Cómo usar la IA para identificar a los cerebros del cibercrimen

Los foros criminales en línea, tanto en la Internet pública como en la «web oscura» de los sitios Tor .onion, son una fuente muy valiosa para los investigadores de inteligencia sobre amenazas. Sophos Counter Threat Unit (CTU) cuenta con un equipo de investigadores de la web oscura que recopila información e interactúa con los foros de la web oscura, pero revisar todas estas publicaciones es una tarea que requiere mucho tiempo y recursos, y siempre existe la posibilidad de que se pase algo por alto.

En nuestro esfuerzo por hacer un mejor uso de la IA y el análisis de datos, el investigador de IA de Sophos Francois Labreche, en colaboración con Estelle Ruellan, de Flare y la Universidad de Montreal, y Masarah Paquet-Clouston, de la Universidad de Montreal, se propusieron averiguar si podían abordar el problema de identificar a los principales actores de la dark web de una forma más automatizada. Su trabajo, presentado originalmente en el Simposio APWG 2024 sobre Investigación del Crimen Electrónico, ha sido publicado recientemente como artículo.

El enfoque

El equipo de investigación combinó una modificación de un marco desarrollado por los criminólogos Martin Bouchard y Holly Nguyen para separar a los delincuentes profesionales de los aficionados en un análisis de la industria criminal del cannabis con un análisis de redes sociales. Con ello, pudieron conectar las cuentas que publicaban en foros con los exploits de las vulnerabilidades y exposiciones comunes (CVE) recientes, ya fuera basándose en el nombre de la CVE o haciendo coincidir la publicación con las enumeraciones y clasificaciones de patrones de ataque comunes (CAPEC) correspondientes a las CVE definidas por MITRE.

Utilizando el motor de búsqueda de amenazas Flare, recopilaron 11 558 publicaciones de 4441 personas entre enero de 2015 y julio de 2023 en 124 foros diferentes sobre delitos electrónicos. Las publicaciones mencionaban 6232 CVE diferentes. Los investigadores utilizaron los datos para crear una red social bimodal que conectaba las CAPEC con los actores individuales basándose en el contenido de las publicaciones de estos. En esta etapa inicial, centraron el conjunto de datos para eliminar, por ejemplo, los CVE que no tenían CAPEC asignados y los métodos de ataque demasiado generales que utilizan muchos actores maliciosos (y los autores de las publicaciones que solo hablaban de esos CVE de uso general). Este filtrado redujo finalmente el conjunto de datos a 2321 actores y 263 CAPEC.

A continuación, el equipo de investigación utilizó el algoritmo de detección de comunidades de Leiden para agrupar a los actores en comunidades («comunidades de interés») con un interés común en patrones de ataque concretos. En esta fase, destacaron ocho comunidades relativamente diferenciadas. De media, cada actor estaba conectado a 13 CAPEC diferentes, mientras que los CAPEC estaban vinculados a 118 actores.

Identificación de los actores clave

A continuación, se identificaron los actores clave en función de la experiencia que demostraban en cada comunidad. Se utilizaron tres factores para medir el nivel de experiencia:

1) Nivel de habilidad: se basó en la medición de la habilidad necesaria para utilizar un CAPEC, según la evaluación de MITRE:

«Bajo», «Medio» o «Alto», utilizando el nivel de habilidad más alto entre todos los escenarios relacionados con el patrón de ataque, para evitar subestimar las habilidades de los actores. Esto se hizo para cada CAPEC asociado al actor. Para establecer un nivel de habilidad representativo, los investigadores utilizaron el valor del percentil 70 de la lista de CAPEC de cada actor y sus niveles de habilidad asociados. Por ejemplo, si John Doe discutió 8 CVE que MITRE asigna a 10 CAPEC, 5 calificados como altos por MITRE, 4 calificados como medios y uno calificado como bajo, su nivel de habilidad representativo se consideraría alto. La elección de este valor percentil garantizó que solo los actores con más del 30 % de sus valores equivalentes a «alto» se clasificaran como realmente altamente cualificados.

