Encore transforma PoCs públicos de exploits em regras de threat hunting sem executar o código
Pesquisadores apresentam o Encore, um sistema que compila provas de conceito (PoC) em Python para vulnerabilidades conhecidas diretamente em regras de caça a ameaças específicas por CVE, sem executar o exploit. A ferramenta explora o fato de que, em 33 dos 45 CVEs analisados, o exploit público ficou disponível antes de qualquer regra de detecção (Sigma, Elastic ou Splunk), com uma mediana de 22 dias de atraso.
O estudo parte de uma constatação incômoda para quem trabalha com resposta a incidentes: regras de detecção para uma vulnerabilidade recém-divulgada normalmente chegam depois do exploit público, não antes. Analisando 45 CVEs, os autores mostram que 37 receberam eventualmente uma regra em Sigma, Elastic ou Splunk, mas em 33 desses casos o código de exploração já estava disponível primeiro, com uma defasagem mediana de 22 dias — uma janela em que equipes de SOC e DFIR ficam cegas para uma técnica de ataque já pública.
O Encore ataca esse problema com uma ideia simples na teoria, mas trabalhosa na prática: um PoC, para funcionar, já precisa codificar exatamente as requisições HTTP, payloads e operações de host que caracterizam a exploração. O obstáculo é que o PoC é escrito contra bibliotecas e roda na máquina do atacante, enquanto o que a vítima tem para investigar são logs de servidor web, proxy e host. O sistema resolve essa lacuna construindo, uma única vez por biblioteca, um mapeamento entre chamadas de função e as operações que elas produzem nos logs do lado defensor — e a partir daí compila automaticamente regras de hunting específicas para cada CVE.
Os números reportados são expressivos para uma abordagem que nem chega a executar o exploit: cobertura de 43 dos 45 CVEs testados, incluindo todos os 10 casos para os quais nunca existiu uma regra ESCU da Splunk. Em comparação direta, as regras oficiais da Splunk (testadas contra logs reais) cobrem 30 dos 45 CVEs e geram 20 pares de atribuição incorreta a outro CVE; o Encore cobre 28 desses mesmos 30 e erra a atribuição em apenas 2 casos. Testado contra 27.081 requisições legítimas e de crawlers, não gerou nenhum falso positivo.
Na prática, isso importa porque desloca o ponto de partida do threat hunting: ao invés de esperar um analista humano escrever manualmente uma assinatura depois de estudar o exploit, a organização pode gerar uma regra specific-to-CVE no mesmo dia em que o PoC se torna público, muitas vezes antes de qualquer fornecedor de SIEM publicar a sua. Para times de resposta a incidentes que monitoram serviços web expostos, isso reduz diretamente a janela de exposição entre divulgação e detecção — um dos pontos mais citados em relatórios pós-incidente como causa de comprometimento bem-sucedido.