Anais do Simpósio Brasileiro de Cibersegurança (SBSeg)
O Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais (SBSeg) é um evento científico promovido anualmente pela Sociedade Brasileira de Computação (SBC). Representa o principal fórum do país para divulgação de resultados de pesquisas, debates, intercâmbio de ideias e atividades relevantes ligadas à segurança da informação e de sistemas computacionais, integrando a comunidade brasileira de pesquisadores e profissionais atuantes nessa área.
Sociedade Brasileira de Computação - SBC
A comparison between cryptography libraries used in BRSKI protocol for constrained devices
The lack of a standard protocol for bootstrapping constrained devices is still a challenge in the management of Internet of Things (IoT) and Healthcare Internet of Things (HIoT). The Bootstrapping Remote Secure Key Infrastructure (BRSKI) protocol is a standard proposed by the Internet Engineering Task Force (IETF) for non-constrained devices, with cBRSKI as a constrained variant. In this work we review the current state of authentication protocols for constrained environments, emphasizing use-cases in the healthcare scenario. Then, we compare the memory usage and execution time of the cryptography library used in the reference implementation of both BRSKI and cBRSKI with lightweight alternatives. A test implementation was written using WolfSSL to perform the Cryptographic Message Syntax (CMS) signing function of the protocol, which is performed by OpenSSL in the reference implementation. Our experiments show that the lightweight library results in reduced bootstrap time and memory usage, without harming functionality. These findings highlight alternative BRSKI implementations suitable for constrained devices, and demonstrate that using lightweight cryptography libraries is recommended for IoT and HIoT.
A Framework for Efficient Pre-Processing of HTTP Requests Using Machine Learning-Based Web Application Firewalls
The selection of pre-processing methods for requests in web application firewalls (WAFs) that use machine learning is critical in determining performance, latency, and computational resource consumption for detecting web attacks. Among pre-processing techniques, the combination of N -gram and term frequency-inverse document frequency (TF-IDF) is one of the most popular alternatives for pre-processing. However, this approach often results in high dimensionality, which can negatively impact latency and resource usage. The key challenge lies in achieving a balance between effective attack detection and resource efficiency. This article proposes a framework for evaluating WAF architectures that preserves detection performance while reducing the number of variables by at least 80%.
A Quantum-Resistant Advanced Metering Infrastructure
This paper focuses on quantum-resistant cryptographic schemes to enhance the security of smart metering against threats from both quantum and classical computers. In this sense, we consider FrodoKEM and CRYSTALS-Kyber quantum-resistant as asymmetric cryptographic schemes and AES-GCM as a symmetric one. Moreover, we detail the design and implementation of a dedicated cryptographic module customized to ensure quantum-resistant advanced metering infrastructure (QR-AMI). Analysis based on experimental implementation shows the viability of a QR-AMI anchored on dedicated cryptographic modules implemented on a microcontroller (low-power processor) or a system-on-a-chip device.
Algoritmo de Aprendizado de Máquina Federado Baseado em Swarm Intelligence com Privacidade Diferencial Local
No aprendizado federado de redes neurais, agentes maliciosos podem explorar diferentes tipos de ciberataques para manipular os resultados de modelos preditivos ou para inferir sobre os dados de treinamento. Para mitigar tais riscos, este artigo apresenta o Fed-DP-PSO, um método de aprendizado de máquina federado que combina Swarm Intelligence e Privacidade Diferencial Local. A abordagem visa proteger os dados distribuídos e dificultar a extração de informações sensíveis. Os experimentos realizados indicam que o Fed-DP-PSO é promissor para o treinamento de modelos em contextos federados com privacidade diferencial, uma vez que seu resultado se mostrou superior em relação ao método FedAvg com DP-SGD.
Além do Desempenho: Um Estudo da Confiabilidade de Detectores de Deepfakes
Deepfakes são mídias sintéticas geradas por inteligência artificial, com aplicações positivas na educação e na criatividade, mas também com impactos negativos graves, como fraudes, desinformação e violações de privacidade. Apesar dos avanços em técnicas de detecção, ainda há escassez de métodos de avaliação abrangentes que considerem aspectos além do desempenho em classificação. Este trabalho propõe um framework de avaliação da confiabilidade baseado em quatro pilares: transferibilidade, robustez, interpretabilidade e eficiência computacional. A análise de cinco métodos do estado da arte revelou avanços significativos, mas também limitações críticas.
Analysis of insecure configurations in Chrome Web Store extensions: Impact on user security and privacy
Browser extensions, popular for enhancing functionality, pose risks to user privacy and security. This study analyzes insecure configurations in Chrome Web Store extensions, assessing their functional justification. Auditing 287 extensions revealed that many employ excessive permissions or unnecessary access to sensitive data without clear justification. Findings show that risky practices persist even in widely used tools, highlighting flaws in app stores’ verification processes. The research provides empirical evidence of these issues and advocates for stricter policies for developers, platforms, and regulators to balance functionality and security in the ecosystem.
Anonimização de Incidentes de Segurança com Reidentificação Controlada
Este trabalho apresenta o AnonLFI, um framework híbrido para anonimizar relatos de incidentes de segurança escritos em linguagem natural. A proposta busca viabilizar o uso desses dados por Large Language Models (LLMs), ao mesmo tempo em que protege informações sensíveis da própria IA. O framework combina pseudoanonimização determinística, reconhecimento de entidades nomeadas (NER) e expressões regulares para tratar dados não estruturados, preservando o contexto original e permitindo reidentificação controlada quando necessário. O trabalho define requisitos específicos para anonimização reutilizável no contexto de CSIRTs, avalia ferramentas existentes e demonstra, com base na análise de 763 incidentes reais, que o framework alcança 97,38% de eficácia sem gerar falsos positivos. Os resultados demonstram a eficácia da ferramenta em anonimizar dados de incidentes de segurança reais, preservando o contexto e a utilidade das informações para análise.
Aplicação prática da quebra do KeeLoq: uma abordagem de baixo custo
Este trabalho apresenta um ataque de baixo custo ao circuito integrado HCS201, amplamente utilizado em sistemas de controle de acesso baseados no KeeLoq. Por meio da análise de potência diferencial, foi possível extrair a chave criptográfica armazenada no dispositivo, demonstrando a viabilidade do ataque sem a necessidade de equipamentos de medição de alto custo. Os experimentos mostraram que os fabricantes analisados utilizam a mesma chave criptográfica em todos os seus dispositivos, tornando-os altamente vulneráveis a ataques de clonagem e pirataria em larga escala. Como possível estratégia de mitigação, é proposto a adoção de mecanismos de derivação de chaves, como o HKDF, para gerar chaves únicas para cada transmissor, impedindo que a extração de uma única chave comprometa todo o sistema.
Aprimorando a Detecção de APTs com Geração de Dados Sintéticos Baseada em GAN-Transformers
Este trabalho investiga a geração de dados sintéticos de Advanced Persistent Threats (APTs) utilizando Redes Generativas Adversariais (GANs) adaptadas para o domínio de séries temporais. Considerando a natureza furtiva e sequencial das APTs, abordagens tradicionais de geração de dados que ignoram as dinâmicas temporais tornam-se insuficientes. Para superar essa limitação, este estudo explora a arquitetura Transformer Time-Series Conditional GAN (TTS-CGAN), originalmente proposta para biosinais, e propõe adaptações específicas para a geração de fluxos de rede maliciosos. O processo inclui a modelagem de dados do dataset DAPT2020, ajustes arquiteturais para aumento da capacidade e diversidade, além da validação dos dados sintéticos por meio de métricas qualitativas, quantitativas e do desempenho de modelos de Machine Learning (ML) treinados em conjuntos reais, sintéticos e semi-sintéticos. Os resultados indicam que o uso de dados sintéticos gerados pela TTS-CGAN pode aprimorar a detecção de APTs, demonstrando a viabilidade e os benefícios da abordagem proposta.
ARTEMIS: Uma Plataforma Modular para Execução, Monitoração e Investigação de Aplicativos Android Suspeitos
A fragmentação de versões do Android e as limitações de ferramentas atuais para monitoração efetiva da execução de APKs dificultam a análise de malware. Neste artigo apresenta-se ARTEMIS, uma plataforma baseada em arquitetura de microsserviços capaz de orquestrar análises paralelas em instâncias heterogêneas, testada com 100 emuladores (Android 10–14) e dispositivos físicos. Em estudo de caso com 12.466 APKs maliciosas, ARTEMIS alcançou taxa de instalação de 98,7% (arquitetura adaptativa) e recuperação de 80,2% dos APKs com falha por detecção de depuração (pipeline modular). ARTEMIS oferece análises em larga escala, histórico de execuções e estratégias antievasão, essenciais para combater ameaças móveis modernas.
