L'algoritmo di apprendimento automatico setaccia la rete oscura per sfruttare gli exploit Zero Day e li trova

Nel febbraio 2015, Microsoft ha identificato una vulnerabilità critica nel suo sistema operativo Windows che potenzialmente consentiva a un malintenzionato di controllare in remoto il computer preso di mira. Il problema riguardava un'ampia varietà di sistemi operativi Windows, inclusi Vista, 7, 8 e vari altri progettati per server e computer portatili.

La società ha immediatamente emesso una correzione. Ma non ci è voluto molto perché i dettagli della vulnerabilità si diffondessero nella comunità degli hacker.

Ad aprile, gli esperti di sicurezza informatica hanno trovato un exploit basato su questa vulnerabilità in vendita su un mercato darknet in cui il venditore chiedeva circa $ 15.000. A luglio è apparso il primo malware che utilizzava questa vulnerabilità. Questo malware, il Dyre Banking Trojan, ha preso di mira utenti di tutto il mondo ed è stato progettato per rubare i numeri delle carte di credito dai computer infetti.

L'episodio ha fornito una panoramica chiave sull'evoluzione del malware. Nel giro di pochi mesi, gli hacker hanno trasformato una vulnerabilità in un exploit, l'hanno offerta in vendita e poi l'hanno vista trasformarsi in malware che è stato rilasciato in natura.

In questo caso, Microsoft è venuta a conoscenza della vulnerabilità prima che potesse essere sfruttata e quindi potesse rilasciare una patch. Ma quando il malware sfrutta vulnerabilità precedentemente sconosciute, i proprietari del software originale devono sviluppare una patch immediatamente, letteralmente in zero giorni, da cui il nome zero day attack.

Un obiettivo chiave per gli esperti di sicurezza informatica è identificare gli exploit zero-day prima che possano trasformarsi in malware. E per Eric Nunes e i suoi amici dell'Arizona State University, il caso del Dyre Banking Trojan ha fornito un'importante ispirazione per un approccio completamente nuovo a questo tipo di sicurezza informatica.

Oggi, questi ragazzi svelano un'operazione di raccolta di informazioni sulle minacce informatiche che utilizza l'apprendimento automatico per studiare forum e mercati di hacking nel dark web e nella deep net. Il sistema cerca indizi sulle vulnerabilità emergenti.

E il loro nuovo sistema ha avuto un inizio impressionante. Attualmente, questo sistema raccoglie in media 305 avvisi di minacce informatiche di alta qualità ogni settimana, affermano Nunes e co.

Prima un po' di background. Gli hacker e altri tipi nefasti tendono a nascondere i loro forum e mercati in due modi. Il primo si basa sul software Tor ampiamente utilizzato per rendere anonimo il traffico mentre passa su Internet e impedirne il tracciamento. Questa è conosciuta come la rete oscura.

Un'altra opzione consiste nell'utilizzare siti Web ospitati nella parte aperta del Web ma non indicizzati dai motori di ricerca. Questa è la rete profonda e può essere altrettanto difficile da navigare.

Per monitorare l'attività degli hacker in questi luoghi, Nunes e co hanno sviluppato un crawler per raccogliere informazioni dalle pagine HTML ospitate nella rete profonda e nella rete oscura. Ovviamente, una parte fondamentale di questo lavoro è puntare il crawler verso le migliori pagine di partenza, un compito che deve essere svolto da persone che hanno familiarità con queste pagine. Il team estrae quindi informazioni specifiche sulle attività di hacking scartando tutte le altre informazioni relative a droghe, armi e così via.

Infine, hanno utilizzato un algoritmo di apprendimento automatico per rilevare prodotti e argomenti rilevanti discussi su questi siti. Lo fanno etichettando manualmente il 25% dei dati, sottolineando cosa è rilevante e cosa no. Un essere umano impiega circa un minuto per etichettare cinque prodotti del mercato o per etichettare due argomenti su un forum, ma questo può essere ridotto man mano che la macchina impara. Quindi addestrano l'algoritmo utilizzando questo set di dati etichettato e lo testano sul resto.

I risultati costituiscono una lettura interessante. Con l'uso di modelli di apprendimento automatico, siamo in grado di richiamare con alta precisione il 92% dei prodotti nei mercati e l'80% delle discussioni sui forum relative all'hacking dannoso, afferma Nunes e co.

Questa tecnica ha già rivelato una serie di attività nefaste. In un periodo di 4 settimane, abbiamo rilevato 16 exploit zero-day dai dati del mercato, afferma il team. Ciò includeva un significativo exploit Android offerto per circa $ 20.000 e uno che coinvolge Internet Explorer 11 per circa $ 10.000.

Il team ha anche mappato i social network associati al modo in cui gli hacker utilizzano questi forum e mercati. Dicono che ci siano 751 utenti che sono presenti su più di un mercato e fanno l'esempio di un fornitore attivo su sette mercati e un forum che offre oltre 80 prodotti correlati all'hacking dannoso.

Questo era chiaramente un affare redditizio. Il venditore ha una valutazione media di 4,7/5,0, valutata dai clienti sul mercato con oltre 7.000 transazioni riuscite, indicando l'affidabilità dei prodotti e la popolarità del venditore, afferma Nunes e co.

Si tratta di un utile passo avanti nella lotta alla criminalità informatica. Con il sistema che attualmente rileva oltre 300 minacce informatiche ogni settimana, ha già attirato l'attenzione del mondo commerciale. In effetti, il team afferma che sta attualmente effettuando la transizione del sistema a un partner commerciale.

Se il team continua a individuare vulnerabilità zero-day prima che vengano sviluppate in prodotti malware, può aiutare i proprietari di software a sviluppare rapidamente le patch. E questo è un aiuto significativo per gli esperti di sicurezza.

Naturalmente, questo farà parte del gioco del gatto e del topo della sicurezza informatica. Sarà interessante vedere come gli hacker cambiano il loro comportamento ora che sanno di essere sistematicamente monitorati in questo modo. E quando ciò accadrà, ci sarà ancora un'iterazione nel gioco.

Rif: arxiv.org/abs/1607.08583 : Darknet e Deepnet Mining per informazioni proattive sulle minacce alla sicurezza informatica

nascondere