Estudo testa quatro pontos de disparo de backup em tempo real contra cinco famílias reais de ransomware
Pesquisadores japoneses compararam quatro momentos possíveis para disparar um backup automático de arquivos — na abertura, na leitura, na escrita ou na renomeação — como forma de preservar cópias limpas antes que o ransomware consiga criptografá-las. Os testes usaram um protótipo baseado no sistema ROFBS sobre XFS e amostras reais de Conti, Sodinokibi, AvosLocker, REvil e HelloKitty para medir o equilíbrio entre recuperação de arquivos e volume de backups gerados.
O ponto de partida do estudo é uma limitação conhecida de qualquer resposta a ransomware: entre o início da criptografia e o momento em que ela é detectada, arquivos continuam sendo perdidos. Uma linha de defesa complementar à detecção é o backup em tempo real, que tenta copiar o conteúdo de um arquivo antes que ele seja sobrescrito. O trabalho parte de um sistema já proposto na literatura, o ROFBS (Real-Time Open-File Backup System), que até então disparava backups principalmente no evento de abertura do arquivo, e pergunta se esse é realmente o melhor momento do ciclo de vida do arquivo para agir.
A questão técnica é uma corrida contra o tempo em nível de sistema de arquivos: disparar o backup muito cedo (por exemplo, só na abertura) gera cópias de segurança mesmo para arquivos que nunca chegam a ser modificados, desperdiçando espaço e I/O; disparar tarde demais (por exemplo, apenas quando a renomeação já indica um padrão típico de ransomware, como adicionar uma extensão de arquivo criptografado) corre o risco de a escrita maliciosa vencer a corrida e substituir o conteúdo original antes que a cópia limpa seja feita. Os autores implementaram as quatro variantes — gatilho na abertura, na leitura, na escrita e na renomeação — em um protótipo sobre o sistema de arquivos XFS e as confrontaram diretamente com amostras reais e ativas de cinco famílias de ransomware bem documentadas: Conti, Sodinokibi, AvosLocker, REvil e HelloKitty.
O valor prático do resultado é diferenciar famílias de ransomware pelo padrão de acesso a arquivo que elas exibem, e não tratá-las como um bloco único: algumas escrevem o conteúdo criptografado no mesmo arquivo logo após a leitura, outras criam um arquivo novo e renomeiam por cima do original, e essa diferença muda qual gatilho preserva mais dados com menos backups desnecessários. Para quem constrói ou avalia soluções de continuidade/EDR contra ransomware, isso é diretamente aplicável; para quem faz perícia pós-incidente, entender esse comportamento de I/O por família também ajuda a interpretar timestamps de acesso e modificação de arquivo (MACB) durante a reconstrução da timeline de um ataque, já que o padrão de leitura/escrita registrado no sistema de arquivos é evidência do comportamento específico da variante usada.
A ressalva mais importante é de generalização: os resultados foram obtidos em um protótipo específico sobre XFS, e o comportamento de I/O do ransomware pode variar em outros sistemas de arquivos (NTFS, ext4) ou contra variantes mais recentes que os autores não testaram. Ainda assim, validar a comparação com amostras reais de ransomware conhecido, em vez de simulações genéricas de criptografia, é o que dá peso prático ao resultado.