RansomShield: Threat-score-driven adaptive backup with multi-modal behavioural ransomware detection

Nel mondo digitale, la protezione delle informazioni preziose si è a lungo basata su una semplice strategia in due parti: sorvegliare gli intrusi e tenere una copia di riserva del proprio lavoro. Il software di sicurezza agisce come una guardia, scansionando file e programmi per individuare ladri noti o comportamenti sospetti. Se vede qualcosa di pericoloso, lancia un allarme. Separatamente, un sistema di backup agisce come una rete di sicurezza, salvando copie dei file a intervalli regolari, come un orologio che suona ogni ora o ogni giorno. Per decenni, questi due sistemi hanno operato in modo indipendente. La guardia urlava se vedeva una minaccia, ma l'orologio del backup continuava a ticchettare secondo il proprio programma, ignaro del pericolo. Questa separazione ha creato una vulnerabilità. I moderni ladri, specificamente coloro che tengono i dati in ostaggio per denaro, hanno imparato a colpire rapidamente e spesso prendono di mira i sistemi di backup stessi, eliminando le vecchie copie o bloccandole prima che ne possa essere creata una nuova. La vecchia regola di mantenere tre copie in due luoghi diversi, con una copia off-site, era stata progettata per un'epoca in cui i backup erano bersagli passivi, non campi di battaglia attivi.

Ricercatori dell'Università delle Scienze Mediche di Ondo, in Nigeria, hanno proposto un nuovo modo per colmare questo divario. Hanno costruito un sistema chiamato RansomShield, che collega la guardia e la rete di sicurezza affinché lavorino come un'unica unità pulsante. Invece di un semplice allarme on-o-off, il loro sistema calcola un "punteggio di minaccia" continuo. Questo punteggio sale e scende in base a ciò che il sistema osserva accadere all'interno del computer. Se il punteggio è basso, il sistema si comporta normalmente, salvando i file a un ritmo standard. Se il punteggio inizia a salire, indicando che sta accadendo qualcosa di sospetto, il sistema inasprisce automaticamente le sue difese. Inizia a salvare le copie con maggiore frequenza, blocca tali copie in modo che non possano essere alterate e le isola dal resto della rete. Il sistema non aspetta la certezza assoluta per agire; reagisce proporzionalmente al livello di pericolo che percepisce.

Per costruire questo sistema, i ricercatori hanno combinato quattro diversi modi di monitorare il computer. Primo, hanno esaminato la memoria del computer, lo spazio temporaneo dove risiedono i programmi attivi, cercando segni specifici di codice malevolo. Secondo, hanno tracciato la sequenza di comandi che un programma invia al sistema operativo, cercando schemi tipici della crittografia dei file. Terzo, hanno monitorato come i dati venivano scritti sull'hard drive, controllando picchi improvvisi di attività o strani cambiamenti nei tipi di file. Infine, hanno misurato la casualità dei dati scritti; i file criptati sembrano puro rumore statico, che è matematicamente distinto dai normali documenti o immagini. Il sistema pesa questi quattro segnali insieme, smussando i risultati per evitare falsi allarmi causati da momentanei glitch. Questo punteggio combinato guida un controller che decide esattamente come proteggere i dati.

I ricercatori hanno testato questa idea utilizzando dati da archivi pubblici e simulando attacchi da sette diverse famiglie di ransomware. In queste simulazioni, il sistema ha identificato con successo ogni singolo attacco. In media, ha rilevato la minaccia dopo aver osservato appena tredici eventi del file system, un tempo molto breve nel mondo delle operazioni digitali. Una volta individuata la minaccia, il sistema ha immediatamente intensificato la sua risposta. È passato da uno stato normale a uno stato di allerta elevata in cui salvava una copia completa dei dati ogni trenta secondi. Queste copie sono state rese "immutabili", ovvero bloccate in un modo che impediva persino all'attaccante di eliminarle o modificarle, e sono state collocate in un ambiente isolato, effettivamente air-gapped dalla macchina compromessa. Il sistema non ha raggiunto il suo livello di allerta massimo, che avrebbe comportato l'arresto di tutti i processi, perché gli attacchi simulati sono stati rilevati abbastanza presto da innescare la risposta forte, ma non estrema.

Lo studio ha anche esaminato quanto spesso il sistema potesse dare falsi allarmi. In uno scenario in cui si verificava solo l'attività normale e innocua del computer, il sistema segnalava una potenziale minaccia in circa il cinque per cento degli eventi. Sebbene si tratti di un tasso basso, i ricercatori hanno osservato che, in un contesto reale, ciò potrebbe portare a un lavoro extra non necessario, come salvare i file più spesso del necessario. Tuttavia, il sistema è stato abbastanza intelligente da mantenere questi falsi allarmi a un livello moderato; non è mai passato alle misure più estreme e dirompenti per l'attività normale. I risultati hanno mostrato che il monitor della memoria era lo strumento singolo più potente, identificando l'attività malevola con un'accuratezza quasi perfetta nei test. Gli altri strumenti, pur essendo meno precisi da soli, hanno aggiunto un contesto prezioso quando combinati.

Questo lavoro rimane una prova di concetto, una dimostrazione che l'idea funziona in un ambiente controllato. I ricercatori hanno utilizzato attacchi simulati piuttosto che virus reali in una rete reale, e non hanno ancora testato il sistema in un ospedale o in un'azienda. Riconoscono che le regole utilizzate per giudicare il comportamento del computer sono state create artigianalmente e che il sistema necessita di ulteriori test per vedere come gestisce la vasta varietà di minacce del mondo reale. Gli autori suggeriscono che il lavoro futuro dovrebbe prevedere il test del sistema contro malware reali in un sandbox sicuro, il perfezionamento delle regole basate su dati reali e, infine, il dispiegamento del sistema in organizzazioni dove le risorse sono limitate. Il risultato principale è chiaro: collegando il rilevamento di una minaccia direttamente all'intensità della risposta di backup, è possibile creare una difesa che sia sia più veloce che più resiliente rispetto ai metodi tradizionali disconnessi. Il sistema non si limita a guardare i problemi; adatta lo scudo in tempo reale, stringendo la presa nel momento stesso in cui il pericolo inizia a salire.