DISTRIBUCIÓN GENERAL DE LOS VALORES DE LOS NIVELES DE HABILIDAD

ESTADÍSTICAS DE LA PROPORCIÓN DE LOS VALORES DE LOS NIVELES DE HABILIDAD

Figura 2: desglose de las evaluaciones del nivel de habilidad de los actores analizados en la investigación

2) Nivel de compromiso: se cuantificó mediante la proporción de publicaciones «de interés» (publicaciones relacionadas con un conjunto de CAPEC basados en comunidades de interés similares) en relación con el total de publicaciones de un actor. Se descartaron los actores que tenían tres o menos publicaciones, lo que redujo el conjunto a evaluar a 359 actores.

3) Índice de actividad: los investigadores añadieron este elemento al marco de Bouchard/Nguyen para cuantificar el nivel de actividad de cada actor en los foros. Se midió dividiendo el número de publicaciones con un CVE y el CAPEC correspondiente por el número de días de actividad del actor en los foros pertinentes. El índice de actividad resulta ser inverso al nivel de habilidad con el que operan los actores maliciosos. Los actores más cualificados llevan mucho tiempo en los foros, por lo que su índice de actividad relativo es mucho menor, a pesar de tener un número significativo de publicaciones.

ESTADÍSTICAS DESCRIPTIVAS DE LA MUESTRA

Figura 3: desglose de las puntuaciones de habilidad, compromiso y tasa de actividad del grupo de muestra

Como se muestra arriba, la muestra para la identificación de los actores clave estaba formada por 359 actores. El actor medio tenía un 36,68 % de las publicaciones comprometidas con su comunidad de interés y un nivel de habilidad de 2,19 («medio»). La tasa de actividad media era de 0,72.

RESUMEN DE LAS COMUNIDADES DE INTERÉS (COI)

Figura 4. puntuaciones relativas de los actores agrupados en cada comunidad de interés

14 agujas en un pajar

Por último, para identificar a los actores verdaderamente clave, aquellos con un nivel de habilidad, compromiso y tasa de actividad lo suficientemente altos como para identificarlos como expertos en sus ámbitos, los investigadores utilizaron el algoritmo de agrupamiento K-means. Utilizando las tres medidas creadas para la relación de cada actor con los CAPEC, los 359 actores se agruparon en ocho clústeres con niveles similares en las tres medidas.

RESUMEN DE LOS CLÚSTERES

Figura 5: análisis de los ocho grupos con puntuación basada en la metodología del marco desarrollado a partir del trabajo de los criminólogos Martin Bouchard y Holly Nguyen; como se ha descrito anteriormente, se añadió la tasa de actividad como modificación de dicho marco. Cabe destacar el escaso número de actores verdaderamente profesionales, incluso entre el conjunto de datos de 359

Un grupo de 14 actores fue calificado como «Profesionales»: personas clave, las mejores en su campo, con un alto nivel de habilidad y compromiso y una tasa de actividad baja, debido nuevamente a la duración de su participación en los foros (una media de 159 días) y a una tasa de publicación de aproximadamente una publicación cada 3-4 días. Se centraban en comunidades de interés muy específicas y no publicaban mucho más allá de ellas, con un nivel de compromiso del 90,37 %. El enfoque analítico de esta investigación tiene limitaciones inherentes, principalmente debido a la dependencia del mapeo CAPEC y CVE de MITRE y a los niveles de habilidad asignados por MITRE.

Conclusión

El proceso de investigación incluye la definición de los problemas y el análisis de cómo diversos enfoques estructurados pueden conducir a una mayor comprensión. Los equipos de inteligencia sobre amenazas podrían utilizar derivados del enfoque descrito en esta investigación para desarrollar un enfoque menos sesgado para identificar a los cerebros de los delitos electrónicos, y Sophos CTU comenzará ahora a examinar los resultados de estos datos para ver si pueden configurar o mejorar nuestra investigación actual en este ámbito, dirigida por personas.