RansomShield: Threat-score-driven adaptive backup with multi-modal behavioural ransomware detection

Dans le monde numérique, la protection des informations précieuses a longtemps reposé sur une stratégie simple en deux parties : surveiller les intrus et conserver une copie de sauvegarde de votre travail. Les logiciels de sécurité agissent comme un garde, scannant les fichiers et les programmes pour repérer les voleurs connus ou les comportements suspects. S'il voit quelque chose de dangereux, il tire l'alarme. Séparément, un système de sauvegarde agit comme un filet de sécurité, enregistrant des copies de fichiers à intervalles réguliers, comme une horloge qui sonne chaque heure ou chaque jour. Pendant des décennies, ces deux systèmes ont fonctionné de manière indépendante. Le garde criait s'il voyait une menace, mais l'horloge de sauvegarde continuait de battre selon son propre calendrier, ignorant le danger. Cette séparation a créé une vulnérabilité. Les voleurs modernes, spécifiquement ceux qui prennent les données en otage contre de l'argent, ont appris à frapper rapidement et ciblent souvent les systèmes de sauvegarde eux-mêmes, supprimant les anciennes copies ou les verrouillant avant qu'une nouvelle ne puisse être faite. L'ancienne règle consistant à garder trois copies en deux lieux, dont une hors site, avait été conçue pour une époque où les sauvegardes étaient des cibles passives, et non des champs de bataille actifs.

Des chercheurs de l'Université des Sciences Médicales d'Ondo, au Nigeria, ont proposé une nouvelle façon de combler ce fossé. Ils ont construit un système appelé RansomShield, qui relie le garde et le filet de sécurité pour qu'ils fonctionnent comme une seule unité vivante. Au lieu d'une simple alarme de type marche/arrêt, leur système calcule un « score de menace » continu. Ce score monte et descend en fonction de ce que le système observe à l'intérieur de l'ordinateur. Si le score est bas, le système se comporte normalement, enregistrant les fichiers à un rythme standard. Si le score commence à grimper, indiquant que quelque chose de suspect se produit, le système renforce automatiquement ses défenses. Il commence à enregistrer les copies plus fréquemment, verrouille ces copies pour qu'elles ne puissent pas être modifiées et les isole du reste du réseau. Le système n'attend pas une certitude absolue pour agir ; il réagit proportionnellement au niveau de danger perçu.

Pour construire ce système, les chercheurs ont combiné quatre manières différentes de surveiller l'ordinateur. Premièrement, ils ont examiné la mémoire de l'ordinateur, l'espace temporaire où résident les programmes actifs, à la recherche de signes spécifiques de code malveillant. Deuxièmement, ils ont suivi la séquence de commandes qu'un programme envoie au système d'exploitation, recherant des modèles typiques de chiffrement de fichiers. Troisièmement, ils ont surveillé la façon dont les données étaient écrites sur le disque dur, vérifiant les pics soudains d'activité ou les changements étranges dans les types de fichiers. Enfin, ils ont mesuré le caractère aléatoire des données en cours d'écriture ; les fichiers chiffrés ressemblent à du bruit statique pur, ce qui est mathématiquement distinct des documents ou des images normaux. Le système pondère ces quatre signaux ensemble, lissant les résultats pour éviter les fausses alertes dues à des incidents passagers. Ce score combiné pilote ensuite un contrôleur qui décide de la manière exacte de protéger les données.

Les chercheurs ont testé cette idée en utilisant des données provenant d'archives publiques et en simulant des attaques de sept familles différentes de rançongiciels. Dans ces simulations, le système a identifié avec succès chaque attaque. En moyenne, il a détecté la menace après avoir observé seulement treize événements du système de fichiers, ce qui est un temps très court dans le monde des opérations numériques. Une fois la menace repérée, le système a immédiatement intensifié sa réponse. Il est passé d'un état normal à un état de vigilance accrue où il sauvegardait une copie complète des données toutes les trente secondes. Ces copies ont été rendues « immuables », ce qui signifie qu'elles étaient verrouillées de manière à empêcher même l'attaquant de les supprimer ou de les modifier, et elles ont été placées dans un environnement isolé, physiquement déconnecté (air-gapped) de la machine compromise. Le système n'a pas atteint son niveau d'alerte le plus élevé, qui aurait consisté à arrêter tous les processus, car les attaques simulées ont été détectées assez tôt pour déclencher la réponse forte, mais pas extrême.

L'étude a également examiné la fréquence à laquelle le système pourrait donner l'alarme inutilement. Dans un scénario où seule une activité informatique normale et inoffensive se produisait, le système signalait une menace potentielle dans environ cinq pour cent des événements. Bien que ce taux soit faible, les chercheurs ont noté qu'en situation réelle, cela pourrait entraîner un travail supplémentaire inutile, comme sauvegarder les fichiers plus souvent que nécessaire. Cependant, le système était assez intelligent pour maintenir ces fausses alertes à un niveau modéré ; il n'a jamais escaladé vers les mesures les plus extrêmes et perturbatrices pour une activité normale. Les résultats ont montré que le surveillant de la mémoire était l'outil individuel le plus puissant, identifiant l'activité malveillante avec une précision quasi parfaite lors des tests. Les autres outils, bien que moins précis seuls, ajoutaient un contexte précieux lorsqu'ils étaient combinés.

Ce travail reste une preuve de concept, une démonstration que l'idée fonctionne dans un environnement contrôlé. Les chercheurs ont utilisé des attaques simulées plutôt que des virus réels dans un réseau réel, et ils n'ont pas encore testé le système dans un hôpital ou une entreprise. Ils reconnaissent que les règles qu'ils ont utilisées pour juger le comportement de l'ordinateur ont été fabriquées à la main et que le système nécessite des tests supplémentaires pour voir comment il gère la vaste variété des menaces réelles. Les auteurs suggèrent que les travaux futurs devraient impliquer des tests du système contre des logiciels malveillants réels dans un bac à sable sécurisé, l'affinement des règles basées sur des données réelles, et enfin le déploiement du système dans des organisations où les ressources sont limitées. La conclusion fondamentale est claire : en liant la détection d'une menace directement à l'intensité de la réponse de sauvegarde, il est possible de créer une défense qui est à la fois plus rapide et plus résiliente que les méthodes traditionnelles et déconnectées. Le système ne se contente pas de surveiller les ennuis ; il adapte son bouclier en temps réel, resserrant sa prise dès que le danger commence à croître.