Ataque Adversarial de Evasão a Sistema de Detecção de Intrusão e Métodos de Defesa em Redes Open RAN
Os Sistemas de Detecção de Intrusão (IDS) são elementos importantes para redes de acesso via rádio abertas (Open RAN), pois fornecem serviços essenciais de defesa contra ameaças cibernéticas. Tipicamente, os IDS em ambientes Open RAN dependem de modelos de aprendizado de máquina, o que os torna vulneráveis a adversários que buscam escapar da detecção. Em especial, um ataque DDoS capaz de contornar o IDS de uma infraestrutura Open RAN representa um risco significativo para o provedor de serviços de telecomunicações. No entanto, poucos estudos têm se dedicado a ataques adversariais direcionados a IDS em redes Open RAN. Nesse contexto, este trabalho apresenta um ataque adversarial denominado Distributed DoS Adversarial Detection Evasion (DDoS-ADE), projetado para evadir a detecção de ataques DDoS por um IDS implantado no Controlador Inteligente de RAN (RIC) de uma infraestrutura Open RAN. Além de apresentar esse ataque de evasão, o artigo investiga a eficácia de duas estratégias de defesa: (i) redução das características do modelo e (ii) treinamento adversarial. Tanto o ataque DDoS-ADE quanto os métodos de defesa foram implementados e avaliados no testbed OpenRAN@Brasil. Os resultados demonstram que o DDoS-ADE é capaz de evadir 94,66% das detecções de um IDS não protegido. Em comparação, os métodos de defesa implementados conseguem reduzir a evasão em até 98,45%.
AutoPhish: A Grammar-based AutoML Approach to Learn Classifiers for Phishing Detection
A crescente sofisticação das ameaças cibernéticas — em especial o phishing — exige mecanismos de detecção avançados e adaptativos para proteger usuários e organizações. As defesas tradicionais têm dificuldade em acompanhar a evolução de técnicas como Clone Phishing, Spear Phishing, DNSBased Phishing e ataques do tipo Man-In-The-Middle. Pesquisas recentes têm aplicado extensivamente modelos de aprendizado de máquina (ML) à detecção de phishing, destacando a importância da seleção de atributos e da otimização dos classificadores. Embora abordagens baseadas em sistemas de regras, modelos de comitê (ensemble) e redes neurais artificiais (ANNs) tenham apresentado resultados promissores, a dependência de conjuntos de dados estáticos e modelos generalistas limita sua eficácia em cenários dinâmicos e reais. Este artigo propõe o AutoPhish, uma nova abordagem para detecção de phishing baseada em Evolução Gramatical (GE). A GE é um método de programação genética orientado por gramática, capaz de gerar classificadores personalizados e otimizados. O AutoPhish implementa uma GE com objetivo único, visando gerar classificadores que maximizem o F1−score. Nossa abordagem é avaliada em cenários realistas com conjuntos de dados desbalanceados e comparada com algoritmos tradicionais de aprendizado de máquina, utilizando métricas de desempenho como acurácia, revocação, precisão e F1−score. Os resultados mostram que os classificadores evoluídos com o AutoPhish superam consistentemente a maioria dos métodos de base, demonstrando alto potencial para aplicação prática. Este estudo destaca o valor da computação evolutiva na cibersegurança e impulsiona o desenvolvimento de sistemas de detecção de phishing adaptativos e de alto desempenho.
Avaliação da Competência Parental na Gestão da Privacidade dos Filhos em Ambientes Digitais
A disseminação do uso de plataformas digitais por crianças intensificou as preocupações quanto à adequação das proteções de privacidade existentes. A legislação atribui aos pais a responsabilidade de gerenciar a privacidade das crianças, pressupondo seu conhecimento para decisões informadas. Diante disso, este trabalho avalia a maturidade parental na gestão da privacidade dos filhos nas plataformas sociais. Primeiramente, identificamos os principais atributos de privacidade relevantes para a proteção de dados online de crianças, com base na análise das leis e regulamentações vigentes, como a GDPR, a COPPA e a LGPD. Na segunda etapa, entrevistamos 77 pais e responsáveis para avaliar seu nível de maturidade no gerenciamento de medidas relacionadas à privacidade.Os resultados revelam uma discrepância significativa entre o conhecimento percebido e o conhecimento real, indicando que muitos pais podem não estar adequadamente preparados para desempenhar o papel exigido pelas regulamentações vigentes.
Avaliação da Privacidade Diferencial Aplicada ao Aprendizado Federado Através de Ataques de Inversão de Modelo
Este trabalho propõe uma metodologia prática para avaliar a eficácia de mecanismos de Privacidade Diferencial (DP) no Aprendizado Federado (FL) diante de ataques de inversão de modelo. Para isso, foi adotado um cenário adversarial baseado no paradigma de segurança cibernética equipe vermelha/equipe azul (RT/BT), onde a equipe azul implementa a proteção de DP e a equipe vermelha realiza ataques para recuperar dados de um cliente específico a partir do modelo global. Foram implementados dois tipos de ataques — um baseado em gradientes e outro ingênuo — aplicados em diferentes intensidades de ruído gaussiano. Os experimentos demonstraram que ruídos baixos já são suficientes para mitigar significativamente os ataques de inversão, conforme evidenciado tanto por métricas quantitativas (SSIM, PSNR e MSE) quanto pela análise visual das imagens reconstruídas. Por outro lado, observou-se que a acurácia do modelo global se mantém estável até níveis moderados de ruído, com impacto limitado no desempenho. Esses resultados indicam que é possível alcançar um bom equilíbrio entre privacidade e utilidade do modelo em cenários práticos.
Avaliação do NeMo Guardrails como um Firewall para a Interação Usuário-LLM
Neste artigo é analisado o NeMo Guardrails, Modelo de Linguagem em Larga Escala (LLM) que tem como papel atuar como um firewall durante interações usuário-LLM. O objetivo é avaliar seu desempenho na identificação de tentativas maliciosas dentro do contexto dessas interações, como jailbreaking e prompt injection. Foi utilizado o Do Not Answer dataset para a tarefa de classificação do modelo dentre as classes Seguro ou Inseguro. A avaliação consistiu em uma análise por categoria de risco; do cálculo de métricas de classificação binária; e da Taxa de Compensação, uma nova métrica proposta neste trabalho. O F1 Score apresenta um possível trade-off entre Precisão e Sensibilidade.
Balancing Privacy and Utility: Evaluating Distributional Shifts and Accuracy in Differentially Private Synthetic Breached Data
With increasing reliance on data-driven technologies, it is fundamental to ensure the privacy of individuals in datasets. This paper investigates the distributional shift introduced by differential privacy using a synthetically generated dataset simulating leaked personal information. We apply the Laplace mechanism to a hypothetical hotel booking adversarial disclosure scenario and analyze the impact of varying privacy budget (ε) and sensitivity (∆f ) parameters across 6,120 combinations. Through Jensen-Shannon Distance and Mean Absolute Percentage Error metrics, we quantify distributional shifts and accuracy degradation. Our findings reveal that attributes with higher entropy experience greater shift under noise addition, contributing with parameter tuning strategies for protecting sensitive data while preserving its analytical value.
Categorização de Incidentes de Segurança utilizando Engenharia de Prompts em LLMs
A crescente complexidade e volume de incidentes de cibersegurança têm gerado grandes quantidades de dados não estruturados, dificultando sua triagem por equipes humanas. Este trabalho propõe o uso de Engenharia de Prompts aplicada a LLMs para a categorização automatizada desses incidentes. A metodologia foi testada em um conjunto de dados reais e anonimizados, avaliando a consistência das classificações em diferentes cenários: categorização livre, categorização guiada por taxonomia (NIST), com e sem refinamento progressivo dos prompts. Os resultados indicam que a combinação entre Progressive-hint Prompting (PHP) e o uso de taxonomia estruturada favorece a normalização semântica, reduz a ambiguidade e melhora a confiabilidade das classificações, com alto grau de assertividade na categorização de incidentes.
Cordeiro em Pele de Lobo: Desvelando a Negação de Serviço Baseada em Envenenamento de Reputação
Sistemas de reputação são utilizados para medir a confiabilidade de usuários, dispositivos e serviços em ambientes digitais. Apesar de seu auxílio na segurança e na tomada de decisão, identificando interações maliciosas, esses sistemas estão sujeitos a manipulações que podem comprometer sua integridade. Este trabalho propõe e valida um novo vetor de ataque que explora sistemas de reputação para realizar negação de serviço contra usuários legítimos específicos. O ataque consiste em um agente malicioso que se passa pela vítima, executa ações maliciosas e induz sistemas automatizados a penalizá-la com base em sua reputação. A estratégia explora falhas na verificação de identidade em mecanismos de confiança baseados em comportamento. O ataque foi demonstrado por meio de experimentos com um serviço e um sistema de segurança reais, evidenciando sua efetividade em bloquear clientes legítimos a partir de um ataque triangulado e destacando a necessidade de explorar novos métodos de detecção e mitigação do ataque proposto.
