研究人员提出应对勒索软件攻击的行为分析与SSD数据恢复方法

安全 数据安全
研究团队介绍了一套应对勒索软件攻击的 SSD 数据检测与恢复方法。据说这套名为“SSD-Insider”的方案可实现几乎 100% 的准确性,且已通过现实世界中勒索软件的测试考验。

来自韩国仁荷大学(Inha University)、大邱庆北科技学院(DGIST)、中佛罗里达大学(UCF)、以及梨花女子大学(EWU)网络安全系的一支研究团队,刚刚介绍了一套应对勒索软件攻击的 SSD 数据检测与恢复方法。据说这套名为“SSD-Insider”的方案可实现几乎 100% 的准确性,且已通过现实世界中勒索软件的测试考验。

研究配图(来自:UCF | PDF)

据悉,SSD-Insider 的工作原理,是识别 SSD 活动中某些已知可辨别的勒索软件行为模式。

为了仅通过 IO 请求标头的分布来识别勒索软件活动,研究团队留意到 WannaCry、Mole 和 CryptoShield 等勒索软件,都具有相当独特的覆盖行为。

仁荷大学研究员 DaeHun Nyang 在接受 The Register 采访时称:“当 SSD-Insider 检测到勒索软件活动时,存储器的输入 / 输出(IO)将被暂停,以便用户能够对勒索软件进程进行剔除”。

勒索软件行为模式分析

在勒索软件被中止时,SSD-Insider 还可通过 SSD 的独特属性,来恢复已丢失的文件。

文章指出:在被新数据覆盖之前,固态存储器将始终保留此前被删除的数据,直到后续被主控和固件的垃圾回收机制给清理。

通过利用 SSD 的这一内置备份功能,SSD-Insider 也得以追踪驱动器内的旧版本数据。然后在勒索软件检测算法确认新版本数据未受到勒索软件影响之前,这些数据都将不被彻底删除。

SSD-Insider 测试表现

SSD-Insider 的真正独特之处,在于它甚至能够以固件级别运行。那样即使系统上没有安装相应的安全软件,用户也可获得抵御勒索软件攻击的益处。

此外,论文中提到了传统软件防御方法的缺点,比如反勒索软件的 CPU 开销较高、且某些勒索软件可能逃脱反病毒软件的检测。相比之下,SSD-Insider 的时间开销仅在 147~254 ns 左右。

以 WannaCry 等勒索软件展开测试时,SSD-Insider 为放过任何勒索软件活动,且极少触发误报。在所有测试场景下,其错误拒绝率(FRR)为零、错误接受率(FAR)也几乎为零。

测试训练用的勒索软件 / 应用程序

研究人员指出:就 FRR 而言,最糟糕的“背景噪声”,来源于 IO / CPU 密集型的工作环境。至于 FAR,最糟糕的情况也是 DataWiping 和数据库等重覆盖类型的工作场景。

当然,对于防病毒研究人员来说,SSD-Insider 的这样的方法也并不是万无一失的。

毕竟在勒索软件开发者知晓了该方案的存在之后,后续仍可开发出对应的绕过方法,所以大家还是要养成定期备份数据的好习惯。

 

责任编辑:赵宁宁 来源: 今日头条
相关推荐

2022-05-05 15:36:28

漏洞勒索软件恶意软件

2010-04-21 09:15:21

2021-02-02 09:32:06

黑客攻击l安全

2015-07-20 11:49:56

Wi-Fi

2023-06-29 12:52:31

2024-01-18 17:43:47

2021-04-04 22:55:51

谷歌网络攻击网络安全

2013-03-28 10:34:29

2024-01-05 09:20:42

2014-10-11 13:57:04

2022-06-06 07:47:07

勒索软件物联网安全漏洞

2012-07-30 09:56:14

2022-09-26 13:37:45

勒索软件首席执行官

2021-06-15 08:11:21

勒索软件攻击黑客

2012-03-23 09:28:14

2017-05-13 14:56:28

勒索软件

2021-04-10 09:56:57

Charming Ki网络钓鱼

2011-10-27 12:14:59

2019-05-22 08:11:51

Winnti恶意软件Linux

2020-12-02 13:28:56

勒索软件漏洞网络攻击
点赞
收藏

51CTO技术栈公众号