Ransomwares : la défense doit s’organiser au-delà des sauvegardes traditionnelles

Détecter les comportements suspects pour les cantonner

Face à la menace, si l’application régulière des correctifs s’avère un élément de prévention clé, les éditeurs sont nombreux à adopter des approches éloignées des seules signatures. L’antivirus traditionnel, basé sur de simples listes de signatures, a montré sa principale limite : le temps, élément critique de la protection contre les menaces émergentes.

Il s’agit de miser sur l’analyse comportementale, car de nombreux indices peuvent trahir l’activité d’un rançongiciel. Cela commence bien sûr par les activités sur les fichiers : l’accès à un grand nombre d’entre eux, en parallèle ou successivement, avec chiffrement puis effacement, peut trahir l’activité d’un maliciel. Cela vaut aussi, à plus haut niveau, sur l’entropie du système de fichiers, susceptible de décroître brutalement sous l’effet d’une réorganisation massive des fichiers se traduisant par une utilisation soudainement très ordonnée des blocs de données.

Des acteurs tels que Carbon Black, Cylance, CounterTack, CrowdStrike, LightCyber – racheté depuis par Palo Alto Networks –, SentinelOne, Tanium ou encore Cybereason n’ont pas manqué pousser ces nouvelles approches. Ils ne sont pas les seuls : des acteurs de l’antivirus traditionnel s’y sont également mis, comme Bitdefender et Trend Micro, pour n’en citer que deux.

Cybereason,par exemple, propose un outil gratuit depuis le début 2017. Idem avec RansomWhere, pour macOS. Citons aussi les outils préventifs de Kaspersky, de Malwarebytes, de McAfee, et tout récemment d’Acronis, avec son logiciel gratuit Ransomware Protection.

Depuis l’automne, Windows 10 intègre en natif un mécanisme de surveillance des accès aux dossiers qui suit la même logique.

Protéger les données par micro-sauvegardes

Certains acteurs vont plus loin. Ils adoptent pour cela une approche duale : d’un côté, ils cherchent à détecter les comportements suspects pour y mettre un terme le plus vite possible ; de l’autre, ils misent sur de rapides micro-sauvegardes - des instantanés ou snapshots - pour permettre la récupération rapide des fichiers éventuellement chiffrés avant l’interception du processus malveillant.

SentinelOne s’est engagé dans cette direction, dès 2015, allant jusqu’à proposer une garantie contractuelle. Ses capacités dites de roll back ont d’ailleurs séduit Pacifica/Crédit Agricole Assurances (lire par ailleurs). Sophos a adopté la même approche avec Intercept X, tout comme Carvir Cyber Security, ou Kaspersky.

De son côté Check Point Software a présenté sa solution en la matière au mois de février 2017. Quant à Acronis, l’éditeur a intégré des mécanismes de protection comparables dans la version 2017 de son outil de sauvegarde True Image, mécanismes que l’on retrouve aussi dans son récent produit gratuit.

ShieldFS : un système de fichier résilient grâce au Machine Learning

Des chercheurs de l’université polytechnique de Milan tentent d’intégrer des capacités de résilience directement au sein du système de fichiers de Windows. C’est le projet ShieldFS.

Là encore, il s’agit de mettre en place une couche de protection qui agisse comme un mécanisme de copie-sur-écriture à chaque fois que le composant de détection révèle une activité suspecte.

Cette couche d’abstraction, de fait, s’interpose entre l’application et le fichier réel, pour en produire une copie à la volée lorsque c’est nécessaire, puis assurer une restauration tout aussi immédiate.

Le composant de détection s’appuie sur plusieurs modèles comportementaux, développés par apprentissage automatique (Machine Learning), et sollicités de manière adaptative.