Cyber Defender: desenvolvimento e avaliação de um jogo educativo para ensino de segurança cibernética
O avanço da tecnologia e a crescente dependência de sistemas digitais evidenciam a importância da educação em segurança da informação, especialmente entre estudantes e futuros profissionais da computação. Considerando esse cenário, este trabalho apresenta o projeto, desenvolvimento e avaliação do jogo educativo Cyber Defender, concebido com o objetivo de apoiar o ensino de conceitos fundamentais de segurança digital de forma lúdica e interativa. Para a avaliação do jogo, foram aplicadas quatro metodologias consolidadas na literatura para análise de jogos educacionais: MEEGA+, IAQJEd, Pro-Avalia JS e PAJED. As análises contemplaram aspectos como usabilidade, jogabilidade, experiência do usuário, impacto educacional, narrativa e acessibilidade. Os resultados obtidos demonstram que o jogo possui uma narrativa bem estruturada, jogabilidade satisfatória e bom alinhamento com os objetivos educacionais propostos, além de apresentar elevado potencial de aprendizagem segundo os critérios das metodologias aplicadas.
Data traffic interruption detection and mitigation framework for RPL-based WSNs
Wireless Sensor Networks (WSN) monitor various aspects of the environment in which they are deployed. Sensor nodes collect and send environment data by neighboring nodes until it reaches the gateway node (root node). WSNs are susceptible to several attacks that totally or partially interrupt the data flow, such as sinkhole, blackhole, gray hole/selective forwarding. We here present an application layer framework for RPL-based WSNs that detects and mitigates the attacks that interrupt data traffic while informing the root node (and the network maintainers) of the suspect nodes by alternative routes, thus preventing interception by attackers. The attacker nodes are then relegated to leaf-nodes by the local reaction of legitimate nodes, as they are prevented from acting as routers, effectively mitigating attacks. By concentrating monitoring functions on the sink, network managers can identify compromised nodes, which can lead to their physical removal. The experiments show that our framework kept the package loss rate at about 2% or lower in most of those tested. Besides managing to maintain a low control message overhead (i.e., 4.67% in a no attack scenario and 9.74% under attack) it was able to provide the network managers with information about the location of the attackers.
Detecção de Botnets em Dispositivos IoT Utilizando Análise de Consultas DNS com One-class SVM
A crescente proliferação de dispositivos IoT expandiu a superfície de ataque para botnets, que se utilizam de Algoritmos de Geração de Domínios (Domain Generation Algorithm - DGA) para uma comunicação evasiva, representando um desafio para a detecção. Propomos uma abordagem que analisa as características léxicas de domínios em consultas DNS com One-class SVM para detecção de atividade maliciosa em dispositivos IoT, permitindo o monitoramento em pontos de concentração da rede sem acesso direto aos dispositivos. Os resultados demonstraram alta eficácia, com acurácia de 99,42%, precisão de 99,99%, recall de 99,42% e taxa de falsos positivos de 5,45%; identificando com 100% de recall 17 das 25 famílias de DGA testadas.
Detecção de Mineração Egoista: Quando o poder varia
A mineração é um dos alicerces do funcionamento das criptomoedas. O correto funcionamento desse sistema depende da participação dos mineradores. No ambiente descentralizado, o comportamento honesto é incentivado pelos protocolos, assumindo-se que a obediência a eles maximiza os ganhos. Um desvio nesse comportamento, chamado de Mineração Egoísta, pode aumentar os lucros dos mineradores que o praticam e comprometer a segurança da criptomoeda. Atualmente, a identificação desse tipo de comportamento é complexa e realizada por meio de ferramentas estatísticas que assumem que os mineradores possuem poder computacional estável durante o período analisado. Neste trabalho, investigamos se os mineradores de fato apresentam poder computacional estável e avaliamos as consequências da variação desse poder nos métodos atuais.
DinSecUEFI: Testes Dinâmicos em Pipeline CI para Firmware baseado na especificação UEFI
A segurança de firmware é crítica devido a seus privilégios elevados e à ausência de defesas típicas de sistemas operacionais (SOs). Enquanto os SOs contam com múltiplas camadas de proteção, o firmware permanece mais vulnerável e atrativo para ataques. Seguindo os princípios do DevSecOps, este trabalho propõe um pipeline que automatiza testes dinâmicos em módulos UEFI. A metodologia utiliza instrumentação binária e fuzzing executado em contêineres para análise dinâmica e escalável. Em experimentos com uma BIOS real, o pipeline identificou falhas em mais de 5% dos módulos analisados. Os resultados indicam que a abordagem reduz custos operacionais e fortalece o ciclo de desenvolvimento seguro de firmware baseado na UEFI.
Enhancing LoRaWAN Security: Addressing Static Root Keys with Post-Quantum Cryptography
The lack of an update method for LoRaWAN’s static root keys poses a major security risk, exposing networks to key compromise. Furthermore, existing approaches that use public-key cryptography are vulnerable to emerging quantum threats. This paper presents a quantum-safe solution to dynamically update root keys through a Root Key Renewal procedure, using post-quantum authenticated Diffie–Hellman via CSIDH and post-quantum signatures. To avoid a similar stagnation of the new signature key pairs, a Key Pair Update procedure is also proposed to refresh them. The proposed solution is tested in a simulated setup and the results show that HAWK, SNOVA, MAYO, Falcon, and SQISign are viable candidates for post-quantum LoRaWAN deployments.
Evaluating MLP and Autoencoder Models for Zero-Day Attack Detection in 6G Networks
Sixth Generation (6G) networks promise a deep integration with Artificial Intelligence (AI), enabling intelligent and efficient communication systems. However, this evolution also introduces new cybersecurity threats, including Zero-Day attacks that exploit previously unknown system vulnerabilities. This paper evaluates two widely adopted models, the Multilayer Perceptron (MLP) and the Autoencoder, for attack detection, with a particular focus on Zero-Day attacks. Using a dataset collected from a real 5G network, the study evaluates each model not only in terms of detection performance but also with respect to computational resource consumption. The results indicate that the MLP model outperforms the Autoencoder in both overall classification accuracy and zeroday attack detection, albeit at the cost of higher computational resource usage.
Evolução de ameaças em fóruns da Dark Web e Surface Web: um estudo baseado em modelagem de tópicos e séries temporais
Este trabalho investiga a evolução temporal das discussões sobre ameaças cibernéticas em fóruns da Dark Web e da Surface Web entre 2015 e 2024, com o objetivo de identificar tendências, padrões sazonais e diferenças entre esses ambientes. Ao analisar mais de 52.000 postagens utilizando processamento de linguagem natural e modelagem de tópicos com Latent Dirichlet Allocation (LDA), o estudo revela tendências-chave, padrões sazonais, diferenças entre os ambientes e dinâmicas dentro das comunidades online. A análise revelou que fóruns da Surface Web apresentaram alta variabilidade de tópicos. Por outro lado, a Dark Web em português demonstrou predominância na comercialização de dados pessoais, enquanto a Dark Web em inglês manteve tópicos técnicos ofensivos, como phishing e criação de malware, com frequência contínua.
Exploiting Latent Space Discontinuities for Building Universal LLM Jailbreaks and Data Extraction Attacks
The rapid proliferation of Large Language Models (LLMs) has raised significant concerns about their security against adversarial attacks. In this work, we propose a novel approach to crafting universal jailbreaks and data extraction attacks by exploiting latent space discontinuities, an architectural vulnerability related to the sparsity of training data. Unlike previous methods, our technique generalizes across various models and interfaces, proving highly effective in seven state-of-the-art LLMs and one image generation model. Initial results indicate that when these discontinuities are exploited, they can consistently and profoundly compromise model behavior, even in the presence of layered defenses. The findings suggest that this strategy has substantial potential as a systemic attack vector. Disclaimer: This paper contains examples of harmful and offensive language. Reader discretion is advised. Additional supporting materials may be provided upon formal request and are subject to the signing of a liability and ethical use agreement.
Filo-Transformer: Um modelo baseado em Grafo de Alinhamento de Árvores Filogenéticas e Transformers para Identificação de Rumores e Fake News
Este artigo apresenta Filo-Transformer, uma abordagem inovadora que une a semântica profunda de modelos Transformer com a análise evolutiva de Grafos de Alinhamento de Árvores Filogenéticas (TAGs) para detectar rumores e fake news. O modelo utiliza embeddings (SBERT/GPT) para representar o conteúdo e extrai atributos filogenéticos reais das cascatas de conversação do Twitter, como profundidade de cascata, fator de ramificação e proporção de usuários verificados. Um Feature Tokenizer Transformer (FT-Transformer) integra essas informações para classificação. Experimentos no dataset PHEME mostram que o Filo-Transformer supera modelos apenas semânticos em todas as métricas principais, com pesos de fusão aprendidos convergindo para 65% características filogenéticas e 35% semânticas, confirmando o valor dos padrões estruturais de propagação.
