RansomShield: Threat-score-driven adaptive backup with multi-modal behavioural ransomware detection

En el mundo digital, la protección de la información valiosa ha dependido durante mucho tiempo de una estrategia sencilla de dos partes: vigilar a los intrusos y mantener una copia de reserva de su trabajo. El software de seguridad actúa como un guardia, escaneando archivos y programas para detectar ladrones conocidos o comportamientos sospechosos. Si ve algo peligroso, lanza una alarma. Por separado, un sistema de respaldo actúa como una red de seguridad, guardando copias de archivos a intervalos regulares, como un reloj que suena cada hora o cada día. Durante décadas, estos dos sistemas operaron de forma independiente. El guardia gritaba si veía una amenaza, pero el reloj de respaldo seguía marcando el tiempo por su cuenta, ajeno al peligro. Esta separación creó una vulnerabilidad. Los ladrones modernos, específicamente aquellos que retienen datos para pedir dinero, han aprendido a atacar rápidamente y, a menudo, atacan los propios sistemas de respaldo, eliminando las copias antiguas o bloqueándolas antes de que se pueda realizar una nueva. La vieja regla de mantener tres copias en dos lugares con una fuera del sitio fue diseñada para una época en la que los respaldos eran objetivos pasivos, no campos de batalla activos.

Investigadores de la Universidad de Ciencias Médicas en Ondo, Nigeria, han propuesto una nueva forma de cerrar esta brecha. Construyeron un sistema llamado RansomShield, que conecta al guardia y a la red de seguridad para que trabajen como una única unidad que respira. En lugar de una simple alarma de encendido o apagado, su sistema calcula un "puntaje de amenaza" continuo. Este puntaje sube y baja según lo que el sistema observa que sucede dentro de la computadora. Si el puntaje es bajo, el sistema se comporta normalmente, guardando archivos a un ritmo estándar. Si el puntaje comienza a subir, indicando que algo sospechoso está sucediendo, el sistema endurece automáticamente sus defensas. Comienza a guardar copias con más frecuencia, bloquea esas copias para que no puedan ser alteradas y las aísla del resto de la red. El sistema no espera a tener una certeza absoluta para actuar; reacciona proporcionalmente al nivel de peligro que percibe.

Para construir este sistema, los investigadores combinaron cuatro formas diferentes de vigilar la computadora. Primero, observaron la memoria de la computadora, el espacio temporal donde residen los programas activos, buscando signos específicos de código malicioso. Segundo, rastrearon la secuencia de comandos que un programa envía al sistema operativo, buscando patrones típicos de la encriptación de archivos. Tercero, monitorearon cómo se escribían los datos en el disco duro, verificando picos repentinos de actividad o cambios extraños en los tipos de archivos. Finalmente, midieron la aleatoriedad de los datos que se escribían; los archivos encriptados parecen ruido estático puro, lo cual es matemáticamente distinto de los documentos o imágenes normales. El sistema pondera estas cuatro señales en conjunto, suavizando los resultados para evitar falsas alarmas debidas a fallos momentáneos. Este puntaje combinado impulsa un controlador que decide exactamente cómo proteger los datos.

Los investigadores probaron esta idea utilizando datos de archivos públicos y mediante la simulación de ataques de siete familias diferentes de ransomware. En estas simulaciones, el sistema identificó con éxito cada uno de los ataques. En promedio, detectó la amenaza tras observar solo trece eventos del sistema de archivos, lo cual es un tiempo muy corto en el mundo de las operaciones digitales. Una vez detectada la amenaza, el sistema escaló inmediatamente su respuesta. Pasó de un estado normal a un estado de alerta donde guardaba una copia completa de los datos cada treinta segundos. Estas copias fueron hechas "inmutables", lo que significa que fueron bloqueadas de una manera que impedía incluso que el atacante las borrara o cambiara, y fueron colocadas en un entorno aislado, efectivamente desconectadas físicamente (air-gapped) de la máquina comprometida. El sistema no alcanzó su nivel más alto de alerta, que habría implicado detener todos los procesos, porque los ataques simulados fueron detectados lo suficientemente temprano como para activar la respuesta fuerte, pero no extrema.

El estudio también analizó con qué frecuencia el sistema daba falsas alarmas. En un escenario donde solo ocurría actividad informática normal y sin daños, el sistema marcó una posible amenaza en aproximadamente el cinco por ciento de los eventos. Si bien esta es una tasa baja, los investigadores señalaron que, en un entorno real, esto podría generar trabajo adicional innecesario, como guardar archivos con más frecuencia de la debida. Sin embargo, el sistema fue lo suficientemente inteligente como para mantener estas falsas alarmas en un nivel moderado; nunca escaló a las medidas más extremas y disruptivas ante la actividad normal. Los resultados mostraron que el vigilante de la memoria fue la herramienta individual más poderosa, identificando la actividad maliciosa con una precisión casi perfecta en las pruebas. Las otras herramientas, aunque menos precisas por sí solas, añadieron un contexto valioso cuando se combinaron.

Este trabajo sigue siendo una prueba de concepto, una demostración de que la idea funciona en un entorno controlado. Los investigadores utilizaron ataques simulados en lugar de virus reales en una red real, y aún no han probado el sistema en un hospital o una empresa. Reconocen que las reglas que utilizaron para juzgar el comportamiento de la computadora fueron creadas manualmente y que el sistema necesita más pruebas para ver cómo maneja la vasta variedad de amenazas del mundo real. Los autores sugieren que el trabajo futuro debería incluir la prueba del sistema contra malware real en un entorno seguro (sandbox), el refinamiento de las reglas basadas en datos reales y, eventualmente, el despliegue del sistema en organizaciones donde los recursos son limitados. El hallazgo central es claro: al vincular la detección de una amenaza directamente con la intensidad de la respuesta de respaldo, es posible crear una defensa que sea tanto más rápida como más resiliente que los métodos tradicionales y desconectados. El sistema no solo vigila los problemas; adapta su escudo en tiempo real, apretando su agarre en el momento en que el peligro comienza a aumentar.