Network-Centric Ransomware Intrusion Detection Framework

Dans le monde numérique, un type de menace spécifique a évolué, passant d'une simple nuisance à une crise mondiale. Depuis des décennies, les logiciels malveillants connus sous le nom de rançongiciels (ransomware) prennent les données informatiques en otage, chiffrant les fichiers et exigeant un paiement pour leur libération. Bien que les logiciels de sécurité installés sur les ordinateurs individuels puissent souvent arrêter ces programmes avant qu'ils ne démarrent, des attaquants ingénieux ont appris à dissimuler leurs actions, contournant ainsi ces défenses. Lorsqu'un ordinateur est déjà compromis, la seule vue restante sur ce qui se passe provient souvent du réseau lui-même — le flux de données circulant entre les machines. C'est là que réside la dernière ligne de défense. En surveillant le trafic circulant entre un ordinateur et les serveurs de fichiers centraux où les données sont stockées, les experts en sécurité espèrent repérer la signature unique d'une attaque en cours, même si le programme malveillant tente de se déguiser.

Une équipe de chercheurs de l'Université La Trobe en Australie a développé une nouvelle façon de surveiller ce trafic numérique, créant un cadre conçu pour capturer les rançongiciels ayant déjà infiltré un système. Leur approche va au-delà de la simple recherche d'acteurs malveillants connus et se concentre plutôt sur le comportement des données elles-mêmes. Ils ont introduit une méthode qu'ils appellent « Traffic of Interest » (trafic d'intérêt), qui agit comme un filtre pour regrouper des paquets d'informations spécifiques qui racontent l'histoire de ce qu'un ordinateur est en train de faire. Plutôt que d'analyser chaque morceau de donnée traversant un réseau, ce qui peut être accablant et lent, cette technique isole les moments critiques où un ordinateur lit, écrit ou modifie des fichiers sur un lecteur partagé. En se concentrant sur ces moments critiques, le système peut distinguer un utilisateur qui sauvegarde simplement son travail d'un programme malveillant qui chiffre tout sur son passage.

Les chercheurs ont construit un environnement de test pour voir si cette méthode pouvait fonctionner dans le monde réel. Ils ont mis en place un réseau virtuel avec un serveur de fichiers et plusieurs ordinateurs clients, puis ont introduit une grande variété de familles de rançongiciels, allant de souches plus anciennes aux variantes les plus récentes découvertes entre 2013 et 2022. Crucialement, ils n'ont pas seulement testé ces attaques contre une activité informatique normale et calme. Ils ont également exécuté des applications légitimes effectuant des opérations de fichiers lourdes, telles que la compression de dossiers volumineux, le chiffrement de données pour la confidentialité ou la copie de quantités massives de fichiers. Ces actions légitimes peuvent parfois ressembler beaucoup à un rançongiciel, et de nombreux systèmes de détection précédents ont eu du mal à faire la distinction, déclenchant souvent de fausses alertes. En entraînant leur système à reconnaître les différences subtiles entre un utilisateur compressant un fichier et un virus en chiffrant un autre, les chercheurs visaient à créer un détecteur qui soit à la fois sensible aux menaces et calme face à l'activité normale.

Les résultats de leurs expériences ont été frappants. Lorsque le système a été testé contre l'ensemble des attaques, il a identifié correctement le rançongiciel avec une précision de près de 99,64 %. Peut-être plus important encore, il n'a manqué de détecter une attaque par rançongiciel qu'une fois sur mille tentatives, un taux si bas qu'il est pratiquement nul. Cela signifie que le système rate rarement une menace. Parallèlement, il ne donne que rarement l'alerte pour rien ; il a identifié par erreur une application inoffensive comme malveillante seulement quatre fois sur cent mille vérifications. Les chercheurs ont également démontré que cette détection pouvait se produire très tôt dans une attaque. En analysant les premières dizaines de moments d'activité suspecte, le système pouvait identifier l'intrusion avec une précision de 99,44 %, souvent avant que les dommages ne soient causés. Cette capacité d'alerte précoce est vitale, car elle donne aux administrateurs le temps d'arrêter l'attaque avant que les données critiques ne soient perdues.

Au-delà du modèle d'apprentissage automatique qui alimente la détection, l'équipe a également découvert un ensemble d'indices comportementaux, connus sous le nom d'indicateurs de compromission, qui sont uniques aux rançongiciels. Il ne s'agit pas de simples listes de mauvaises adresses ou de noms de fichiers, que les attaquants peuvent facilement modifier. Il s'agit plutôt de modèles dans la manière dont les données circulent. Par exemple, les chercheurs ont découvert que les rançongiciels créent souvent un type spécifique de fichier de message avec une taille constante pour dire à la victime quoi faire, et qu'ils suivent une séquence de commandes très spécifique lorsqu'ils verrouillent des fichiers. Ces modèles restent visibles même lorsque les attaquants tentent de masquer leurs traces. L'équipe a compilé ces modèles dans un référentiel qui peut être utilisé comme une signature pour les menaces connues, offrant une seconde couche de défense qui travaille parallèlement au modèle d'apprentissage automatique.

L'étude conteste explicitement l'idée que les méthodes de détection précédentes étaient suffisantes. Les auteurs soutiennent que de nombreuses études antérieures reposaient sur des ensembles de données qui n'incluaient pas d'applications légitimes se comportant comme des rançongiciels, ce qui menait à des résultats trop optimistes qui ne tiendraient pas la route dans un bureau très actif. Ils ont également noté que de nombreux outils existants dépendent de la visibilité de données non chiffrées, ce qui devient de moins en moins courant à mesure que les réseaux adoptent un chiffrement plus fort. Leur cadre, cependant, a été testé en utilisant du trafic chiffré et non chiffré, prouvant qu'il peut voir à travers le bruit quel que soit le paramètre de sécurité. En se concentrant sur le comportement réel des opérations de fichiers plutôt que sur le code statique du virus, les chercheurs ont fourni un moyen plus robuste de protéger les réseaux. Le travail suggère que, bien que les rançongiciels continueront d'évoluer, surveiller le flux de données avec un œil attentif sur les modèles comportementaux spécifiques offre une voie fiable pour les arrêter.