HIKARI – Desafios Reais, Ameaças Ocultas: Uma Plataforma de Threat Hunting Gamificado
O HIKARI é uma plataforma para treinamento de Blue Teams em ambientes realistas, integrando desafios progressivos no formato CTF com a ingestão e análise de eventos de segurança reais em uma ELK stack (Elasticsearch, Logstash e Kibana) . A plataforma emprega um barramento Kafka para injeção controlada de eventos, o CTFd para gestão gamificada de desafios e o Kibana como interface de investigação. Este artigo descreve a arquitetura do sistema, analisa seus diferenciais em relação a soluções existentes e apresenta os resultados de experimentos aplicados em três contextos educacionais distintos, envolvendo mais de 40 participantes. Os resultados sugerem que o HIKARI contribui para a evolução do estado da arte e promove o desenvolvimento prático de competências em operações de defesa cibernética.
Identificação Automática de Buckets de Armazenamento Vulneráveis com GENBUCKET
Este artigo apresenta GENBUCKET, uma ferramenta modular para geração e validação de nomes de buckets em nuvem com modelos generativos modernos. GENBUCKET suporta LSTM, Transformer e GPT, treinados com conjuntos de dados personalizáveis para capturar diferentes padrões de nomeação. A ferramenta gera automaticamente nomes candidatos, verifica suas existências via DNS, classifica-os via HTTP e analisa buckets públicos em busca de vulnerabilidades. Com dados validados, GENBUCKET alcançou até 21,73% de acerto, que é mais de dez vezes o melhor resultado conhecido, e identificou dezenas de buckets com vulnerabilidades. Ao integrar geração, validação e análise, GENBUCKET contribui para a detecção automatizada de falhas de configuração em serviços de nuvem.
Implementation and Analysis of a Synchronisation Protocol for Fair Exchange with Strong Fairness and Privacy
Strong fairness ensures that in fair exchange protocols, items are either exchanged or remain with their original owners. Privacy, another key property, prevents the leakage of sensitive information. Achieving both simultaneously is challenging. Existing protocols that ensure strong fairness, such as those in online payments, fail to guarantee privacy due to reliance on monolithic trusted third parties. These entities perform critical actions that expose data. We propose replacing them with a split trusted third party model, composed of two trusted execution environments (one per participant) and a public bulletin board used solely for synchronisation. Our analysis and implementation show that this approach preserves strong fairness, strong timeliness and privacy.
Improved Decryption Bounds and Key Generation for Matrix NTRU over Integral Domain
Shor’s algorithm [Shor 1994] is the main threat to classical public-key cryptography. Since its introduction in 1996, NTRU and its variants aim to develop cryptographic algorithms that are secure even against quantum computers. In this work, we study the matrix NTRU over integral domains proposed in 2023. We found that there is an error on the condition to avoid decryption failures and the key generation process is not practical due to severe limitations on matrix inversion. We propose a corrected statement for the decryption failure theorem and an expansion of the set of solutions when dealing with the problem of inverting matrix in Mn(Z[ √ −3]) that makes the key generation significantly faster.
Improving Source Code Security: A Novel Approach Using Spectrum of Prompts and Automated State Machine
As software security becomes increasingly vital, automating source code vulnerability remediation is essential for enhancing system reliability. This research presents an integrated framework that combines large language models (LLMs) with a patch-compile-test state machine (PCT-SM) to generate accurate, functional code repairs with minimal human intervention. The solution is organized into three stages: the Editing Plan to identify necessary code edits; the Patch Plan to generate unified patches; and the Verification Plan to rigorously validate repairs through PCT-SM. Moreover, the process is refined by the Spectrum of Prompts (SoP) technique, which iteratively optimizes prompt variations to improve remediation effectiveness. Experimental evaluations indicate that our approach yields higher remediation success rates and more robust testing performance compared to conventional methods, with the SoP component exhibiting prominent repair outcomes.
Inside the Phishing Reel: Leveraging Browser Instrumentation to Analyse Evasive Phishing
Phishing websites remain a persistent threat, compromising millions of user credentials each year. While advanced classifiers have improved detection accuracy, they rely on crawlers that are easily redirected by cloaking techniques, limiting their effectiveness in real-world deployments. In this work, we propose a novel data collection approach using a modified Chromium browser capable of collecting information from phishing samples despite client-server cloaking tactics. Using this approach, we collected 432,237 unique phishing samples over eight months and introduced a clustering algorithm that groups samples based on shared deployment characteristics, achieving a Normalized Mutual Information (NMI) score of 0.846.
Introducing two ROS attack variants: breaking one-more unforgeability of BZ blind signatures
In 2023, Barreto and Zanon proposed a three-round Schnorr-like blind signature scheme, leveraging zero-knowledge proofs to produce one-time signatures as an intermediate step of the protocol. The resulting scheme, called BZ, is proven secure in the discrete-logarithm setting under the one-more discrete logarithm assumption with (allegedly) resistance to the Random inhomogeneities in a Overdetermined Solvable system of linear equations modulo a prime number p attack, commonly referred to as ROS attack. The authors argue that the scheme is resistant against a ROS-based attack by building an adversary whose success depends on extracting the discrete logarithm of the intermediate signing key. In this paper, however, we describe a distinct ROS attack on the BZ scheme, in which a probabilistic polynomial-time attacker can bypass the zero-knowledge proof step to break the one-more unforgeability of the scheme. We also built a BZ variant that, by using one secure hash function instead of two, can prevent this particular attack. Unfortunately, though, we show yet another ROS attack that leverages the BZ scheme’s structure to break the one-more unforgeability principle again, thus revealing that this variant is also vulnerable. These results indicate that, like other Schnorr-based strategies, it is hard to build a secure blind signature scheme using BZ’s underlying structure.
Investigação do Ataque Flush+Reload via Web para Extração de Chaves RSA em Alvos Nativos
O WebAssembly viabiliza a execução de aplicações complexas no navegador, levantando a questão sobre a potencial adaptação de ataques nativos sofisticados, como o Flush+Reload — um ataque de canal lateral de cache com alta resolução temporal. Este trabalho investiga experimentalmente a viabilidade de executar o Flush+Reload a partir do navegador contra um processo GPG nativo externo para extrair chaves RSA, comparando esta abordagem com implementações nativas. Os resultados indicam um contraste claro: enquanto as versões nativas alcançaram sucesso parcial (quase 50% de acerto), a versão web se mostrou ineficaz (com taxa de acerto inferior a 4%), limitada por questões inerentes de resolução temporal e ruído no ambiente do navegador. Desta forma, os resultados indicam uma diferença fundamental na capacidade atual de exploração deste vetor de ataque entre os ambientes web e nativo.
Metodologia para publicação de dados com preservação da privacidade para órgãos públicos: de maneira proativa e solicitada
A publicação de dados governamentais possibilita transparência e avanço científico. No Brasil, essa publicação é regulamentada pela LAI, pode ser obrigatória ou solicitada e deve estar em conformidade com a LGPD. A privacidade dos dados é de responsabilidade do Gestor, e a supressão de identificadores explícitos é insuficiente para garantir a privacidade. Este artigo propõe uma metodologia que abrange ambas as formas de publicação. Na obrigatória, o Gestor garante a proteção do registro sem a supressão dos dados. Na solicitada, o Minerador é incluído no processo de anonimização dos dados. Foi realizado um estudo de caso com dados públicos, onde foi possível selecionar unicamente 7.357 registros. Aplicando a metodologia, foi possível criar grupos indistinguíveis de tamanho 10.
MicroSec Traffic: Utilizando Estratégias de Engenharia de Tráfego para Aprimoramento da Eficiência de Sistemas de Detecção de Intrusão
Este trabalho propõe o MicroSec Traffic, uma abordagem para melhorar a eficiência de soluções IDS tradicionais baseadas em assinaturas e anomalias definidas por regras, por meio da redução da carga de dados do tráfego de rede, sem comprometer a detecção de ameaças. A técnica não exige modificações nas ferramentas IDS, como Snort ou Suricata, apenas ajustes nas regras utilizadas. Avaliada em um cenário controlado com o Snort, a abordagem demonstrou ser efetiva ao manter a geração de alertas com menor tempo de processamento e volume de dados.
