Pesquisadores apresentaram o AutoPYara, pacote Python open-source que melhora a geracao automatica de regras YARA a partir de clusters de amostras de malware. A ferramenta usa selecao de centroide por hashing de similaridade e uma heuristica de subclusters baseada em dados historicos do VirusTotal para lidar com a diversidade intra-familiar que degradava a qualidade das regras no AutoYara, estado da arte anterior.
Pesquisadores apresentam o Encore, um sistema que compila provas de conceito (PoC) em Python para vulnerabilidades conhecidas diretamente em regras de caça a ameaças específicas por CVE, sem executar o exploit. A ferramenta explora o fato de que, em 33 dos 45 CVEs analisados, o exploit público ficou disponível antes de qualquer regra de detecção (Sigma, Elastic ou Splunk), com uma mediana de 22 dias de atraso.
Pesquisadores apresentam o ANCHOR, um sistema que usa LLMs para transformar os alertas brutos de sistemas de detecção de intrusão baseados em proveniência (PIDS) em narrativas de ataque coerentes e organizadas por estágios da kill chain. A ferramenta combina curadoria de evidências com contexto de implantação (linhas de base de comportamento normal do ambiente) e um cache de rastreamento de ataques que mantém o estado da investigação ao longo de múltiplas janelas temporais. Avaliado em seis datasets DARPA Transparent Computing (E3/E5) cobrindo três sistemas operacionais, o sistema melhora a recuperação de indicadores de comprometimento e a atribuição de estágios de ataque em relação a baselines anteriores, a um custo de poucos dólares por dia de auditoria processado.
O framework Trace2ATT&CK coleta chamadas de sistema em nivel de kernel via eBPF, correlaciona os comandos do atacante em um grafo de proveniencia e usa modelos de linguagem locais, com e sem RAG ancorado na base ATT&CK, para sugerir tecnicas correspondentes com justificativa. Testado em 347 testes do Atomic Red Team em Linux, o RAG superou consistentemente o prompting puro, e representar os eventos como grafo de proveniencia teve desempenho muito superior a usar a telemetria bruta. Por rodar inteiramente com LLMs open-weight locais, a abordagem evita enviar dados sensiveis de telemetria a APIs de terceiros.
Pesquisadores propõem o TGL-APT, um framework que aplica destilação de grafos de proveniência guiada por 'nós information-bottleneck' para tornar a investigação de ataques APT mais rápida e barata. Em datasets DARPA E3, o método atingiu F1-scores de até 95,7% reduzindo tempo de treinamento, latência de detecção e uso de memória em relação ao estado da arte (KAIROS).