Deteccin temprana de

ransomware

Da. Luca lvarez Gonzlez

Prof. Dr. Pedro Garca Teodoro
D. Jos Antonio Gmez Hernndez
Network Engineering & Security Group (NESG)
UNIVERSIDAD DE GRANADA
 ndice
1. Introduccin
2. Estado del arte
3. Nuestra propuesta
4. Pruebas y resultados
5. Vas futuras
6. Conclusin
7. Bibliografa
 1. Introduccin

Ataques que secuestran la

informacin del usuario y
piden un rescate
o Crea un par de claves
o Lee el fichero original y lo copia aadindole la extensin propia del
malware.
o Crea una clave aleatoria y nica (cifrado simtrico)
o Cifra el fichero utilizando la clave aleatoria cifrada con la clave pblica.
o Sobrescribe el fichero original con la copia cifrada.
La era de la
extorsin
digital

Malware ms
rentable de la
historia
2. Estado del arte
1. Primero Windows Ni Linux ni Mac OS os
inmunes

2. Ahora dispositivos
mviles

3. En el futuro IoT
 2016, ao del
ransomware

2017 est
tomando el relevo
 Soluciones actuales

o Sandbox
o Monitorizacin de comportamientos anmalos
o Iniciativa No More Ransom!

Necesidad de deteccin temprana

y bloqueo
3. Nuestra propuesta

Deteccin temprana de ransomware

basada en honeyfiles
Necesidad de bloquear el ransomware
antes de que afecte datos relevantes

Premisas de diseo:

o De amplia cobertura
o De bajo coste y bajo consumo
de recursos
 Solucin tcnica adoptada
1. Creacin de un fichero trampa que es en realidad un cauce
FIFO.
2. Enlaces simblicos que apuntan al honeyfile, desplegados
estratgicamente para dar cobertura a todo el sistema de
archivos.
3. Monitorizacin a tiempo real del honeyfile
 Honeyfile: Cauce FIFO
o Existen en el sistema de archivos con
nombre y jerarqua de direccin.
o Permiten comunicar procesos no
relacionados.
o Es persistente.
o Procesos de lectura y escritura
sincronizados.
Bloqueo + localizacin del proceso
Reparto de enlaces simblicos

Primera entrada
del directorio

Diferentes
extensiones

Cubre todo el
sistema de
archivos
4. Pruebas y resultados
Resultados obtenidos

1. Pruebas iniciales
dirigidas al cauce
FIFO.

2. Pruebas reales
WANNACRY
5. Conclusiones y vas
futuras
Gracias por su atencin

luciaalvarez@correo.ugr.es
pgteodor@ugr.es
jagomez@ugr.es