SSD’ler için Fidye Yazılımı Algılama ve Önleme Yöntemi Geliştirildi

Bir araştırma ekibi, SSD’leri fidye yazılımı saldırılarından korumak için yeni bir yöntem geliştirdi. Bu yöntem fidye yazılımını algılayabiliyor, zarar vermeden önce engelleyebiliyor ve hatta çalınan verileri kısa sürede kurtarabiliyor.

The Register, Inha Üniversitesi Daegu Gyeongbuk Bilim ve Teknoloji Enstitüsü, Florida Merkez Üniversitesi ve Ewha Womans Üniversitesi’ndeki Siber Güvenlik Departmanından gelen araştırmacılarla bir görüşme yaptı. SSD-Insider adı verilen sistem, gerçek dünya fidye yazılımları üzerinde test edildi.

SSD-Insider, SSD etkinliğinde fidye yazılımına işaret eden belirli kalıpları algılayarak çalışıyor. Bu projeyle ilgili makalede, “Fidye yazılımı etkinliğini tanımak için, bir fidye yazılımının benzersiz davranışlarına ve yazma işlemlerine dikkat ettik.” şeklinde bir açıklama yapılıyor. Bu noktada özellikle WannaCry, Mole ve CryptoShield gibi fidye yazılımlarının hareketlerine dikkat çekilmiş.

Inha araştırmacısı DaeHun Nyang, “SSD-Insider++ tarafından fidye yazılımı etkinliği tespit edildiğinde depolamaya giriş/çıkış askıya alınır. Askıya alma sırasında kullanıcılar fidye yazılımı sürecini kaldırabilir.” diyor.



Fidye yazılımı durdurulduktan sonra ise SSD’lerin sahip olduğu özellikler nedeniyle kayıp dosyalar kurtarılabiliyor. Bu noktada Garbage Collector özelliğinin kalıcı olarak silinene kadar eski verileri her zaman sakladığı belirtilmiş. SSD-Insider, SSD’lerin içindeki eski veri sürümlerini takip ediyor ve fidye yazılımı algılama algoritması yeni sürümlerin fidye yazılımlarından etkilenmediğini onaylayana kadar bunları asla kaldırmıyor.

Geliştirilen yazılım, WannaCry ve diğer fidye yazılımlarıyla yapılan testlerde hiçbir kötü niyetli yazılımı kaçırmadı ve nadiren yanlış tespitler yaptı. Test edilen tüm senaryolarda Yanlış Reddetme Oranı (FRR) %0 seviyesindeydi.

Bir antivirüs araştırmacısı ise The Register’a SSD-Insider gibi bir yöntemin kusursuz olmadığını söyledi. ESET UK’den Jake Moore, “İşlev, silme esnasındaki bir gecikmeden yararlanıyor. Fidye yazılımı geliştiricilerin bu yöntemin nasıl çalıştığını biliyor olabilir ve bunu atlatabilir.” şeklinde bir açıklama yaptı. Dolayısıyla her durumda verilerin yedeklenmiş olması büyük önem taşıyor.