Il ransomware potrebbe essere bloccato durante la crittografia?

Il tuo suggerimento è interessante; sfortunatamente una soluzione generica non è possibile in quanto non esiste una combinazione di bit che possa far "arrestare" un algoritmo di crittografia. La crittografia è solo matematica, dopo tutto. Forse l'uso di un rootkit potrebbe ingannare il ransomware facendogli credere che sta crittografando un finto handle di file dummy yottabyte-long, o potrebbe avere dei ritardi costruiti in quella mano i byte dal file molto lentamente, ma questo tipo di approcci rischiano di avere un impatto uso normale del computer pure.

Potrebbero esserci versioni specifiche di ransomware che hanno bug di implementazione che potresti in qualche modo sfruttare per far sì che ciò accada, ma questo approccio ha numerosi problemi. Gli autori di malware e gli script kiddies si evolvono e cambiano continuamente i programmi ransomware, quindi, a seconda di un bug nella versione odierna, non è garantito che la prossima versione del ransomware verrà infettata domani. E ci sono centinaia o migliaia di diversi programmi di ransomware là fuori oggi; nessun difetto sfruttabile sarà presente in tutti loro.

@HameJames è un modo per cercare di rilevare il ransomware in azione, ma non c'è alcuna garanzia che il suo file trap sarà il primo file crittografato dal malware e lo spegnerà nel tempo, o se è l'ultimo file e il lo spegnimento rende solo peggio.

La tua difesa migliore a questo punto è ancora la sicurezza operativa. Effettua backup regolari di file importanti e mantenerli offline. Non aprire allegati e-mail inattesi o fare clic sui collegamenti di phishing. Tieni aggiornato il tuo software di sicurezza e i tuoi sistemi sono stati aggiornati. Tutto il consiglio normale si applica ancora.

Potresti creare un watchdog che crea un file falso, C: / A, e cerca le modifiche in esso. Non appena viene rilevata una modifica, spegni immediatamente il computer. È probabilmente il più sicuro.

La crittografia può essere interrotta in determinate situazioni: ad es. se il ransomware utilizza librerie comuni come CryptoAPI e si possono agganciare le loro funzioni principali e controllare il chiamante. Tuttavia, questo non è un approccio sicuro alla lotta contro il ransomware, perché, per esempio, molte varianti di ransomware possono incorporare algoritmi di crittografia nel loro codice o addirittura non utilizzare affatto la crittografia.

L'uso di file speciali o trap non è un approccio sicuro, perché quando la trappola cattura qualcosa, potrebbe essere troppo tardi, o potrebbe essere un falso positivo se ci sono app legittime (come soluzioni di backup, archiviazione, sincronizzazione o anche soluzioni di crittografia legit) che operano su tutti i file in un volume o più cartelle. Le cose possono diventare ancora più complicate se pensiamo al ransomware che non cripta tutti i file o non elabora tutte le cartelle.

Una soluzione consiste nell'utilizzare un'analisi comportamentale che tiene traccia e correla diversi elementi tra cui processi, attività dei file e altre modifiche. I prodotti che seguono questo approccio possono rilevare e bloccare il ransomware con una buona precisione, ma in genere attivano l'avviso solo dopo che alcuni file (di solito almeno dieci) sono già stati crittografati. Le migliori soluzioni possono anche restituire quei file.

Un modo per farlo è creare un file sparse . Un file sparse è un file che contiene ampie sezioni di zeri, che sono memorizzati nel filesystem come semplici metadati che descrivono quanto è grande la sezione zero. Un file sparse consente di creare un file che sembra essere molto grande, ma in realtà occupa poco spazio sul disco.

Quando un programma di crittografia tenta di crittografare questo file, è probabile che proverà a leggere il file dall'inizio alla fine, crittografando tutti gli zeri. A un certo punto, il sistema esaurirà la memoria o esaurirà lo spazio su disco, e qualsiasi cosa il ransomware non abbia crittografato fino a quel punto, potrebbe potenzialmente essere recuperato se il ransomware si blocca in quel punto e non lo fa prova a eliminare il file trap e riprendi il file successivo. La debolezza è, naturalmente, che probabilmente si esaurirà spazio su disco e memoria, il che potrebbe causare il crash di altri processi. Si potrebbe finire con file danneggiati se nel computer è presente un sistema di database difettoso. Inoltre, non tutti i file, poiché questo meccanismo verrebbe attivato solo dopo che il ransomware ha rilevato questo file.

Si potrebbe aumentare la probabilità che il file trap sia il primo file, leggendo sul codice sorgente del proprio filesystem e ricercando ciò di cui ha bisogno per rendere più probabile che il file trap sia uno dei primi restituiti da readdir (). Ad esempio, se il tuo filesystem restituisce readdir () per ordine di creazione del file, vorresti che fosse il primo file che viene creato, se restituisce i file alfabeticamente, vorresti aggiungere molti "A" al nome del file, o se cancella il nome del file, devi assicurarti che il nome file hash contenga molti zeri.

Potresti avere un processo di monitoraggio che controlla determinati file "canarini", o anche solo provato a monitorare l'attività generale del file per rilevare il ransomware; ma il problema è che non controlli cosa e in quale ordine il ransomware Crittografa, e quando ha mangiato uno dei tuoi canarini, potresti essere dentro in ogni caso.