SENTINEL: arquitetura multi-via detecta comandos Living-Off-the-Land usados pela APT Volt Typhoon
Pesquisadores propuseram o SENTINEL, um modelo que combina BERT, CNN em nível de caractere, atenção entre comandos e um autoencoder para identificar linhas de comando maliciosas do Windows que abusam de utilitários legítimos (LOTL), técnica usada pela APT Volt Typhoon para permanecer indetectada por mais de 18 meses em infraestrutura crítica dos EUA. O sistema atingiu 92% de acurácia em comandos documentados e 91,2% em variantes ofuscadas, superando uma baseline BERT isolada por quase 20 pontos.
Living-Off-the-Land (LOTL) é a técnica pela qual um invasor evita implantar malware customizado e, em vez disso, abusa de binários e utilitários já assinados e confiáveis do próprio sistema operacional (LOLBins) para executar reconhecimento, movimentação lateral e persistência. É exatamente essa técnica que caracterizou o caso Volt Typhoon, campanha estatal chinesa documentada por CISA e Microsoft que manteve acesso não detectado a infraestrutura crítica americana por mais de 18 meses usando exclusivamente ferramentas nativas do Windows — o tipo de intrusão que é notoriamente difícil de identificar via assinatura, porque o binário executado é legítimo e frequentemente já está na lista de permissões de EDRs.
O SENTINEL ataca esse problema combinando quatro caminhos de análise sobre a mesma linha de comando: uma codificação semântica baseada em BERT para captar a intenção da instrução; uma CNN em nível de caractere para manter robustez contra ofuscação sintática (concatenação de strings, caracteres de escape, variação de maiúsculas/minúsculas); um mecanismo de atenção entre comandos para reconhecer sequências multi-estágio, já que ataques LOTL raramente se resumem a um único comando isolado, mas a cadeias como reconhecimento seguido de exfiltração via utilitário nativo; e uma pontuação de anomalia via autoencoder para sinalizar desvios estatísticos de comportamento normal. Avaliado sobre um benchmark derivado diretamente dos indicadores de comprometimento publicados por Microsoft e CISA sobre o Volt Typhoon, o sistema atingiu 92,0% de acurácia em comandos documentados e 91,2% em variantes ofuscadas, contra 74,0% e 72,0% de uma baseline BERT sozinha.
Um dado do artigo é particularmente relevante para quem constrói detecção baseada em dados desbalanceados, que é o cenário típico de logs corporativos reais: modelos que atingem mais de 98% de acurácia geral em validação, quando o dataset é desbalanceado (poucos comandos maliciosos entre milhões de comandos benignos), caem para apenas 44%–58% de recall malicioso quando testados em um conjunto balanceado adversarial. Isso reforça um problema comum em pipelines de detecção e resposta a incidentes: métricas de acurácia agregada mascaram taxas de falso negativo perigosamente altas justamente na classe que importa.
Para quem faz análise de artefatos e resposta a incidentes, o valor prático do trabalho está menos no produto final (um classificador) e mais na demonstração de que características de nível de caractere carregam sinal de ofuscação que uma codificação semântica pura, como BERT isoladamente, não captura — uma lição direta para quem constrói ou avalia regras de detecção sobre logs de linha de comando (Sysmon Event ID 1, PowerShell ScriptBlock logging) em investigações de LOTL. O trabalho será apresentado na IEEE MILCOM 2026.