RansomShield: Threat-score-driven adaptive backup with multi-modal behavioural ransomware detection

No mundo digital, a proteção de informações valiosas tem dependido há muito tempo de uma estratégia simples de duas partes: vigiar intrusos e manter uma cópia de reserva do seu trabalho. O software de segurança atua como um guarda, examinando arquivos e programas para detectar ladrões conhecidos ou comportamentos suspeitos. Se ele vê algo perigoso, levanta um alarme. Separadamente, um sistema de backup atua como uma rede de segurança, salvando cópias de arquivos em intervalos regulares, como um relógio que bate a cada hora ou a cada dia. Por décadas, esses dois sistemas operaram de forma independente. O guarda gritava se visse uma ameaça, mas o relógio do backup continuava a tiquetaquear em seu próprio cronograma, alheio ao perigo. Essa separação criou uma vulnerabilidade. Ladrões modernos, especificamente aqueles que mantêm dados como reféns para obter dinheiro, aprenderam a atacar rapidamente e, frequentemente, visam os próprios sistemas de backup, deletando cópias antigas ou bloqueando-as antes que uma nova possa ser feita. A antiga regra de manter três cópias em dois lugares com uma fora do local foi projetada para uma época em que os backups eram alvos passivos, não campos de batalha ativos.

Pesquisadores da Universidade de Ciências Médicas em Ondo, Nigéria, propuseram uma nova maneira de preencher essa lacuna. Eles construíram um sistema chamado RansomShield, que conecta o guarda e a rede de segurança para que trabalhem como uma única unidade que respira. Em vez de um simples alarme de ligado ou desligado, o sistema deles calcula uma "pontuação de ameaça" contínua. Essa pontuação sobe e desce com base no que o sistema observa acontecendo dentro do computador. Se a pontuação for baixa, o sistema se comporta normalmente, salvando arquivos em um ritmo padrão. Se a pontuação começar a subir, indicando que algo suspeito está acontecendo, o sistema aumenta automaticamente suas defesas. Ele começa a salvar cópias com mais frequência, bloqueia essas cópias para que não possam ser alteradas e as isola do restante da rede. O sistema não espera pela certeza absoluta para agir; ele reage proporcionalmente ao nível de perigo que percebe.

Para construir este sistema, os pesquisadores combinaram quatro formas diferentes de observar o computador. Primeiro, eles examinaram a memória do computador, o espaço temporário onde residem os programas ativos, procurando por sinais específicos de código malicioso. Segundo, rastrearam a sequência de comandos que um programa envia ao sistema operacional, buscando padrões típicos de criptografia de arquivos. Terceiro, monitoraram como os dados estavam sendo gravados no disco rígido, verificando por picos súbitos de atividade ou mudanças estranhas nos tipos de arquivos. Finalmente, mediram a aleatoriedade dos dados sendo gravados; arquivos criptografados parecem ruído estático puro, o que é matematicamente distinto de documentos ou imagens normais. O sistema pondera esses quatro sinais em conjunto, suavizando os resultados para evitar alarmes falsos causados por falhas momentâneas. Essa pontuação combinada então aciona um controlador que decide exatamente como proteger os dados.

Os pesquisadores testaram essa ideia usando dados de arquivos públicos e simulando ataques de sete famílias diferentes de ransomware. Nessas simulações, o sistema identificou com sucesso todos os ataques. Em média, detectou a ameaça após observar apenas treze eventos no sistema de arquivos, o que é um tempo muito curto no mundo das operações digitais. Assim que a ameaça foi detectada, o sistema escalou imediatamente sua resposta. Ele passou de um estado normal para um estado de alerta elevado, onde salvava uma cópia completa dos dados a cada trinta segundos. Essas cópias foram tornadas "imutáveis", o que significa que foram bloqueadas de uma forma que impedia até mesmo o atacante de deletá-las ou alterá-las, e foram colocadas em um ambiente isolado, efetivamente segregadas (air-gapped) da máquina comprometida. O sistema não atingiu seu nível mais alto de alerta, que envolveria a interrupção de todos os processos, porque os ataques simulados foram detectos cedo o suficiente para desencadear a resposta forte, porém não extrema.

O estudo também analisou com que frequência o sistema poderia "dar o alarme falso". Em um cenário onde ocorria apenas atividade computacional normal e inofensiva, o sistema sinalizou uma potencial ameaça em cerca de cinco por cento dos eventos. Embora esta seja uma taxa baixa, os pesquisadores observaram que, em um cenário do mundo real, isso poderia levar a um trabalho extra desnecessário, como salvar arquivos com mais frequência do que o necessário. No entanto, o sistema foi inteligente o suficiente para manter esses alarmes falsos em um nível moderado; ele nunca escalou para as medidas mais extremas e disruptivas para atividades normais. Os resultados mostraram que o observador de memória foi a ferramenta individual mais poderosa, identificando atividades maliciosas com precisão quase perfeita nos testes. As outras ferramentas, embora menos precisas isoladamente, adicionaram um contexto valioso quando combinadas.

Este trabalho permanece como uma prova de conceito, uma demonstração de que a ideia funciona em um ambiente controlado. Os pesquisadores usaram ataques simulados em vez de vírus reais em uma rede real, e ainda não testaram o sistema em um hospital ou empresa. Eles reconhecem que as regras que usaram para julgar o comportamento do computador foram criadas manualmente e que o sistema precisa de mais testes para ver como lida com a vasta variedade de ameaças do mundo real. Os autores sugerem que o trabalho futuro deve envolver o teste do sistema contra malware real em um ambiente seguro (sandbox), o refinamento das regras com base em dados reais e, eventualmente, a implantação do sistema em organizações onde os recursos são limitados. A conclusão central é clara: ao vincular a detecção de uma ameaça diretamente à intensidade da resposta de backup, é possível criar uma defesa que é tanto mais rápida quanto mais resiliente do que os métodos tradicionais desconectados. O sistema não apenas observa o problema; ele adapta seu escudo em tempo real, apertando o cerco no momento em que o perigo começa a subir.