os pesquisadores.
O objetivo proposto era ver se a configuração classificará corretamente os binários executados em uma das quatro classes: ransomware, rootkit, DDoS e benigno. Como se viu, todos os modelos provaram ser extremamente eficientes nisso (> 98% de precisão) e especialmente a Rede Neural Convolucional (CNN). Eles também são extremamente precisos quando se trata de identificar a família real de malware, não apenas o tipo.
Um benefício para analistas de malware
A proliferação de dispositivos de Internet das Coisas (IoT) continua inabalável. Alguns deles têm considerável poder de processamento e sistemas operacionais com processadores multi-core, o que significa que eles podem ser e são vulneráveis a ameaças semelhantes como computadores de propósito geral. Mas as soluções de detecção de malware específicas de IoT ainda são um trabalho em andamento.
A solução proposta por Duy-Phuc Pham, Damien Marion, Matthieu Mastio e Annelie Heuser provavelmente será particularmente útil para analistas de malware, pois é capaz de detectar novos malwares, não importa quais técnicas de ofuscação os desenvolvedores de malware usam.
“Embora soluções anteriores, como a detecção de empacotadores baseados em assinaturas, possam ser evitadas, nossos resultados mostram que podemos distinguir entre técnicas de ofuscação apenas baseadas em traços EM, o que dá a oportunidade de analisar a evolução do malware de IoT, uma vez que novas técnicas de ofuscação serão reformadas para impedir a detecção”, observaram.
“Dado nossos resultados experimentais, os analistas de malware, portanto, lucram com nossa metodologia robusta para obter uma melhor compreensão sobre a variante, tipo/família, forense e/ou evolução de grupos e campanhas de malware, particularmente no contexto em que os sistemas de software falham (devido à evasão de malware) ou não podem ser aplicados (devido a recursos restritos ou processos de atualização no dispositivo incorporado).”
FONTE: HELPNET SECURITY