Minimal but Lethal: A XAI-Driven Approach for Feature-Level Adversarial Attacks on Healthcare 5.0
In Healthcare 5.0, the expanded attack surface increases the vulnerability of Intrusion Detection Systems (IDS) to sophisticated threats. Among them, adversarial attacks modify features to evade the detection of malicious samples. XAI-driven methods enable the manipulation of fewer — sometimes just one—features while maximizing impact. To date, no XAI-driven adversarial strategy has been applied to cyber-biomedical features in Healthcare 5.0. In this work, we address this gap by employing XAI-Driven approach to maximize IDS degradation through a feature-level adversarial attacks. Our results reveals that a single feature perturbed can drastically reducing F1-Score from 99% to 0% in data alteration scenarios and from 81% to 12% in spoofing attacks.
Modelos Preditivos para Detecção de Violações de Dados: Uma Abordagem Comparativa entre Técnicas Clássicas e de Aprendizado Profundo
Diante do aumento das violações de dados e dos altos custos envolvidos, este estudo realiza uma análise comparativa entre algoritmos de previsão aplicados à segurança da informação em diferentes setores organizacionais. Foram avaliados os modelos LSTM, TCN, Prophet, SARIMA e XGBoost, com base em dados de incidentes disponibilizados pela Privacy Rights Clearinghouse. A comparação considerou as métricas MAE, RMSE e MAPE. Os melhores resultados de MAPE foram alcançados pelo TCN no Total Geral (10,21%), Saúde (23,52%) e Outros Negócios (19,39%), e pelo LSTM nos setores Desconhecidos (11,95%), Serviços Financeiros (21,14%) e também no Total Geral (12,13%). Os resultados mostram um bom desempenho de modelos baseados em redes neurais.
Monitoramento Seguro de Métricas de Nível de Serviço em Nuvem
A computação em nuvem é amplamente adotada pelas empresas devido à escalabilidade, disponibilidade e flexibilidade que oferece, porém, a gestão de custos e a segurança dos dados são preocupações relevantes nesse contexto. Os Acordos de Nível de Serviço (SLA Service Level Agreement) unem o tema de gestão de custos e confidencialidade de dados. O monitoramento do nível do serviço oferecido, contudo, é realizado pelo próprio provedor de nuvem, e ao cliente não há garantia da integridade dos dados coletados. Este trabalho propõe um sistema de monitoramento em nuvem de métricas de qualidade de serviço que garante que os dados coletados não foram manipulados durante o monitoramento. Para tal, é sugerido um modelo de ameaças, uma arquitetura de monitoramento que usa tecnologias de hardware para execução segura. Foi construído um protótipo da arquitetura proposta, para estimar sua viabilidade para garantir o monitoramento íntegro e confidencial de métricas de SLA na nuvem. Os resultados deste estudo mostram que, a despeito da sobrecarga imposta pelo ambiente de execução segura ao desempenho do sistema, ele ainda é viável no que foi proposto.
Multicore Implementation of ML-KEM on Embedded Devices
This paper introduces a cost-effective function-selection procedure, anchored in Amdahl’s Law, to orchestrate selective parallelization of Module-Lattice-Based Key-Encapsulation Mechanism Standard (ML-KEM) scheme on a dual-core ESP32 microcontroller. The procedure quantifies each function’s single-core runtime and the overhead of parallel execution to isolate routines whose concurrent execution yields net time savings, while excluding low-latency tasks. The resulting ESP32 implementation eliminates separate single- and dual-core code paths, simplifies development, and achieves substantial reductions in overall runtime. Experimental evaluation on a dual-core ESP32 microcontroller of ML-KEM confirms the procedure’s suitability for latency-critical applications.
Optimizing IoT Threat Detection with Kolmogorov-Arnold Networks (KANs)
The exponential growth of the Internet of Things (IoT) has led to the emergence of substantial security concerns, with IoT networks becoming the primary target for cyberattacks. This study examines the potential of Kolmogorov-Arnold Networks (KANs) as an alternative to conventional machine learning models for intrusion detection in IoT networks. The study demonstrates that KANs, which employ learnable activation functions, outperform traditional MLPs and achieve competitive accuracy compared to state-of-the-art models such as Random Forest and XGBoost, while offering superior interpretability for intrusion detection in IoT networks.
Phishing Guardian: Detecção de sites de phishing com Machine Learning
O phishing permanece como uma das ameaças cibernéticas de maior impacto financeiro e social. Este trabalho investiga a eficácia de técnicas de Machine Learning na detecção de URLs maliciosas, abordando lacunas relacionadas a bases de dados incompletas e comparações sistemáticas entre algoritmos. Utiliza-se uma base de dados de 50.261 URLs (55,5% maliciosas) coletadas de fontes públicas e varredura ativa. Os algoritmos Random Forest, XGBoost e SVM são treinados com validação cruzada, com o XGBoost alcançando 99,51% de acurácia. Foi desenvolvida uma ferramenta que contém o classificador e uma extensão de navegador que exibe alertas não intrusivos ao usuário, objetivando garantir uma boa experiência de utilização.
Q.U.A.S.E.: uma metodologia ágil para diagnóstico de ataques de phishing
O presente artigo apresenta a metodologia Q.U.A.S.E., desenvolvida para facilitar a identificação de indícios de phishing em e-mails por parte de usuários finais. Fundamenta-se em cinco elementos, permitindo uma rápida avaliação de conteúdo suspeito. A metodologia se propõe ser de fácil aplicação e baixo custo de treinamento. A proposta tem sido praticada desde o primeiro semestre de 2022 em treinamentos internos no Tribunal de Contas da União (TCU). Os resultados obtidos em turmas anuais demonstraram a eficácia no alcance de resultados de simulações de ataques de phishing como parte de programa continuado de educação de usuários.
Recovering Medical Images from Adversarial Attacks: Genetic Algorithm-based Adaptive Compression (GA-AC)
The Fast Gradient Sign Method (FGSM) has become such a critical threat of adversarial attacks on deep learning models for processing medical images. The problem has led to prediction errors with non-satisfactory results on diagnosis and patient safety. We address this challenge by proposing a novel approach named Genetic Algorithm-based Adaptive Compression (GA-AC) for recovering images perturbed by the FGSM attacks. The GA-AC optimize PNG and WebP compression methods to maximize Peak Signal-to-Noise Ratio (PSNR) and Structural Similarity Index Measure (SSIM), thereby preserving essential diagnostic features in the restored images. Experimental results on multiple X-ray images demonstrate the effectiveness of GA-AC, which was able to restore the model’s F1-score from 24.14% to 98.10% after FGSM attacks.
Revisitando o Bootstrapping Seguro na IoT: Abordagens do TCP/IP e Oportunidades com NDN
A segurança em aplicações IoT depende do bootstrapping para estabelecer comunicações seguras entre dispositivos e aplicações. Na arquitetura TCP/IP, os processos de bootstrapping e configuração de rede estão dissociados. Em contraste, as Redes de Dados Nomeados (do inglês, Named-Data Networking – NDN) integram essa funcionalidade nativamente, simplificando o gerenciamento e garantindo segurança desde o início da conexão. Neste trabalho, comparamos os desafios e metodologias de bootstrapping em IoT, analisando especificidades do TCP/IP e NDN. Além da revisão teórica, o artigo também traz uma prova de conceito para avaliar a viabilidade do bootstrapping em NDN, considerando tempo de ingresso de nós e consumo de recursos. Os resultados indicam baixa sobrecarga temporal e impacto na largura de banda atrelados às etapas de bootstrapping de segurança, embora fatores como congestionamento e perda de pacotes possam influenciar seu desempenho. Também se observou que a NDN ainda depende de técnicas de segurança desenvolvidas para TCP/IP, especialmente em cenários de bootstrapping remoto.
RF Cyber Range: Building Communication Scenarios Using Software-Defined Radio for Radio Frequency Vulnerability Analysis
The 433 MHz frequency band is widely used by low-cost wireless devices such as sensors and alarm systems, but it often lacks robust security mechanisms. This work proposes the construction of communication scenarios for vulnerability analysis in RF devices using software-defined radios (SDR). The methodology combines scientometric analysis, a survey of vulnerabilities from CVE databases, and both simulated and practical experiments using GNU Radio and RTL-SDR. The results demonstrate the feasibility of attacks such as jamming and replay, highlighting the risks associated with the absence of authentication and encryption in these devices. Results highlight the need for RF security and validate SDR for vulnerability testing.
Riscos de Privacidade em Dados de Saúde: Investigando Inferência de Atributos Sensíveis de Cidadãos no DATASUS
A divulgação estatística de dados de saúde é crucial para a formulação e o acompanhamento de políticas públicas e a pesquisa científica, mas apresenta desafios significativos quanto à privacidade dos titulares dos dados. Neste trabalho avaliamos formal e experimentalmente riscos de inferência de atributos sensíveis na base de dados de procedimentos ambulatoriais do DATASUS, que contém microdados desde 1994 até os dias atuais sobre milhões de cidadãos. Identificamos sérios riscos à privacidade – por exemplo, em alguns casos é possível inferir atributos sensíveis com uma acurácia superior a 90% em quase 30% dos registros da base. Tais resultados motivam o questionamento sobre se a plataforma encontra-se em conformidade com a Lei Geral de Proteção de Dados (LGPD).
