Come può un algoritmo fermare il ransomware in tempo reale?

Il ransomware è quel malware che cripta i tuoi file e ti chiede un riscatto. Una nuova ricerca ha analizzato 97 casi reali e ha scoperto che quasi tutti (95,88 %) tentano di cifrare i dati. Per contrastarlo, gli autori hanno ideato il Simple Format Analysis (SFA), un metodo che controlla il formato dei file in tre varianti: SFA‑F, che esamina la struttura fissa; SFA‑H, che legge le informazioni dell'header; e SFA‑F‑H, un ibrido che combina le due. Questi algoritmi riescono a riconoscere un attacco con un’accuratezza tra il 95 % e il 97,9 %, superando le soluzioni esistenti. Ma la vera novità è la “recupero in tempo reale”: mentre il file viene scritto, il sistema monitora l’input e l’output e, se rileva la cifratura, avvia una procedura di ripristino immediato. In pratica, il file non arriva mai a essere danneggiato. Questo approccio promette di ridurre drasticamente i danni causati dal ransomware, soprattutto in ambienti aziendali dove la perdita di documenti è critica. Anche se non elimina del tutto la minaccia, aggiunge un livello di difesa attivo e veloce, rendendo più difficile per gli hacker ottenere il loro bottino.

Il Simple Format Analysis (SFA) si basa su due principi fondamentali della struttura dei file: la presenza di un layout fisso (come le sezioni di un documento PDF) e le informazioni di intestazione (header) che descrivono il tipo di file. Nella variante SFA‑F, l’algoritmo confronta i byte di posizione fissa con pattern noti, individuando anomalie tipiche della cifratura, come la sostituzione di sequenze di firma con valori casuali. SFA‑H, invece, analizza i primi kilobyte del file, dove risiedono i metadati; la cifratura spesso altera questi header, rendendo il file non riconoscibile dal sistema operativo. La combinazione ibrida SFA‑F‑H sfrutta entrambe le analisi, migliorando la robustezza contro ransomware che tentano di mascherare le modifiche. Per il recupero in tempo reale, il sistema inserisce un “watchdog” a livello di I/O: ogni operazione di scrittura è intercettata, e se il flusso di dati mostra una crescita di entropia (indicatore di cifratura) superiore a una soglia predefinita, il watchdog attiva una copia di backup temporanea. Questa copia viene poi confrontata con la versione originale e, se necessario, il file viene ricostruito usando i blocchi non ancora cifrati. L’approccio richiede una gestione efficiente della memoria per evitare colli di bottiglia, ma i test mostrano che il ritardo introdotto è trascurabile rispetto al tempo di cifratura tipico dei ransomware. Inoltre, l’integrazione con sistemi di monitoraggio già esistenti (come SELinux o Windows Defender) permette una facile adozione in ambienti enterprise, riducendo i costi di implementazione. In futuro, gli autori prevedono di estendere SFA a formati di file emergenti e di incorporare tecniche di machine learning per affinare la soglia di entropia in base al comportamento specifico di nuovi ransomware.