Apărătorii împotriva ransomware-ului au fost mult timp blocați în rolul de a alerga după evenimente. Până când o echipă de securitate observă că ceva este în neregulă, fișierele sunt adesea deja criptate, iar atacatorul a trecut deja la faza de extorcare. Un raport recent despre vânătoarea de amenințări cu AI descrie o abordare diferită: prinderea ransomware-ului polimorf înainte ca acesta să aibă vreodată ocazia să cripteze date, folosind detectarea anomaliilor la nivel de kernel, schimbări de entropie și izolare automată.

De ce ransomware-ul polimorf este mai greu de prins

Instrumentele antivirus tradiționale se bazează în mare măsură pe semnături, practic amprente digitale ale fișierelor malițioase cunoscute. Ransomware-ul polimorf ocolește această apărare schimbând constant propria structură de cod, păstrând în același timp funcția de bază intactă. Fiecare versiune nouă poate arăta suficient de diferit pentru a scăpa de scanerele bazate pe semnături, chiar dacă face același lucru: blochează fișiere și cere plată.

Aceasta nu este o problemă pur teoretică. Operatorii de ransomware s-au sprijinit din ce în ce mai mult pe instrumente de AI pentru a-și face malware-ul mai adaptiv și mai greu de identificat prin amprentare. Cercetarea privind utilizarea de către operatorul de ransomware Aurora a unui agent de codare AI în zece rețele ilustrează modul în care atacatorii folosesc deja automatizarea pentru a-și scala și ajusta operațiunile, ceea ce pune presiune suplimentară asupra apărătorilor să răspundă cu instrumente la fel de adaptive, nu cu detectare statică bazată pe liste.

Cum funcționează vânătoarea de amenințări cu AI înainte de începerea criptării

În loc să aștepte ca o semnătură de fișier malițios să se potrivească cu o amenințare cunoscută, sistemele de vânătoare de amenințări cu AI descrise în raport se concentrează pe comportamentul care are loc adânc în interiorul sistemului, la nivel de kernel. Acesta este stratul central al unui sistem de operare care gestionează modul în care software-ul interacționează cu hardware-ul și resursele sistemului. Monitorizarea la această adâncime permite instrumentelor de securitate să depisteze tipare neobișnuite, cum ar fi un proces care încearcă brusc să citească și să rescrie volume mari de fișiere într-o succesiune rapidă, un comportament consistent cu etapele incipiente ale unei rutine de criptare.

O altă tehnică evidențiată este monitorizarea schimbărilor de entropie. Entropia, în acest context, se referă la gradul de aleatorie al datelor dintr-un fișier. Când ransomware-ul criptează un fișier, datele rezultate devin mult mai aleatorii ca aspect decât conținutul original. Instrumentele bazate pe AI pot semnala o creștere bruscă a entropiei ca semn de avertizare timpuriu că criptarea este în curs, uneori înainte ca o parte semnificativă a fișierelor unui sistem să fie efectiv blocată.

Când aceste semnale sunt detectate, sistemele descrise trec la izolare automată, tăind procesul sau punctul final afectat de restul rețelei înainte ca ransomware-ul să se poată răspândi mai departe sau să-și completeze rutina de criptare. Scopul este de a comprima fereastra de răspuns de la ore sau minute la cel mai timpuriu moment posibil, ideal înainte ca orice fișier să fie pierdut.

Compromisul de confidențialitate al monitorizării la nivel de kernel

Prinderea amenințărilor atât de devreme necesită vizibilitate care merge mult mai adânc decât software-ul de securitate tipic. Monitorizarea la nivel de kernel înseamnă că un instrument are acces larg la activitatea proceselor, operațiunile asupra fișierelor și apelurile de sistem pe întregul dispozitiv sau rețea. Acest nivel de acces este puternic pentru oprirea ransomware-ului, dar ridică și întrebări legitime de confidențialitate, în special pentru persoane fizice și organizații care cântăresc cât de multă monitorizare sunt confortabile să activeze.

Pentru afaceri, aceasta înseamnă că dispozitivele angajaților pot fi supuse unei analize comportamentale continue, la nivel scăzut, nu doar scanărilor pentru malware cunoscut. Pentru utilizatorii individuali, merită să înțeleagă că orice produs de securitate care operează la această adâncime are o perspectivă semnificativă asupra modului în care este utilizat un dispozitiv. Acest lucru nu înseamnă că astfel de instrumente sunt în mod inerent invazive, dar înseamnă că alegerea software-ului de securitate implică un compromis între capacitatea de detectare și cantitatea de acces la sistem pe care o acorzi. Citirea politicilor de gestionare a datelor ale unui furnizor și înțelegerea ce telemetrie este colectată și unde este trimisă este un pas rezonabil înainte de implementarea instrumentelor de monitorizare la nivel de kernel, în special în medii sensibile la confidențialitate.

Ce înseamnă aceasta pentru tine

Dacă gestionezi securitatea IT pentru o organizație, schimbarea către detectarea pre-criptare merită atenție, deoarece abordează un gol real: multe apărări presupun încă că ransomware-ul va fi prins prin potrivirea semnăturilor, lucru pe care variantele polimorfe sunt concepute special să îl evite. În același timp, adoptarea unor instrumente de monitorizare mai profunde ar trebui să vină cu o analiză lucidă a datelor pe care aceste instrumente le colectează și cât timp sunt păstrate.

Pentru utilizatorii individuali, concluzia practică este mai puțin despre instrumentele la nivel de kernel, care sunt de obicei implementate în medii enterprise, și mai mult despre a rămâne vigilenți la tendința mai largă. Grupurile de ransomware folosesc AI pentru a-și face atacurile mai greu de detectat, iar apărătorii răspund la fel. Menținerea sistemelor actualizate, păstrarea backup-urilor offline și prudența față de atașamentele sau linkurile necunoscute rămân protecții fundamentale, indiferent cât de sofisticată devine tehnologia de detectare.

Concluzii acționabile

  • Întreabă direct furnizorii de securitate ce telemetrie la nivel de kernel colectează instrumentele lor și cum sunt stocate sau partajate datele respective.
  • Menține backup-uri offline sau imutabile, astfel încât chiar și o încercare rapidă de ransomware să nu pună toate datele tale în pericol.
  • Ține sistemele de operare și software-ul de securitate actualizate, deoarece instrumentele de detectare timpurie funcționează cel mai bine alături de un mediu general întărit.
  • Rămâi informat despre cum este folosit AI de ambele părți ale luptei împotriva ransomware-ului, deoarece tehnicile atacatorilor și instrumentele defensive evoluează împreună.

Vânătoarea de amenințări cu AI nu va elimina ransomware-ul, dar eforturile de a-l intercepta înainte de începerea criptării marchează o schimbare semnificativă față de securitatea reactivă. Înțelegerea atât a capacităților, cât și a compromisurilor de confidențialitate ale acestor instrumente va ajuta organizațiile și persoanele fizice să facă alegeri mai informate pe măsură ce tehnologia devine mai răspândită.