ROBiT - A Binary Optimization Anti-Plagiarism Method
The widespread availability of Large Language Models (LLMs) has significantly lowered the barrier to committing code plagiarism. However, most existing anti-plagiarism tools remain vulnerable to modern evasion strategies, including syntactic transformations and generative code rewriting. Prior work shows that such transformations can effectively bypass clone detectors that rely on syntactic or semantic representations. While binary optimization is a known technique in malware obfuscation, its potential for plagiarism detection has been largely overlooked. We introduce a hybrid detection method that combines source-level syntactic analysis with binary-level comparison, leveraging both standard compilation outputs and binaries generated with optimization flags. These optimizations act as a reverse filter, eliminating syntactic manipulations added to code artifacts and revealing structural similarities with the original binary. Our empirical evaluation confirms that optimized binaries exhibit patterns that correlate strongly with their original source code. The proposed method demonstrates high effectiveness in detecting plagiarism, even when the source code has undergone aggressive syntactic transformations. This technique serves as a robust and complementary extension to existing syntactic anti-plagiarism systems, offering deeper insight into semantic and structural code similarity.
SDDup: Confidentiality-Aware Semantic Deduplication
Full-document encryption in existing document management systems creates major storage bottlenecks and hampers fine-grained access control. To overcome this, we present SDDup, a novel model that employs semantic-aware segmentation to separate common from unique, sensitive data segments. This allows for efficient deduplication and targeted encryption while maintaining integrity and regulatory compliance. We validate SDDup through theoretical and empirical analysis, security evaluation, and large-scale experiments on Brazilian birth certificates and university degrees. We compare SDDup against EDRStore, a leading system for generic encrypted data reduction. Our findings highlight SDDup as a competitive and scalable solution for document management.
Simplificando a adoção de ZTA com Motor de Políticas e Decisões Baseadas em Logs
A arquitetura de microsserviços e a popularização de provedores de nuvem como serviço introduziram desafios de cibersegurança. Perímetros de rede dinâmicos, superfícies de ataque ampliadas e comunicações complexas invalidam modelos tradicionais baseados em perímetros estáticos. Este trabalho apresenta duas abordagens de controle de acesso como pontos de partida para a adoção de Zero Trust: uma baseada em motor de políticas com quotas multifator e outra em análise de logs e alertas para definir penalidades. A simples adição de inteligência a um proxy padrão com as arquiteturas propostas permite elevar o nível de maturidade na adoção de Zero Trust de básico ou intermediário para avançado em vários aspectos. As abordagens foram avaliadas em ambientes simulados, e os resultados demonstram eficácia na identificação de irregularidades e no aumento da segurança, bloqueando ataques em até 4 segundos, além da viabilidade em termos de latência e facilidade de adoção.
Simplificação da análise forense de logs utilizando Grandes Modelos de Linguagem com a técnica RAG
Na era digital, a crescente complexidade dos sistemas informáticos e a sofisticação dos ataques cibernéticos aumentam significativamente o volume de logs gerados, desafiando os profissionais de cibersegurança. A detecção e interpretação de ataques ou problemas nesses registros são essenciais para uma resposta rápida a incidentes de segurança. Nesse contexto, os Grandes Modelos de Linguagem (LLMs) destacam-se como ferramentas fundamentais na compreensão e geração de linguagem natural. Este estudo apresenta uma abordagem para analisar logs de sistemas e redes, visando detectar, correlacionar e interpretar anomalias, utilizando a técnica de Retrieval-Augmented Generation (RAG) com LLMs e interações por meio de perguntas direcionadas. Os resultados comprovam a eficácia da abordagem proposta em gerar informações relevantes e simplificar a análise forense para profissionais da área.
TITAN DGA: Uma GAN Otimizada por Divergência KL com Autoencoder Baseado em Transformers para Geração de Domínios Maliciosos
DGAs convencionais usam sementes pseudoaleatórias fixas, enquanto os adversariais se adaptam, absorvendo traços léxicos e estatísticos de domínios benignos. Apresentamos o TITAN DGA, uma GAN adversarial que combina autoencoder transformer e divergência de Kullback–Leibler para estabilizar o treinamento. Tokenizamos domínios benignos com SentencePiece e empregamos um encoder–decoder transformer para modelar dependências de caracteres, alinhando distribuições latentes via KL para gerar amostras realistas. Em avaliações com os classificadores FANCI, LSTM.MI e Bilbo, e em comparação com CDGA, CharBot, Deception DGA, DeepDGA e MaskDGA, o TITAN DGA obteve desempenho superior em evasão.
As redes veiculares enfrentam ameaças cibernéticas que podem prejudicar motoristas, passageiros e pedestres. Nesse cenário, uma possível solução para treinar modelos que detectem ameaças, sem violação da privacidade dos usuários, é o aprendizado federado. No entanto, o aprendizado federado é particularmente sensível a atrasos de comunicação, sendo esta uma consequência natural da alta mobilidade em redes veiculares. Tal problema é comumente ignorado pela literatura, que não considera a possibilidade de desconexões na rede. Este trabalho propõe uma estratégia de seleção de clientes projetada para minimizar o tempo de treinamento de um modelo de aprendizado de máquina para detecção de ameaças veiculares, considerando o tempo de comunicação que varia de acordo com a movimentação dos clientes. Os resultados demonstram que o TOFL, utilizando apenas 20% do total de clientes disponíveis, pode reduzir o tempo necessário para atingir alta acurácia em até 50% em comparação com abordagens do estado da arte, ao mesmo tempo que diminui o consumo de recursos dos dispositivos clientes.
Uma abordagem para mitigação de phishing utilizando eBPF/XDP
Embora amplamente estudado como vetor de ataque cibernético, o phishing continua sendo uma ameaça predominante, impulsionado por sua simplicidade operacional e alta eficácia na disseminação de malware. Este cenário torna crucial a utilização de soluções robustas para bloquear comunicações através de domínios maliciosos. Este artigo apresenta uma abordagem eficiente para mitigar ataques baseados em phishing e comunicações de comando e controle (C2) utilizando a tecnologia eBPF e o framework XDP. O estudo apresenta uma análise comparativa entre a solução proposta e o método RPZ. Os resultados demonstram uma redução média do consumo de CPU de 70% com incremento médio na latência de 0,0126 ms, apresentando uma alternativa promissora para aprimorar a segurança e o desempenho dos serviços DNS.
Uma Avaliação Estendida do Impacto da Seleção e Enriquecimento de Features em Sistemas de Detecção de Intrusão para Smart Grids
Este trabalho avalia o impacto da seleção e do enriquecimento de features no desempenho de IDSs para smart grids. Foram testados sete conjuntos de features, de versões básicas a enriquecidas, incluindo duas ordens de aplicação: (i) seleção após enriquecimento e (ii) enriquecimento após seleção. A eficácia foi analisada em sete tipos de ciberataques com diferentes complexidades, por meio de classificadores leves. Os resultados mostram que a seleção melhora ataques simples, como Random Replay e Inverse Replay, enquanto o enriquecimento se destaca em cenários mais complexos, como Masquerade Fake Fault. Os melhores ganhos ocorreram com a combinação das duas técnicas, especialmente quando o enriquecimento foi aplicado antes da seleção — o que evitou a perda de features derivadas importantes, como delay.
Uma Nova Abordagem para Detecção de Cabeçalhos SMTP Falsos usando Aprendizado Profundo e Geração de Dados Sintéticos
Este trabalho propõe uma nova abordagem para a detecção de cabeçalhos de e-mail anômalos, com foco em mensagens de phishing, spam e legítimas. Utilizamos um Perceptron Multicamadas (MLP) para classificação e uma Rede Adversária Generativa com Gradiente Penalizado (WGAN-GP) para geração de dados sintéticos. A técnica Gumbel Softmax é empregada para simular características de conjuntos de dados desbalanceados, e os dados gerados são avaliados por testes estatísticos. O Ray Tune é utilizado para otimização dos hiperparâmetros do modelo. Os resultados demonstram que a abordagem proposta melhora a acurácia e a capacidade de generalização na detecção de ameaças em cabeçalhos de e-mail.
