So sánh hàm băm để phát hiện mã hóa tệp ransomware

Như chi tiết trong một câu hỏi riêng biệt, tôi nghĩ rằng mình có một cách để phát hiện loại ransomware âm thầm mã hóa các tệp, sau đó giải mã chúng một cách nhanh chóng, để ngăn người dùng nhận ra rằng các tệp đã được mã hóa.Tôi nghĩ rằng việc so sánh giá trị băm của tệp hiện tại và quá khứ sẽ phát hiện các thay đổi của tệp: nếu nhiều tệp bị thay đổi bất ngờ, có thể những thay đổi đó là do mã hóa ransomware.

Một nhận xét về câu hỏi đó dường như nói rằng khái niệm của tôi không thành công vì tệp phải được đọc để được băm. Phần mềm tống tiền sẽ cung cấp nội dung của tệp cho công cụ băm; công cụ đó sẽ thấy rằng nội dung không thay đổi; do đó tôi sẽ nhận được giá trị băm giống như trước đây.

Tôi không hiểu điều đó. Có vẻ như tôi cần giải quyết nó trong câu hỏi riêng biệt này. Nếu việc băm chỉ tính đến nội dung của tệp, thì chẳng phải là không thể băm một tệp mà người dùng đã mã hóa an toàn sao?

Một cuộc thảo luận về mật mã dường như nói rằng các giá trị băm, đối với một tệp, có thể thay đổi tùy theo thời gian mã hóa bằng khóa chung. Tôi giải thích điều đó có nghĩa là các biến thể trong quá trình mã hóa có thể tạo ra các biến thể trong giá trị băm. Điều đó dường như không tương thích với tuyên bố chung rằng việc băm sẽ không phát hiện ra bất kỳ sự khác biệt nào giữa một tệp được mã hóa (ngay cả khi được giải mã nhanh chóng) và dạng không được mã hóa trước đó của nó.

Tôi đang thiếu gì ở đây?

Phát hiện băm (với xác suất áp đảo) không tí nào sự khác biệt giữa hai phần dữ liệu, bao gồm một phần là phiên bản được mã hóa của phần kia. Do đó, nguyên tắc so sánh giá trị băm của các tệp để phát hiện nhiều tệp đã thay đổi là hợp lý.

Tuy nhiên, có một số cách mà một chương trình mã hóa các tệp trên đĩa một cách có hệ thống có thể tránh được sự phát hiện từ một chương trình đang kiểm tra xem giá trị băm của các tệp trên đĩa không thay đổi. Chúng bao gồm:

• Vô hiệu hóa kiểm tra bằng cách thu giữ tất cả tài nguyên CPU trong quá trình mã hóa.
• Kết nối với mã đã đọc của tất cả các chương trình (bao gồm cả chương trình thực hiện kiểm tra hàm băm) để hiển thị cho chúng dữ liệu chưa sửa đổi cho đến khi tất cả các tệp đã được mã hóa, mặc dù dữ liệu đã được mã hóa vật lý trên đĩa. Điều này có thể thực hiện được nếu khóa mã hóa được sử dụng để giải mã cho đến khi quá trình mã hóa hoàn tất.

Cập nhật: phần mềm mã hóa tiền điện tử không cần phải được điều chỉnh theo hàm băm hoặc chương trình so sánh hàm băm; tất cả những gì nó cần làm là thực hiện đúng một trong hai gạch đầu dòng ở trên. Mặt khác, một số phần mềm mã hóa mã hóa thực tế mà tôi đã nghiên cứu (trong máy ảo) chỉ thực hiện một phần chiến lược đầu tiên (như một tác dụng phụ của chiến lược chính của chúng: mã hóa nhanh nhất có thể) chứ không phải chiến lược thứ hai, trong đó các hệ điều hành hiện đại yêu cầu leo ​​thang đặc quyền.