Nuevo juguete en el laboratorio de investigación de avast!: el sueño de todo hard-gamer

El Laboratorio de Investigación de Avast es el lugar donde el equipo desarrolla nuevas formas de detección de malware, tanto funciones visibles del producto, como FileRep y el análisis automático en sandbox, como componentes que trabajan en segundo plano.

Una parte importante del trabajo se centraba en la nube y sus resultados llegaban en tiempo real a los usuarios mediante las actualizaciones en streaming. Dos de las técnicas destacadas eran Similarity Search y Evo-Gen.

Malware Similarity Search

Malware Similarity Search permite categorizar rápidamente grandes cantidades de muestras. Para cada archivo, compara sus propiedades estáticas y el resultado de su ejecución controlada con muestras limpias y maliciosas analizadas anteriormente.

Esta tecnología permite tomar decisiones rápidas sobre archivos desconocidos: si una muestra se parece a un grupo de malware y no a archivos limpios, puede clasificarse con mayor rapidez.

Evo-Gen y la detección de características comunes

Evo-Gen busca descripciones breves y generales de grandes conjuntos de malware. El algoritmo identifica características comunes en los archivos maliciosos que no aparecen en las muestras limpias.

MDE y el acceso paralelo a los datos

Ambas técnicas necesitan acceder con rapidez a enormes conjuntos de archivos. Para ello se desarrolló MDE, una base de datos en memoria sobre datos indexados que permite un acceso paralelo de alto rendimiento.

Nueva infraestructura del laboratorio de Avast

Tradicionalmente se utilizaban servidores Dell con procesadores Intel Xeon, pero el rendimiento necesario llevó al equipo a experimentar con GPU.

Las GPU modernas contienen cientos de núcleos y pueden ejecutar algoritmos masivamente paralelos. Por ello, el laboratorio evaluaba una granja de supercomputación basada en GPU.

Uno de los equipos de prueba combinaba un procesador Intel i7 E3820, 32 GB de RAM DDR3, cuatro tarjetas gráficas Nvidia con 3 GB de memoria cada una, refrigeración líquida externa y una fuente de alimentación de 1500 W.

Estos sistemas todavía no se habían puesto en producción, pero se esperaba que ayudaran a procesar muestras con mayor rapidez y a mejorar la protección ofrecida a los usuarios.