Using LSMs to Strengthen Access Control of Applications that use hostPath in Kubernetes Clusters
This paper presents a methodology to enhance the security of Kubernetes clusters using hostPath volumes, a feature that introduces considerable risks due to direct host access. Our approach leverages Linux Security Modules (LSMs) to enforce access control between workloads and host nodes, aligning with Zero Trust principles. The proposed solution is demonstrated through integration with the SPIFFE CSI Driver within the SPIRE framework. Experimental results show that, among various performance metrics, only the SPIRE Agent’s identity synchronization latency increased notably, around 29.68%. While this overhead appears significant, it may be acceptable in less time-sensitive scenarios, particularly when balanced against the improved security posture achieved.
Além da Similaridade: Uma super-métrica Generalizável para Avaliação de Fidelidade em Dados Sintéticos de Malware
Este trabalho propõe uma super-métrica flexível para a avaliação de dados sintéticos de malware, integrando oito medidas-chave (como RMSE, Jaccard e Wasserstein) em quatro dimensões principais: Distância, Correlação/Associação, Similaridade de Características e Distribuição Multivariada. A super-métrica permite o ajuste dinâmico de pesos entre essas dimensões, adaptando-se a diferentes cenários e objetivos de análise. A proposta não tem como finalidade substituir métricas existentes, mas sim oferecer um framework integrado e adaptável para avaliação multidimensional. Validada em quatro datasets de malware Android, utilizando o modelo TVAE, a supermétrica demonstrou forte correlação com a métrica de utilidade recall, além de apresentar estabilidade estatística significativamente superior à Similaridade do Cosseno, com desvio padrão três vezes menor (0,026 vs. 0,083) e menor amplitude (0,06 vs. 0,20) entre os conjuntos avaliados. Os resultados comprovam a eficácia da super-métrica na avaliação simultânea de aspectos locais e globais dos dados sintéticos, oferecendo maior robustez estatística em comparação com métricas convencionais.
Análise Exploratória de Criação de Regras do WAF ModSecurity Utilizando Cinco LLMs Distintos
Este trabalho apresenta uma análise exploratória da aplicação de cinco Large Language Models (LLMs) contemporâneos: OpenAI GPT-4o, DeepSeek-Chat, Google Gemini 2.5 Pro, Claude Sonnet 3.7 e Meta LLaMA 4, no processo de criação de regras para o ModSecurity. A partir da interação de dois profissionais não especialistas na ferramenta, coautores deste estudo, demonstra-se a viabilidade de gerar regras funcionais para o ModSecurity com o apoio das LLMs, por meio do refinamento iterativo de prompts, conforme evidenciado em dois cenários distintos de ataque.
Aplicação de Ferramenta Open-source na Validação de Integridade de Conteúdos Digitais para o Combate a Deepfakes Maliciosos
Este artigo aborda o crescente problema dos deepfakes maliciosos e propõe o uso de ferramentas open source, como a C2PA, para verificar a autenticidade de conteúdos digitais. O trabalho descreve uma proposta de API REST para simplificar a adição e validação de informações de integridade. O objetivo é fornecer uma solução transparente para validar e assinar conteúdos, combatendo a desinformação, com potencial de integração em redes sociais descentralizadas como o AT Protocol, onde será feita uma prova de conceito para reduzir a disseminação de informações falsas.
Avaliação do Impacto de DP-SGD em Modelos Otimizados com Tinyml
Os modelos de aprendizado profundo (MAP) são aplicados na detecção de ataques e anomalias em redes IoT. O paradigma tiny machine learning (tinyml) viabiliza a execução local desses modelos com baixo consumo de recursos e maior privacidade. No entanto, MAPs ainda podem vazar dados por ataques adversariais. Este trabalho implementa uma rede feedforward para classificação e um autoencoder para detecção de anomalias, treinados com DP-SGD no conjunto IoT-23. Os modelos foram otimizados com tinyML e implementados em um Raspberry Pi 4. O modelo feedforward manteve 87% de acurácia com privacidade alta (ϵ = 0.5), enquanto a otimização reduziu em até 91% o tamanho dos modelos, 82% o uso de RAM e 80% o tempo de execução. A combinação de privacidade diferencial e tinyML mostrou-se viável para segurança em dispositivos de borda.
Avaliação e Mitigação de Ataques Adversários em Sistema de Detecção de Intrusão IoT
A segurança em redes IoT ainda enfrenta limitações, especialmente quando os ataques têm como alvo sistemas de detecção de intrusão (IDS) baseados em aprendizado profundo. Neste trabalho, quatro técnicas de ataques adversários foram aplicadas a modelos CNN, LSTM e GRU, e sua acurácia foi avaliada após a inserção das amostras maliciosas. Em um segundo momento, os modelos foram retreinados com essas amostras, aprendendo a reconhecer os padrões dos ataques, que é um passo importante para a mitigação desse tipo de ameaça em ambientes IoT.
Contrastive Autoencoding with Gaussian Confidence Regions for Concept Drift Detection in IDS
Intrusion Detection Systems (IDS) are essential for network security; however, the growing complexity of cyberattacks challenges traditional signature-based and anomaly-based approaches, which struggle to detect novel threats while maintaining low false positive rates. In dynamic environments, evolving attack strategies cause concept drift that degrade the performance of static models. To address this, we propose a novel machine learning approach that integrates an autoencoder with contrastive learning and models known attack classes using Gaussian-based confidence regions. Experimental results show that the proposed classifier outperforms the baseline approach, achieving a higher average F1-score (0.39 vs. 0.25) due to the adaptability of hyperellipsoidal confidence regions.
Correlação Híbrida Baseada em Stacking para Detecção de Anomalias em Redes de Computadores
A detecção de anomalias em redes de computadores é um desafio crítico no campo da cibersegurança, devido à crescente complexidade das ameaças e à dinamicidade do tráfego de dados. Este estudo propõe uma abordagem baseada em ensemble stacking, que combina os algoritmos Local Outlier Factor (LOF), Isolation Forest (iForest) e One-Class SVM (OCSVM) para a detecção de anomalias. Em seguida, os scores gerados por esses modelos treinam um classificador Random Forest, responsável pela classificação final das instâncias de tráfego. A validação empírica foi conduzida com o conjuntos de dados UGR’16 e CIC-IDS2017 e utilizaram métricas como AUC, curvas ROC e F1-score, permitindo avaliar o desempenho em relação a métodos tradicionais e do estado da arte. A solução proposta demonstra ser promissora na redução de falsos positivos e na detecção de tráfego malicioso em cenários realistas e desbalanceados.
Data Sampling Optimization for Improved Classification of Imbalanced Phishing Datasets
Phishing é um ataque de engenharia social que captura informações ao imitar entidades confiáveis. Para detectá-lo, usa-se Aprendizado de Máquina como tarefa de classificação. Porém, os dados costumam ser desbalanceados devido ao Concept Drift e à natureza semântica dos ataques. Técnicas de oversampling, undersampling e híbridas são aplicadas, sendo as híbridas mais eficazes ao combinar ambas. Este estudo avalia o impacto da ordenação otimizada de algoritmos de amostragem em dados de phishing, comparando com métodos tradicionais. Os resultados mostram que as sequências otimizadas melhoram o desempenho e reduzem o desbalanceamento.
Detecção Eficiente de Anomalias em Hosts usando Transformer com Categorização de Chamadas de Sistema
Este trabalho propõe uma abordagem eficiente para detecção de anomalias em hosts, baseada na análise de sequências de chamadas de sistema (syscalls). As syscalls são agrupadas por nível de ameaça e funcionalidade, gerando representações compactas analisadas por um modelo Transformer sobre matrizes de frequência de bigramas. Quatro representações foram avaliadas, e a combinação de ameaça e funcionalidade obteve F1-score de 0,90, próxima ao modelo original (0,92), com redução superior a 86% no tempo de execução, mantendo desempenho competitivo com menor custo computacional.
DNApp: Desafios de Manutenção da Integridade em Hosts via Caracterização de Aplicações baseada em Instruções
Este artigo propõe o DNApp, método para identificar executáveis privilegiados em Linux por meio da análise sintática de instruções assembly, utilizando n-gramas de opcode (bi, tri e 4-gramas) vetorizados com TF-IDF em binários de cinco versões do Ubuntu. Os vetores médios são avaliados com k-means e coeficiente de Silhouette, mostrando que 4-gramas com 128–256 dimensões separam melhor amostras pequenas, enquanto bigramas com 512 dimensões funcionam melhor em conjuntos maiores. Agrupamentos funcionais são formados de modo consistente, embora existam limitações como sobreposição e vetores restritos. O método pode ajudar a identificar modificações maliciosas em binários privilegiados, independentemente de assinaturas estáticas.
Transciphering is a powerful technique to reduce communication overhead of fully homomorphic encryption. We propose to use the standardized cipher Chacha20 to construct transciphering. We implement a full bitwise homomorphic version of Chacha20 and analyze different strategies and techniques to implement it with non-binary messages. We also propose a non-blackbox way of computing homomorphic XOR gates for free within Chacha20 round evaluation. This yields a significant reduction on the computation cost, with an estimate of 238.08 s to run the cipher in our best serial implementation, with our throughput being up to 2 times higher than the state of the art.
