FlowCarp: identificação de famílias de malware por padrões estatísticos de tráfego C2
A Netresec apresentou o FlowCarp, uma ferramenta que classifica famílias de malware a partir de características estatísticas do tráfego de rede capturado em PCAP, sem depender de assinaturas de bytes ou de engenharia reversa completa do binário. O método compara tamanhos de pacote, temporização e padrões de requisição/resposta contra modelos previamente treinados, permitindo identificar protocolos de C2 mesmo quando a carga está cifrada ou ofuscada.
O post técnico da Netresec descreve uma dificuldade recorrente em resposta a incidentes: mesmo analistas experientes erram a atribuição de família de malware quando amostras estão empacotadas, com strings cifradas ou com configuração que só se revela após múltiplos estágios de execução, e sandboxes comerciais frequentemente classificam errado. A proposta do FlowCarp é contornar essa limitação observando o tráfego de rede gerado pelo malware em vez do binário em si.
Tecnicamente, a ferramenta constrói modelos estatísticos de protocolos de C2 a partir de exemplos de tráfego já rotulado, usando como características o tamanho e a temporização dos pacotes, a estrutura das trocas requisição/resposta e a distribuição de comprimento das mensagens. Essa abordagem de fingerprinting comportamental permite reconhecer um protocolo proprietário mesmo quando seu conteúdo está criptografado, algo que assinaturas de bytes tradicionais não conseguem fazer.
Na prática, isso tem valor direto para forense de rede e resposta a incidentes: um analista que capture PCAP de uma execução em sandbox ou de tráfego malicioso em produção pode submeter o arquivo e obter uma hipótese de família em minutos, acelerando a triagem antes mesmo de iniciar a engenharia reversa do binário. A ferramenta não substitui a reversão, mas funciona como uma camada complementar aos IDS tradicionais, atribuindo um rótulo por fluxo e reduzindo ruído de alertas sobrepostos.
A limitação relevante é a dependência da qualidade e cobertura do conjunto de treinamento: protocolos totalmente novos ou deliberadamente randomizados para evitar fingerprinting estatístico continuam sendo um ponto cego, e a classificação por tráfego deve sempre ser validada cruzando com outras fontes de evidência (host, memória, binário) antes de embasar conclusões periciais.