Negli ultimi anni, l'evoluzione delle minacce ransomware ha seguito una traiettoria prevedibile quanto allarmante: da attacchi opportunistici a colpi chirurgici, mirati, capaci di bloccare intere infrastrutture critiche in pochi minuti. A questa corsa all’armamento offensivo non è seguita un’adeguata accelerazione sul fronte della difesa in tempo reale, perché identificare un attacco ransomware nel momento esatto in cui si innesca, e fermarlo prima che abbia criptato anche solo un decimo dei dati, è ancora un’impresa per pochi. Il lavoro presentato nel paper "ranDecepter: Real-time Identification and Deterrence of Ransomware Attacks", pubblicato il 1° agosto 2025 su arXiv, propone un approccio tecnico concreto e, soprattutto, scalabile, per affrontare questo problema alla radice: riconoscere l’attacco mentre è in atto e rispondere con una deterrenza immediata, attiva, ma non distruttiva.
La logica di ranDecepter si distanzia dai soliti sistemi di detection ex post, che notificano un incidente quando ormai il danno è fatto, e si concentra invece su un’analisi comportamentale puntuale a livello di file system e attività di processo. A colpire è l’architettura modulare della soluzione, che integra un motore di monitoraggio delle API di basso livello, un sistema di pattern matching in tempo reale e una componente di contrasto attivo che blocca o ritarda le operazioni sospette sulla base di un’analisi del rischio incrementale. Il cuore pulsante dell’intero framework è un meccanismo di classificazione semi-supervisionato che non si affida soltanto a modelli statici ma è capace di apprendere, raffinare e adattarsi dinamicamente al contesto in cui è installato, riducendo la dipendenza da firme predefinite e rendendolo più resistente ai ransomware polimorfici o offuscati.
Un dettaglio notevole riguarda la scelta delle metriche utilizzate per distinguere i processi benigni da quelli malevoli: il sistema monitora simultaneamente la frequenza di accesso e modifica dei file, la velocità di cifratura, la tipologia di estensioni generate, i pattern di I/O disco, e incrocia questi segnali con l’identità e la reputazione del processo coinvolto. Laddove l’insieme di questi fattori supera una soglia dinamicamente calcolata, il modulo di deterrenza entra in funzione applicando un "delay jitter" – un rallentamento strategico delle operazioni – che ha lo scopo non solo di guadagnare tempo per la verifica manuale o automatica ma anche di ingannare gli eventuali watchdog del malware, inducendolo a terminare l’esecuzione in autonomia.
Ciò che rende ranDecepter particolarmente interessante dal punto di vista operativo è che non punta a uccidere il processo immediatamente, come farebbe un antivirus tradizionale, ma ad alterarne il comportamento inducendo un fallimento o un crash silenzioso. Questo approccio è vantaggioso su più fronti: da un lato, minimizza il rischio di perdita di dati legittimi o blocco di processi critici, dall’altro rende più difficile per l’attaccante comprendere se il proprio payload è stato rilevato, evitando escalation automatiche o retaliation script che spesso sono integrati nei ransomware moderni.
I test sperimentali condotti dai ricercatori mostrano risultati decisamente promettenti: il sistema ha intercettato oltre il 96% delle varianti ransomware note e sconosciute testate in laboratorio, con un tasso di falsi positivi inferiore al 2,1%, e un impatto sulle performance del sistema target pressoché trascurabile, inferiore al 4% di overhead complessivo. Il framework è stato testato in ambienti Windows, sia su macchine consumer che server, e ha dimostrato la capacità di adattarsi in modo resiliente a configurazioni eterogenee, rendendolo un candidato interessante anche per deployment aziendali o in ambienti cloud IaaS dove il rischio ransomware è elevato ma l’intervento umano spesso è ritardato o assente.
Sul piano pratico, ciò che si potrebbe immaginare nel breve termine è un’integrazione di ranDecepter con EDR o XDR esistenti, in modo da potenziare la capacità di risposta dei SOC aziendali senza stravolgere le infrastrutture esistenti. La natura modulare della soluzione apre anche alla possibilità di offrire ranDecepter come agente standalone per endpoint ad alto rischio o come modulo embedded in appliance hardware di sicurezza per ambienti industriali. Non meno importante, il framework si presta bene anche a contesti forensi: il delay introdotto può fornire una finestra utile per il dump del processo e l’analisi live del ransomware in esecuzione, senza bisogno di sandbox esterne.
In definitiva, ranDecepter non è solo un’altra proposta accademica destinata a rimanere confinata in qualche slide da conferenza, ma un esempio concreto di come la sicurezza informatica possa fare un passo avanti, anche nei contesti più difficili, combinando detection comportamentale, apprendimento semi-supervisionato e risposta attiva a basso impatto. Per chi si occupa di cyber security operativa, o anche solo per chi vuole dormire sonni più tranquilli in un mondo dove il prossimo ransomware è sempre dietro l’angolo, è una lettura – e forse presto, un tool – da tenere d’occhio.
Commenti
Posta un commento