Entre a Confiança e o Sigilo: Reputação Descentralizada com Garantia de Privacidade por Meio de Identidades Digitais Auto-Soberanas
Embora autenticação e autorização garantam identidade e controle de acesso, elas não asseguram atributos como qualidade e confiabilidade dos serviços ao longo do tempo. Nesse cenário, a reputação atua como mecanismo complementar essencial, refletindo aspectos como disponibilidade, integridade e conformidade com SLAs. No entanto, abordagens centralizadas reduzem a resiliência e comprometem a soberania dos usuários. A arquitetura proposta neste trabalho adota uma abordagem descentralizada, baseada em Identidades Digitais Descentralizadas (IDD) e tecnologias de blockchain, permitindo provar reputação de forma verificável e privada. A PoC demonstrou que o sistema penaliza eficazmente comportamentos maliciosos, aumentando a segurança e a robustez do ambiente.
Fast implementation of GF(28) inversion with applications to the AES S-box using ARM Helium MVE extensions
The AES block cipher is widely used in embedded systems. Efficient realizations of its S-box, which consists of a costly inversion in GF(28) and an affine transformation, are usually done with lookup tables, which may be vulnerable to timing side-channel attacks. We develop a constant-time inversion algorithm in GF(28) optimized with Arm Helium MVE extensions and a fully vectorized suite of field-arithmetic primitives, from which we derive three Cortex-M S-box implementations: two table-free exponentiation schedules requiring only three field multiplications, and a third variant employing a compact, vectorized 16-byte lookup table. We integrate these methods into a constant-time AES-128 implementation on a Cortex-M85, demonstrating that our proposal is competitive with state-of-the-art implementations.
FrodoKEM based on multicore implementation: enhancing performance and memory efficiency in IoT applications
This paper presents a multicore implementation of FrodoKEM, a post-quantum cryptographic scheme, targeting near real-time Internet of Things (IoT) applications. By combining tiled matrix multiplication and data parallelism, we enable FrodoKEM to efficiently operate under the memory and performance constraints of multicore microcontrollers. Implemented on the ESP32-S3, the single-core version demonstrates feasibility through memory optimization, while the dual-core version achieves a 44.5% reduction in execution time, meeting the latency requirements of IoT systems.
Gerenciamento Integrado e Adaptativo de Firewalls baseado na Fonte Única de Verdade (SSoT) da Rede
Este trabalho propõe uma arquitetura modular e adaptativa para o gerenciamento de firewalls, fundamentada no conceito de Fonte Única de Verdade (SSoT). A solução integra monitoramento, orquestração e aplicação de políticas de segurança em redes heterogêneas, permitindo respostas automatizadas a eventos operacionais e de segurança. Avaliações experimentais evidenciam a capacidade da arquitetura em reagir de forma ágil a mudanças na infraestrutura e mitigar ataques DoS com eficiência.
Guardrail: Uma Abordagem Modular para Sistemas de Segurança em Inteligência Artificial Generativa
Guardrail é um framework open-source para proteger modelos de linguagem (LLMs) contra ataques como prompt injection e jailbreaks. Adota uma arquitetura modular inspirada em mixture of experts, combinando filtros leves e semânticos. Avaliado em 1000 prompts, obteve F1-score de 0,9844 (modo paralelo) e 0,9711 (sequencial), superando PromptGuard e LLM-Guard. Os resultados demonstram a eficácia da combinação de módulos especializados na segurança de LLMs.
How does reducing the dimension of feature vectors impact Biometric Systems that use Homomorphic Encryption?
Homomorphic Encryption enables biometric systems to perform matching directly on encrypted feature vectors, preserving user privacy throughout the process. However, the high computational cost of encrypted-domain operations, especially on high-dimensional inputs, remain a major barrier to real-world use. This study presents a concrete example of how reducing the dimensionality of biometric feature vectors affects both matching accuracy and runtime, and discusses how system designers could estimate the trade-off between time savings and accuracy loss when choosing a target dimension. The code is available on Github.
Indicadores Semânticos na Engenharia de Prompts: Uma Abordagem Explicável para Detecção de Fake News
A detecção de fake news tem se beneficiado do uso de Modelos de Linguagem de Grande Escala (LLMs). No entanto, as decisões tomadas por esses modelos carecem de explicabilidade. Este trabalho busca suprir essa lacuna ao construir indicadores (red flags) a partir de notícias por meio da engenharia de prompts, os quais que possibilitam uma tomada de decisão explicável. Como resultado, foi criado o um dataset com 16 red flags acerca de notícias verdadeiras e falsas. Experimentos com o classificador Random Forest e a ferramenta SHAP revelaram um F1-Score de 95,38% na detecção explicável de fake news.
Ladies In Cyber: Mulheres na Cibersegurança – Um Projeto de Empoderamento Feminino na Área de Tecnologia
O projeto Ladies in Cyber promove a inclusão e o empoderamento feminino na cibersegurança por meio de treinamentos, palestras e eventos. Parcerias com empresas e universidades geram estágios e empregos, enquanto a trilha inaugural de capacitação preencheu 32 vagas. A iniciativa fortalece a diversidade nas equipes, amplia oportunidades de carreira, capacita mulheres e incentiva a equidade de gênero no setor.
MIRAK: Um Artefato para Robustecimento do Ambiente Relying Party RPKI
A validação de rotas através do Routinator e o protocolo RPKI vem sendo discutidos na literatura como a principal combinação para o robustecimento do roteamento BGP. No entanto, alguns trabalhos evidenciaram oportunidades de ataques ao próprio sistema validador de rotas, justificando o esforço no aumento da resiliência dessa solução. Este artigo apresenta a aplicação MIRAK, desenvolvida com técnicas próprias para baixo consumo de recursos e rapidez, que realiza de forma automatizada a identificação de vulnerabilidades no Routinator, contribuindo para reduzir o risco de ataques. Os resultados iniciais se mostraram animadores, motivando o estudo para aprimorar a sua eficiência e amplitude.
Mitigando Técnicas de Anti-Instrumentação em DBI: Contramedidas baseadas em Overhead e Transparência
Apresentamos neste artigo três novas contramedidas para mitigar técnicas de anti-instrumentação baseadas em overhead e transparência, empregadas por malwares cientes de contexto para detectar a presença de instrumentação binária dinâmica (DBI). Validamos as contramedidas por meio de provas de conceito em ambiente controlado. Os resultados indicam que é possível reduzir a superfície de ataques desses malwares, promovendo maior transparência e resiliência em ambientes instrumentados por DBI.
Spatiotemporal Patterns, Typology and Survival Analysis of Cyber Incidents in Brazil
Cyber incidents, such as data breaches, ransomware attacks and vulnerability exploitations, are consistently impacting Brazil. This study analyzes 1249 cyber incident reported to the Brazilian National Data Protection Authority from 2021 to 2025. We identify São Paulo and the Federal District as the most targeted states, with ransomware being the most prevalent attack type. The Kaplan-Meier survival analysis reveals rapid incident recurrence in major regions and of certain types of incidents, such as ransomware, vulnerable systems and credential theft. This study provides a foundational overview of Brazil’s cybersecurity scenario. The findings emphasize the importance of enhancing incident reporting and of improving proactive defenses.
Tailoring a Genetic Algorithm for searching Shortest Lattice Vector in NTRU Lattices
The NTRU cryptosystem relies on the hardness of the Shortest Vector Problem (SVP), a central challenge in lattice-based cryptography. While genetic algorithms (GAs) have shown promise in solving SVP on generic lattices, little attention has been given to applying it to cryptographic structures like NTRU. In this work, we investigate the suitability of a GA specifically tailored to NTRU lattices. Our approach involves searching outside the lattice and analyzing a cost function whose behavior appears smoother when using BKZ-reduced bases. We present initial observations and outline directions for future research.
Telegram’s Dark Trade: Unpacking Brazil’s Data Leak Surge
The exploitation of leaked personally identifiable information (PII) has become a key enabler of social engineering attacks. While dark markets are commonly associated to traditional dark Web forums, Telegram emerges as an easy-to-use meeting place for users and vendors. This study investigates a specific ecosystem within Telegram known as ”Pull Groups” (PG), where large amounts of sensitive personal data are requested and shared. During a six-month monitoring period, we systematically collected and analyzed data, extracting more than 12 million PII records. To assess the potential impact of this exposure, we propose the Leak Exposure Index (LEI), which combines the leak volume with he group size to highlight high-risk environments. Our findings show that a small set of groups are responsible for the majority of leaked data, underlining the need for countermeasures and informed risk assessment strategies. This is also a call for public awareness of this threat.