RansomShield: Threat-score-driven adaptive backup with multi-modal behavioural ransomware detection

In der digitalen Welt beruht der Schutz wertvoller Informationen seit langem auf einer einfachen, zweiteiligen Strategie: dem Beobachten von Eindringlingen und dem Aufbewahren einer Kopie der eigenen Arbeit. Sicherheitssoftware fungiert dabei als Wächter, der Dateien und Programme scannt, um bekannte Diebe oder verdächtiges Verhalten aufzuspüren. Wenn sie etwas Gefährliches sieht, schlägt sie Alarm. Separat agiert ein Backup-System als Sicherheitsnetz, das in regelmäßigen Abständen Kopien von Dateien speichert, wie eine Uhr, die jede Stunde oder jeden Tag schlägt. Jahrzehntelang arbeiteten diese beiden Systeme unabhängig voneinander. Der Wächter schrie, wenn er eine Bedrohung sah, aber die Backup-Uhr tickte auf ihrem eigenen Zeitplan weiter, unwissend über die Gefahr. Diese Trennung schuf eine Schwachstelle. Moderne Diebe, insbesondere jene, die Daten als Erpressungsmittel halten, haben gelernt, schnell zuzuschlagen und oft gezielt die Backup-Systeme selbst anzugreifen, indem sie alte Kopien löschen oder wegsperren, bevor eine neue erstellt werden kann. Die alte Regel, drei Kopien an zwei Orten mit einer Kopie an einem externen Standort aufzubewahren, war für eine Zeit konzipiert, in der Backups passive Ziele waren, keine aktiven Schlachtfelder.

Forscher an der University of Medical Sciences in Ondo, Nigeria, haben einen neuen Weg vorgeschlagen, um diese Lücke zu schließen. Sie entwickelten ein System namens RansomShield, das den Wächter und das Sicherheitsnetz verbindet, sodass sie als eine einzige, atmende Einheit arbeiten. Anstatt eines einfachen An/Aus-Alarms berechnet ihr System einen kontinuierlichen „Bedrohungs-Score“. Dieser Score steigt und fällt basierend auf dem, was das System innerhalb des Computers beobachtet. Wenn der Score niedrig ist, verhält sich das System normal und speichert Dateien in einem Standardtempo. Wenn der Score zu steigen beginnt, was auf etwas Verdächtiges hindeutet, verschärft das System automatisch seine Verteidigung. Es beginnt, Kopien häufiger zu erstellen, sperrt diese Kopien, damit sie nicht verändert werden können, und isoliert sie vom restlichen Netzwerk. Das System wartet nicht auf absolute Gewissheit, um zu handeln; es reagiert proportional zur wahrgenommenen Gefahrenstufe.

Um dieses System zu bauen, kombinierten die Forscher vier verschiedene Arten der Computerüberwachung. Erstens untersuchten sie den Speicher des Computers, den temporären Bereich, in dem aktive Programme leben, und suchten nach spezifischen Anzeichen für bösartigen Code. Zweitens verfolgten sie die Sequenz der Befehle, die ein Programm an das Betriebssystem sendet, um nach Mustern zu suchen, die typisch für eine Dateiverschlüsselung sind. Drittens überwachten sie, wie Daten auf die Festplatte geschrieben wurden, und prüften auf plötzliche Aktivitätsschübe oder seltsame Änderungen der Dateitypen. Schließlich maßen sie die Zufälligkeit der geschriebenen Daten; verschlüsselte Dateien sehen aus wie reines statisches Rauschen, was mathematisch deutlich von normalen Dokumenten oder Bildern abweicht. Das System gewichtet diese vier Signale zusammen und glättet die Ergebnisse, um Fehlalarme durch vorübergehende Störungen zu vermeiden. Dieser kombinierte Score steuert dann einen Controller, der entscheidet, wie genau die Daten geschützt werden sollen.

Die Forscher testeten diese Idee unter Verwendung von Daten aus öffentlichen Archiven und durch die Simulation von Angriffen aus sieben verschiedenen Ransomware-Familien. In diesen Simulationen identifizierte das System jeden einzelnen Angriff erfolgreich. Im Durchschnitt erkannte es die Bedrohung nach nur dreizehn Dateisystem-Ereignissen, was in der Welt der digitalen Operationen eine sehr kurze Zeitspanne ist. Sobald die Bedrohung entdeckt wurde, eskalierte das System sofort seine Reaktion. Es wechselte von einem Normalzustand in einen erhöhten Zustand, in dem es alle dreißig Sekunden eine vollständige Kopie der Daten speicherte. Diese Kopien wurden „unveränderlich“ gemacht, was bedeutet, dass sie so gesperrt wurden, dass selbst der Angreifer sie nicht löschen oder ändern konnte, und sie wurden in einer isolierten Umgebung platziert, die effektiv vom kompromittierten Rechner entkoppelt (air-gapped) war. Das System erreichte nicht seine höchste Alarmstufe, die das Stoppen aller Prozesse beinhaltet hätte, da die simulierten Angriffe früh genug erkannt wurden, um die starke, aber nicht extreme Reaktion auszulösen.

Die Studie untersuchte auch, wie oft das System „Fehlalarm“ schlägt. In einem Szenario, in dem nur normale, harmlose Computeraktivitäten stattfanden, markierte das System etwa fünf Prozent der Ereignisse als potenzielle Bedrohung. Obwohl dies eine niedrige Rate ist, merkten die Forscher an, dass dies in einer realen Umgebung zu unnötiger Mehrarbeit führen könnte, wie etwa dem häufigeren Speichern von Dateien als nötig. Das System war jedoch intelligent genug, um diese Fehlalarme auf einem moderaten Niveau zu halten; es eskalierte bei normalen Aktivitäten nie zu den extremsten, störenden Maßnahmen. Die Ergebnisse zeigten, dass der Speicher-Wächter das leistungsfähigste Einzelwerkzeug war und bösartige Aktivitäten in den Tests mit nahezu perfekter Genauigkeit identifizierte. Die anderen Werkzeuge waren zwar für sich genommen weniger präzise, lieferten aber in Kombination wertvollen Kontext.

Diese Arbeit bleibt ein Proof of Concept, eine Demonstration, dass die Idee in einer kontrollierten Umgebung funktioniert. Die Forscher verwendeten simulierte Angriffe anstelle von Live-Viren in einem echten Netzwerk, und sie haben das System noch nicht in einem Krankenhaus oder einem Unternehmen getestet. Sie räumten ein, dass die Regeln, die sie zur Beurteilung des Computerverhaltens verwendeten, handgefertigt waren, und dass das System weitere Tests benötigt, um zu sehen, wie es mit der großen Vielfalt realer Bedrohungen umgeht. Die Autoren schlagen vor, dass zukünftige Arbeiten die Untersuchung des Systems gegen Live-Malware in einer sicheren Sandbox, die Verfeinerung der Regeln basierend auf realen Daten und schließlich den Einsatz in Organisationen mit begrenzten Ressourcen umfassen sollten. Die Kernbotschaft ist klar: Durch die direkte Verknüpfung der Erkennung einer Bedrohung mit der Intensität der Backup-Reaktion ist es möglich, eine Verteidigung zu schaffen, die sowohl schneller als auch widerstandsfähiger ist als die traditionellen, getrennten Methoden. Das System beobachtet nicht nur nach Ärger; es passt seinen Schild in Echtzeit an und zieht die Griffe in dem Moment fest, in dem die Gefahr steigt.