Algorytm uczenia maszynowego przeczesuje Darknet pod kątem exploitów dnia zerowego i je odnajduje

W lutym 2015 r. firma Microsoft zidentyfikowała krytyczną lukę w swoim systemie operacyjnym Windows, która potencjalnie umożliwiała złośliwemu napastnikowi zdalne sterowanie zaatakowanym komputerem. Problem dotyczył wielu różnych systemów operacyjnych Windows, w tym Vista, 7, 8 i różnych innych przeznaczonych dla serwerów i komputerów przenośnych.

Firma natychmiast wydała poprawkę. Jednak szczegóły dotyczące luki w zabezpieczeniach szybko się rozprzestrzeniły w społeczności hakerów.

W kwietniu eksperci ds. cyberbezpieczeństwa wykryli wykorzystujący tę lukę exploit na sprzedaż na rynku darknet, gdzie sprzedawca żądał około 15 000 USD. W lipcu pojawiło się pierwsze szkodliwe oprogramowanie, które wykorzystywało tę lukę. Ten szkodliwy program, trojan Dyre Banking, atakował użytkowników na całym świecie i został zaprojektowany w celu kradzieży numerów kart kredytowych z zainfekowanych komputerów.

Epizod dostarczył kluczowego wglądu w ewolucję złośliwego oprogramowania. W ciągu zaledwie kilku miesięcy hakerzy zamienili lukę w lukę w exploit, zaoferowali ją na sprzedaż, a następnie zobaczyli, jak przekształciła się w złośliwe oprogramowanie, które zostało wypuszczone na wolność.

W tym przypadku firma Microsoft dowiedziała się o luce, zanim mogła zostać wykorzystana i mogła wydać poprawkę. Jednak gdy złośliwe oprogramowanie wykorzystuje nieznane wcześniej luki w zabezpieczeniach, pierwotni właściciele oprogramowania muszą natychmiast opracować łatę, dosłownie w ciągu zero dni, stąd nazwa ataków dnia zerowego.

Kluczowym celem ekspertów ds. cyberbezpieczeństwa jest identyfikacja exploitów dnia zerowego, zanim zostaną one przekształcone w złośliwe oprogramowanie. A dla Erica Nunesa i kolegów z Arizona State University przypadek trojana Dyre Banking dostarczył ważnej inspiracji dla całkowicie nowego podejścia do tego rodzaju cyberbezpieczeństwa.

Dzisiaj ci faceci ujawniają operację gromadzenia informacji o cyberzagrożeniach, która wykorzystuje uczenie maszynowe do badania forów i rynków hakerskich w ciemnej sieci i głębokiej sieci. System szuka wskazówek dotyczących pojawiających się luk w zabezpieczeniach.

A ich nowy system ma imponujący początek. Obecnie system ten zbiera średnio 305 wysokiej jakości ostrzeżeń o cyberzagrożeniu tygodniowo, mówią Nunes i spółka.

Najpierw trochę tła. Hakerzy i inne nikczemne typy ukrywają swoje fora i rynki na jeden z dwóch sposobów. Pierwsza opiera się na powszechnie używanym oprogramowaniu Tor do anonimizacji ruchu w Internecie i zapobiegania jego śledzeniu. Nazywa się to ciemną siecią.

Inną opcją jest korzystanie z witryn hostowanych w otwartej części sieci, ale nieindeksowanych przez wyszukiwarki. To jest głęboka sieć i może być równie trudna w nawigacji.

Aby monitorować aktywność hakerów w tych miejscach, Nunes i spółka opracowali robota do zbierania informacji ze stron HTML hostowanych w głębokiej i ciemnej sieci. Oczywiście kluczową częścią tej pracy jest wskazanie robotowi indeksującemu najlepszych stron startowych, co musi wykonać ludzie znający te strony. Następnie zespół wyodrębnia szczegółowe informacje dotyczące działań hakerskich, odrzucając wszystkie inne informacje dotyczące narkotyków, broni i tak dalej.

Na koniec wykorzystali algorytm uczenia maszynowego do wykrywania odpowiednich produktów i tematów omawianych w tych witrynach. Robią to, oznaczając ręcznie 25 procent danych, wskazując, co jest istotne, a co nie. Oznaczanie pięciu produktów na rynku lub dwóch tematów na forum zajmuje człowiekowi około jednej minuty, ale można to zmniejszyć, gdy maszyna się uczy. Następnie szkolą algorytm przy użyciu tego oznaczonego zestawu danych i testują go na pozostałych.

Wyniki stanowią ciekawą lekturę. Dzięki modelom uczenia maszynowego jesteśmy w stanie z dużą precyzją przywołać 92% produktów na rynkach i 80% dyskusji na forach dotyczących złośliwego hakowania, mówi Nunes i spółka.

Ta technika ujawniła już szereg nikczemnych działań. Zespół twierdzi, że w ciągu 4 tygodni wykryliśmy 16 exploitów typu zero-day z danych rynkowych. Obejmowało to jeden znaczący exploit dla Androida oferowany za około 20 000 USD i jeden obejmujący Internet Explorer 11 za około 10 000 USD.

Zespół zmapował również sieci społecznościowe związane ze sposobem, w jaki hakerzy korzystają z tych forów i rynków. Mówi się, że 751 użytkowników jest obecnych na więcej niż jednym rynku i podaje przykład jednego dostawcy, który był aktywny na siedmiu rynkach i jednym forum oferującym ponad 80 szkodliwych produktów związanych z hakowaniem.

To był wyraźnie lukratywny biznes. Dostawca ma średnią ocenę 4,7/5,0, ocenianą przez klientów na rynku z ponad 7 000 udanych transakcji, co wskazuje na niezawodność produktów i popularność dostawcy, mówi Nunes i spółka.

To przydatny krok naprzód w walce z cyberprzestępczością. Ponieważ system obecnie wykrywa ponad 300 cyberzagrożeń tygodniowo, już przyciągnął uwagę świata komercyjnego. Rzeczywiście, zespół twierdzi, że obecnie przenosi system na partnera handlowego.

Jeśli zespół będzie nadal wykrywał luki dnia zerowego, zanim zostaną one opracowane w szkodliwych produktach, może pomóc właścicielom oprogramowania w szybkim opracowaniu łat. A to znacząca pomoc dla ekspertów ds. bezpieczeństwa.

Oczywiście będzie to część gry w kotka i myszkę o cyberbezpieczeństwo. Interesujące będzie zobaczyć, jak hakerzy zmienią swoje zachowanie teraz, gdy wiedzą, że są systematycznie monitorowani w ten sposób. A kiedy tak się stanie, w grze będzie jeszcze iteracja.

Nr ref.: arxiv.org/abs/1607.08583 : Darknet i Deepnet Mining dla proaktywnej analizy zagrożeń cybernetycznych

ukryć