Detectando Comportamento de Criptografia de Ransomware

Quando Usar

• Construindo ou ajustando uma camada de detecção comportamental para ransomware que capture variantes desconhecidas/zero-day
• Monitorando servidores de arquivos e endpoints para atividade de criptografia em massa que evite detecção baseada em assinaturas
• Implementando detecção baseada em entropia para identificar quando arquivos estão sendo substituídos por conteúdo criptografado (alta entropia)
• Analisando padrões de comportamento de processos suspeitos: aberturas, escritas, renomeações e exclusões sequenciais rápidas de arquivos
• Validando regras de detecção de EDR contra padrões reais de criptografia de ransomware durante exercícios de equipe vermelha

Não use a análise de entropia isoladamente como o único sinal de detecção. Arquivos compactados (ZIP, JPEG, MP4) naturalmente possuem alta entropia e causarão falsos positivos. Sempre combine a entropia com sinais comportamentais como taxa de I/O e padrões de renomeação de arquivos.

Pré-requisitos

• Python 3.8+ com bibliotecas watchdog e psutil
• Acesso administrativo para monitoramento de processos e captura de eventos do sistema de arquivos
• Compreensão de entropia de Shannon e sua aplicação à análise de conteúdo de arquivos
• Windows: Sysmon instalado para registro detalhado de eventos de processos e sistema de arquivos
• Linux: auditd configurado para monitoramento de acesso a arquivos, ou watchers baseados em inotify
• Valores de entropia de linha de base para tipos de arquivo comuns no ambiente monitorado

Fluxo de Trabalho

Passo 1: Estabelecer Linhas de Base de Entropia

Calcule os intervalos normais de entropia para arquivos no ambiente:

Entropy Baselines by File Type:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
File Type       Normal Entropy    Encrypted Entropy
.docx           3.5 - 6.5        7.8 - 8.0
.xlsx           4.0 - 6.8        7.8 - 8.0
.pdf            5.0 - 7.2        7.8 - 8.0
.txt            2.0 - 5.0        7.8 - 8.0
.csv            2.0 - 5.5        7.8 - 8.0
.sql            2.5 - 5.0        7.8 - 8.0
.jpg/.png       7.0 - 7.9        7.9 - 8.0 (hard to distinguish)
.zip/.7z        7.5 - 8.0        7.9 - 8.0 (hard to distinguish)

Key insight: Text-based files show the largest entropy jump when encrypted,
making them the best candidates for entropy-based detection.

Passo 2: Implementar Monitoramento de Entropia em Tempo Real

Monitore escritas em arquivos e calcule a entropia do novo conteúdo:

import math
from collections import Counter

def shannon_entropy(data):
    """Calculate Shannon entropy of byte data (0.0 to 8.0 scale)."""
    if not data:
        return 0.0
    freq = Counter(data)
    length = len(data)
    return -sum((c / length) * math.log2(c / length) for c in freq.values())

def is_encryption_entropy(data, threshold=7.5):
    """Check if data entropy indicates encryption."""
    entropy = shannon_entropy(data)
    return entropy >= threshold, entropy

Passo 3: Monitorar Padrões de I/O do Sistema de Arquivos

Rastreie operações de arquivo em nível de processo para padrões de ransomware:

Ransomware I/O Behavior Signatures:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
1. Rapid sequential file modification:
   - >20 files modified per minute by single process
   - Read original → Write encrypted → Rename with new extension
   - Pattern: CreateFile → ReadFile → WriteFile → CloseHandle → MoveFile

2. File extension changes:
   - Original: report.docx → Encrypted: report.docx.locked
   - Many extensions changed within short time window

3. Ransom note creation:
   - Same text file (README.txt, DECRYPT.html) created in multiple directories
   - Created immediately after file encryption in each directory

4. Shadow copy deletion:
   - vssadmin.exe delete shadows /all /quiet
   - wmic.exe shadowcopy delete
   - PowerShell: Get-WmiObject Win32_Shadowcopy | Remove-WmiObject

5. Entropy spike pattern:
   - File read: entropy 3.5 (normal document)
   - File write: entropy 7.9 (encrypted content)
   - Delta > 3.0 is strong ransomware indicator

Passo 4: Implementar Pontuação Comportamental

Combine múltiplos sinais em uma pontuação composta de ransomware:

def calculate_ransomware_score(process_metrics):
    """Pontua o comportamento do processo para probabilidade de ransomware (0-100)."""
    score = 0

    # Alta taxa de modificação de arquivos
    files_per_min = process_metrics.get("files_modified_per_minute", 0)
    if files_per_min > 50:
        score += 30
    elif files_per_min > 20:
        score += 15

    # Aumento de entropia em arquivos gravados
    avg_entropy_delta = process_metrics.get("avg_entropy_delta", 0)
    if avg_entropy_delta > 3.0:
        score += 30
    elif avg_entropy_delta > 2.0:
        score += 15

    # Mudanças na extensão do arquivo

…