Obránci proti ransomwaru dlouho zůstávali v pozici, kdy jen doháněli ztrátu. Než si bezpečnostní tým všimne, že je něco v nepořádku, jsou soubory často již zašifrované a útočník přešel do fáze vydírání. Nedávná zpráva o AI threat huntingu popisuje jiný přístup: zachytit polymorfní ransomware dříve, než vůbec dostane šanci zašifrovat data, a to pomocí detekce anomálií na úrovni jádra, posunů entropie a automatizované izolace.
Proč je polymorfní ransomware těžší odhalit
Tradiční antivirové nástroje se silně spoléhají na signatury, v podstatě digitální otisky prstů známých škodlivých souborů. Polymorfní ransomware tuto obranu obchází tím, že neustále mění svou vlastní strukturu kódu, zatímco jeho základní funkce zůstává zachována. Každá nová verze může vypadat natolik odlišně, že proklouzne kolem skenerů založených na signaturách, i když dělá stejnou práci: zamyká soubory a požaduje platbu.
To není čistě teoretický problém. Operátoři ransomwaru stále častěji sami spoléhají na nástroje umělé inteligence, aby jejich malware byl adaptivnější a hůře identifikovatelný. Výzkum o využití AI kódovacího agenta operátorem ransomwaru Aurora napříč deseti sítěmi ukazuje, jak útočníci již používají automatizaci ke škálování a úpravám svých operací, což vyvíjí další tlak na obránce, aby reagovali stejně adaptivními nástroji, nikoli statickou detekcí založenou na seznamech.
Jak AI threat hunting funguje před zahájením šifrování
Místo čekání na shodu signatury škodlivého souboru se známou hrozbou se systémy AI threat huntingu popsané ve zprávě zaměřují na chování probíhající hluboko uvnitř systému, na úrovni jádra. To je základní vrstva operačního systému, která řídí, jak software interaguje s hardwarem a systémovými prostředky. Monitorování v této hloubce umožňuje bezpečnostním nástrojům odhalit neobvyklé vzorce, jako je proces, který náhle zkouší číst a přepisovat velké objemy souborů v rychlém sledu, což je chování odpovídající raným fázím šifrovací rutiny.
Další zdůrazňovanou technikou je sledování posunů entropie. Entropie se v tomto kontextu vztahuje k náhodnosti dat v souboru. Když ransomware zašifruje soubor, výsledná data vypadají mnohem náhodněji než původní obsah. Nástroje poháněné AI mohou prudký nárůst entropie označit jako včasné varovné znamení, že šifrování probíhá, někdy ještě předtím, než je skutečně uzamčena smysluplná část souborů v systému.
Když jsou tyto signály detekovány, popsané systémy přecházejí k automatizované izolaci, čímž odříznou postižený proces nebo koncový bod od zbytku sítě dříve, než se ransomware může dále šířit nebo dokončit svou šifrovací rutinu. Cílem je zkrátit reakční okno z hodin nebo minut na co nejranější možný okamžik, ideálně dříve, než dojde ke ztrátě jakýchkoli souborů.
Kompromis v oblasti soukromí u monitorování na úrovni jádra
Zachytit hrozby takto brzy vyžaduje viditelnost, která sahá mnohem hlouběji než u běžného bezpečnostního softwaru. Monitorování na úrovni jádra znamená, že nástroj má široký přístup k aktivitě procesů, operacím se soubory a systémovým voláním napříč celým zařízením nebo sítí. Tato úroveň přístupu je účinná pro zastavení ransomwaru, ale také vyvolává legitimní otázky týkající se soukromí, zejména pro jednotlivce a organizace, které zvažují, kolik monitorování jsou ochotny povolit.
Pro podniky to znamená, že zařízení zaměstnanců mohou být předmětem nepřetržité analýzy chování na nízké úrovni, nikoli pouze skenování na známý malware. Pro jednotlivé uživatele stojí za pochopení, že jakýkoli bezpečnostní produkt fungující v této hloubce má významný přehled o tom, jak je zařízení používáno. To neznamená, že jsou takové nástroje ze své podstaty invazivní, ale znamená to, že výběr bezpečnostního softwaru zahrnuje kompromis mezi schopností detekce a mírou přístupu k systému, kterou udělujete. Přečtení zásad nakládání s daty od dodavatele a pochopení toho, jaká telemetrie je shromažďována a kam je odesílána, je rozumným krokem před nasazením nástrojů pro monitorování na úrovni jádra, zejména v prostředích citlivých na soukromí.
Co to znamená pro vás
Pokud spravujete IT bezpečnost organizace, posun směrem k detekci před šifrováním stojí za pozornost, protože řeší skutečnou mezeru: mnoho obranných mechanismů stále předpokládá, že ransomware bude zachycen shodou signatur, čemuž se polymorfní varianty specificky vyhýbají. Zároveň by přijetí hlubších monitorovacích nástrojů mělo být doprovázeno důkladným přezkumem toho, jaká data tyto nástroje shromažďují a jak dlouho jsou uchovávána.
Pro jednotlivé uživatele je praktické ponaučení méně o nástrojích na úrovni jádra, které se typicky nasazují v podnikovém prostředí, a více o udržení ostražitosti vůči širšímu trendu. Skupiny používající ransomware používají AI k tomu, aby jejich útoky bylo těžší odhalit, a obránci reagují obdobně. Udržování aktualizovaných systémů, uchovávání offline záloh a opatrnost vůči neznámým přílohám nebo odkazům zůstávají základní ochranou bez ohledu na to, jak sofistikovaná se detekční technologie stane.
Praktická doporučení
- Zeptejte se přímo dodavatelů bezpečnostních řešení, jakou telemetrii na úrovni jádra jejich nástroje shromažďují a jak jsou tato data ukládána nebo sdílena.
- Udržujte offline nebo neměnné zálohy, aby ani rychlý pokus o ransomware neohrozil všechna vaše data.
- Udržujte operační systémy a bezpečnostní software aktualizované, protože nástroje pro včasnou detekci fungují nejlépe v kombinaci s obecně posíleným prostředím.
- Zůstávejte informovaní o tom, jak je AI využívána na obou stranách boje proti ransomwaru, protože útočné techniky a obranné nástroje se vyvíjejí společně.
AI threat hunting ransomware zcela neeliminuje, ale snahy o jeho zachycení před zahájením šifrování představují významný posun od reaktivní bezpečnosti. Pochopení jak schopností, tak kompromisů v oblasti soukromí u těchto nástrojů pomůže organizacím i jednotlivcům činit informovanější rozhodnutí, jak se tato technologie stále více rozšiřuje.
