Estudo usa algoritmos genéticos para evoluir ransomware que engana monitores comportamentais
Pesquisadores tratam a execução de ransomware como um problema de otimização de engenharia de software baseada em busca, usando um algoritmo genético para calibrar a criptografia de arquivos de forma que o desvio estatístico em relação à atividade normal do sistema permaneça mínimo. O resultado são padrões de ataque capazes de escapar de monitores comportamentais e técnicas de fingerprinting, permanecendo ocultos por horas em vez de minutos.
A maioria das defesas atuais contra ransomware depende de detectar picos anômalos de atividade de E/S e entropia de arquivos característicos de rotinas de criptografia em massa, que costumam disparar alertas quase imediatos. Este trabalho parte da premissa oposta: em vez de tentar criptografar o máximo de dados no menor tempo possível, o atacante otimiza o ataque para permanecer estatisticamente indistinguível da atividade legítima do sistema pelo maior tempo possível, trocando velocidade por furtividade.
A técnica emprega um algoritmo genético (GA) — uma metaheurística de busca inspirada em seleção natural, que evolui iterativamente uma população de soluções candidatas — para explorar o espaço de parâmetros de execução do ataque (ritmo de criptografia, ordem de acesso a arquivos, uso de recursos) sob uma restrição rígida de baixa entropia, isto é, mantendo o comportamento do processo malicioso dentro de limites estatísticos que imitam operações benignas do sistema. Os autores descrevem essa abordagem como um deslocamento de paradigma: tratar a evasão de detecção comportamental não como uma técnica ad hoc de ofuscação, mas como um problema formal de otimização com função de fitness bem definida, o que a torna reprodutível e escalável para gerar variantes.
Os experimentos demonstram que os padrões de ataque evoluídos pelo GA conseguem escapar de monitores comportamentais mesmo sob técnicas de fingerprinting, evidenciando uma lacuna real nas defesas que dependem primariamente de detecção por anomalia estatística de atividade de E/S ou entropia.
O impacto prático para equipes de resposta a incidentes e forense é direto: ferramentas de detecção comportamental amplamente usadas em EDR e XDR partem do pressuposto de que ransomware gera desvios estatísticos detectáveis em curto prazo, e este trabalho mostra um caminho automatizado e generalizável para neutralizar exatamente essa premissa. Isso reforça a necessidade de complementar detecção comportamental com abordagens baseadas em integridade de arquivo, canários (honeyfiles) e análise pericial pós-fato de artefatos de disco e timeline, já que a janela de detecção em tempo real pode ser deliberadamente estendida pelo atacante.