Microsoft Defender usa IA para prever ataques de ransonware

A nova versão do Microsoft Defender, antivírus da empresa que faz parte da suíte 365, recorre às funcionalidades e aos recursos da inteligência artificial para combater ransomwares.

Basicamente, o ransomware é um tipo de ataque que infecta o dispositivo da vítima e impede que o indivíduo acesse o aparelho. Para a liberação dos dados e do dispositivo, os cibercriminosos costumam exigir um pagamento de resgate, geralmente em criptomoedas — o que dificulta o rastreamento do golpe.

Infelizmente, uma pesquisa recente mostrou que 83% das vítimas de ransomware preferem pagar a taxa para se livrar do problema, um comportamento que incentiva este tipo de crime.

Como evitar isso? Tomar precauções de segurança é importante. No entanto, impedir que este tipo de ataque possa ser até pensado por um criminoso já é possível. Com uma combinação de inteligência artificial e a aprendizagem de máquina (machine learning), o Microsoft Defender pode “caçar a ideia” da possibilidade de um ataque ransomware antes mesmo do criminoso realizá-lo.

Ciência de dados e IA no Microsoft Defender

A dupla de pesquisadores do Microsoft 365 Defender Research publicou um relato técnico sobre como a tecnologia funciona. Chamada de “proteção adaptativa como ransomware operado por humanos”, a tecnologia de inteligência artificial trabalha protegendo os dados que podem vir a ser usados para ataques de sequestro.

As informações utilizadas por criminosos para realizar os ataques são pontos fracos de segurança bastante comuns. Senhas previsíveis, keyloggers (programas que roubam informações digitadas no teclado) e outros.

Imagem: FLY:D on Unsplash

A proteção do Microsoft Defender é automatizada e em nuvem. Assim, é preciso que sempre seja atualizada para evitar ataques complexos. A ideia foi criar uma tecnologia de aprendizado de máquina que consiga prever riscos quando examina dispositivos. Caso o equipamento tenha possibilidade de sofrer um sequestro digital, o programa age agressivamente, bloqueando o acesso e frustrando o crime.

As decisões que o sistema realiza são baseadas em dados de pesquisa e experimentos realizados para maximizar a eficiência do bloqueio sem impactar a experiência do usuário. Como a proteção adaptativa é realizada por IA, a pontuação de risco de um dispositivo não depende apenas de indicadores isolados, mas sim de uma ampla rede de padrões e funcionalidades do sistema para determinar se um ataque é iminente.

O uso da tecnologia inteligente é feito sob medida para combater ataques de ransomware realizados por humanos, pois mesmo se os criminosos usarem um arquivo inocente ou um processo legítimo, o sistema pode prevenir a execução maliciosa.

Resultados e disponibilidade

O experimento realizado no laboratório da Microsoft para implantação da tecnologia bloqueou com sucesso o Cridex. Ele é um trojan usado para roubar credenciais e extrair dados, que são os principais modos para iniciar ataques de ransomware.

Quem possui o Microsoft Defender para terminais com proteção em nuvem já por contar com a novidade. O usuário protegido não só evita que ataques possam se espalhar em rede, como também ajuda a fazer com que respostas a incidentes do tipo aconteçam mais rapidamente.

A ciência de dados é um campo que a Microsoft determinou que continuará utilizando para aperfeiçoar algoritmos de aprendizado de máquina no Microsoft Defender. Com a inteligência artificial, a pontuação de risco dos equipamentos é realizada em tempo real e evita a latência na proteção contra ataques.

Imagem: Stephen Dawson on Unsplash

A proteção adaptativa procura prever ameaças de tecnologia de última geração. Por ser mais rápida e eficiente do que ajustes manuais, a IA pode aumentar a agressividade de defesa com os bloqueios realizados em tempo real, como uma postura pró-ativa.

A tecnologia bloqueia um arquivo, por exemplo, quando há comportamentos suspeitos como injeção de código e agendamento de processos inusitados. Estes sinais são interpretados como classificadores de ataques e o equipamento é considerado em risco.

É muito mais difícil deter um arquivo nocivo (malware) logo que ele é instalado. Dessa forma, a proteção adaptativa impede que ele chegue até o equipamento, efetivamente neutralizando a ameaça antes mesmo que exista.