Due modi per fermare il ransomware nelle sue tracce

Il ransomware è diventato una minaccia che colpisce allo stesso modo le aziende e gli individui, ma i ricercatori hanno offerto prove allettanti che potremmo presto essere in grado di fermarlo prima che faccia danni.

La categoria di malware in più rapida crescita è il ransomware crittografico, un software che infetta un computer con gli stessi mezzi di altri software dannosi e quindi codifica silenziosamente i file degli utenti, rendendoli illeggibili. Quando le vittime scoprono il problema, il malware spiega loro che devono pagare una tariffa per la chiave di crittografia che renderà i loro file nuovamente utilizzabili.

Due team di ricerca hanno avanzato nuovi modi per rilevare il ransomware prima che possa causare danni reali. I produttori di software antivirus sono in ritardo sul rilevamento di un ransomware specifico, ma dicono che sta arrivando.

Con una crittografia avanzata prontamente disponibile per i creatori di malware, nella maggior parte dei casi non c'è modo per gli utenti i cui file sono stati crittografati di recuperare gli originali a meno che non dispongano di un archivio precedente all'infezione o non paghino la tariffa. Il ransomware fa affidamento sull'onore tra i ladri e il più delle volte il pagamento della tariffa rilascia la chiave di crittografia necessaria. Prevenire un'infezione o fermarla è l'unica altra via d'uscita.

Secondo a rapporto Symantec recente , gli aggressori fanno milioni di tentativi di infettare gli utenti ogni giorno e decine di migliaia di sistemi vengono tenuti in ostaggio ogni mese. Mentre le notizie di commissioni elevate possono dominare le notizie, come un ospedale i cui file sono stati tenuti in ostaggio fino a quando non ha pagato $ 17.000 per sbloccarli, i distributori di ransomware in genere cercano un colpo rapido che la maggior parte dei consumatori pagherà a malincuore. La tariffa media richiesta per sbloccare i file è più che raddoppiata da $ 294 alla fine del 2015 a $ 679 entro giugno 2016, afferma Symantec.

I ricercatori hanno recentemente presentato due documenti che offrono un rilevamento efficace delle azioni uniche utilizzate dal ransomware per prendere in ostaggio i file degli utenti. I produttori di antivirus affermano che mentre questi approcci potrebbero funzionare in laboratorio, è più difficile duplicarli in condizioni reali a causa del rapido adattamento da parte dei creatori di malware. Tuttavia, sono in arrivo cambiamenti che dovrebbero ridurre il valore economico dell'implementazione del ransomware.

I ricercatori della Northeastern University hanno creato un sistema di scansione offline , soprannominato Unveil, che lancia il malware sospetto in un ambiente virtuale protetto, come un cervello in una scatola, per monitorarne il comportamento in modo controllato e quindi valuta rapidamente se si trattava o meno di ransomware. Un gruppo separato di ricercatori dell'Università della Florida e dell'Università di Villanova ha creato un sistema di monitoraggio in tempo reale chiamato CryptoDrop che potrebbe fermare il ransomware quasi immediatamente.

Entrambi i progetti hanno osservato il comportamento fondamentale in cui si impegna il ransomware: leggere i dati da molti documenti e quindi sostituire quei file (eliminandoli o sovrascrivendoli) con nuovi contenuti che non sono solo completamente diversi ma anche chiaramente crittografati. Amin Kharraz del team Unveil afferma che il comportamento di basso livello di tutti i ransomware si adatta a uno schema che può essere identificato.

Unveil potrebbe anche verificare se è apparsa una schermata in stile riscatto mentre il software era in esecuzione, poiché quei messaggi che richiedono denaro sono abbastanza diversi da quelli mostrati normalmente dalla maggior parte dei sistemi operativi e dei software.

Vincent Weafer, vicepresidente dei McAfee Labs di Intel Security, trova il lavoro interessante, ma non è ottimista sul fatto che sia pienamente efficace nell'utilizzo nel mondo reale. 'Se il 90 percento dei difensori utilizza le stesse caratteristiche, i cattivi cercheranno di modificare e offuscare'.

Ad esempio, se uno strumento verifica se un file è passato dal testo normale a un formato crittografato, gli aggressori potrebbero crittografare solo parti di un file per renderlo illeggibile e irrecuperabile, senza segnalare al software che è stato modificato abbastanza. Oppure, se modifiche rapide a un numero elevato di file attivano un avviso, il ransomware potrebbe svanire lentamente e con pazienza. Gli autori dei due articoli in interviste separate sostengono che il comportamento di base del ransomware può essere mascherato solo leggermente, tuttavia, non efficacemente nascosto.

I ricercatori di Unveil hanno testato un ampio campionamento di malware raccolto in natura e hanno stimato un tasso di precisione di quasi il 97% nell'identificazione di un sottoinsieme di circa 14.000 varianti di ransomware; hanno persino scoperto una nuova famiglia di cui le aziende anti-malware non erano a conoscenza. Gli autori di CryptoDrop hanno testato 492 esempi noti (tratti da 14 principali famiglie di ransomware) e hanno riconosciuto il 100 percento in tempo reale con una perdita media di 10 file prima che l'attività fosse riconosciuta e interrotta.

I due gruppi di accademici hanno trovato terreno fertile per l'esplorazione, ma Weafer di McAfee Labs e Sean Sullivan, un consulente per la sicurezza di F-Secure Labs, avvertono che testare un insieme di file fittizi e un sottoinsieme di malware non corrisponde al disordine di Il mondo reale. Entrambi enfatizzano il rilevamento della fase precedente da parte di un software che esamina l'attività dell'applicazione. Dicono anche che il ransomware non è diverso da altre infezioni che si diffondono indiscriminatamente colpendo sistemi operativi meno recenti, sistemi senza patch e quelli che eseguono Flash e Java.

È anche il caso che il ransomware riceva più attenzione perché è 'in faccia', come dice Weafer, mentre la maggior parte dei malware si nasconde e può svolgere attività non correlate all'utente la cui macchina è stata compromessa.

Sebbene il lavoro specifico di questi due team accademici potrebbe non trovare la sua strada direttamente nel software anti-malware, Weafer afferma che entro la fine dell'anno nuovi approcci per bloccare il ransomware inizieranno a essere incorporati nel settore del software di sicurezza. L'esecuzione di controlli più severi prima dell'avvio di un'applicazione, ad esempio il controllo di un database centrale per verificare se l'app è mai stata eseguita su qualsiasi computer in qualsiasi parte del mondo, è una delle strategie di cui le aziende sono disposte a discutere.

'Le minacce di alto profilo non durano per sempre', afferma Weafer. Il ransomware svanirà e sarà sostituito dalla prossima minaccia.

nascondere