Marco referencial de seguridad semi-automatizado implementando reglas YARA integradas con algoritmos fuzzy hashing SSDEEP para incrementar la identificación de ransomware en bucket’s de AWS S3

Abstract

Esta tesis propone un marco referencial semi-automatizado para incrementar la detección de ransomware en buckets de almacenamiento AWS S3. La metodología se centra en la integración de reglas YARA con algoritmos fuzzy hashing SSDEEP. Inicialmente, se caracterizaron patrones de ransomware prevalentes en organizaciones de Hispanoamérica, identificando LockBit y Akira como los de mayor impacto, particularmente en Colombia. Se diseñaron reglas YARA regulares y se desarrollaron scripts en Python que las integra con SSDEEP, permitiendo la detección de ransomware no solo por coincidencias exactas, sino también por similitud estructural. La implementación de este marco se realizó en la nube de AWS utilizando funciones AWS Lambda, AWS EventBridge para la automatización y AWS S3 para el almacenamiento de muestras de ransomware y objetos benignos. Los resultados de la evaluación demostraron que la integración YARA+SSDEEP en AWS Lambda logró una efectividad del 100% en la detección de variantes de ransomware con similitud superior al 75%, superando las limitaciones de las reglas YARA regulares ante patrones modificados. Este enfoque híbrido ofrece una solución escalable y rentable para la detección proactiva de ransomware en entornos de nube, mejorando la resiliencia contra amenazas polimórficas y emergentes.

This thesis proposes a semi-automated framework to increase ransomware detection in AWS S3 storage buckets. The methodology focuses on the integration of YARA rules with SSDEEP fuzzy hashing algorithms. Initially, prevalent ransomware patterns in Latin American organizations were characterized, identifying LockBit and Akira as the most impactful, particularly in Colombia. Regular YARA rules were designed and Python scripts were developed to integrate them with SSDEEP, allowing ransomware detection not only by exact matches but also by structural similarity. The implementation of this framework was carried out in the AWS Cloud using AWS Lambda functions, AWS EventBridge for automation, and AWS S3 for storing ransomware samples and benign objects. The evaluation results demonstrated that the YARA + SSDEEP integration in AWS Lambda achieved 100% effectiveness in detecting ransomware variants with similarity greater than 75%, overcoming the limitations of regular YARA rules when faced with modified patterns. This hybrid approach offers a scalable and cost-effective solution for proactive ransomware detection in cloud environments, improving resilience against polymorphic and emerging threats.