Revisão e classificação do Trend Micro ransombuster

O recente surto de ransomware BadRabbit afetou principalmente as pessoas na Rússia e nas proximidades, não tanto nos EUA, mas não deixe isso torná-lo complacente. Quem sabe onde o próximo ataque será atingido? Você precisa de proteção contra ransomware, e seu antivírus pode não ser suficiente. O Trend Micro RansomBuster oferece várias camadas de proteção e é gratuito para uso pessoal e comercial. No entanto, nossos testes mostram que as camadas não são todas igualmente eficazes.

O RansomBuster está disponível para download gratuito e também é um componente dos produtos antivírus e de suíte de segurança da Trend Micro. Da mesma forma, o Cybereason RansomFree independente também é um componente do conjunto de segurança em larga escala do Cybereason.

Como o RansomFree e o Malwarebytes Anti-Ransomware Beta, que também é gratuito, o RansomBuster deve ser usado junto com o antivírus padrão. Ambos os produtos se concentram na detecção de ransomware com base em seu comportamento; O RansomFree espalha arquivos de iscas em locais estratégicos para ajudar na detecção, como explicarei. O RansomBuster também inclui detecção baseada em comportamento, mas essa é apenas uma de suas habilidades.

Se o RansomBuster detectar até uma fraca possibilidade de atividade de ransomware, ele fará um backup seguro dos arquivos afetados. Quando a possibilidade se torna certa, encerra o ransomware e usa o backup para restaurar todos os arquivos afetados durante sua análise. O Check Point ZoneAlarm Anti-Ransomware restaura os arquivos afetados de maneira semelhante.

Uma maneira muito simples de impedir o ransomware de criptografar arquivos na pasta Documentos (ou em outras pastas confidenciais) é simplesmente banir todas as modificações por programas não autorizados. Você usa seu processador de texto ou editor de imagens confiável, como sempre, mas o componente Folder Shield impede o acesso por qualquer programa desconhecido. O Bitdefender Antivirus Plus inclui um recurso semelhante, enquanto o Panda Internet Security até proíbe desconhecidos de ler seus arquivos.

Introdução ao RansomBuster

A instalação é rápida e simples. Após a instalação, o programa solicita que você selecione quais pastas deseja proteger. A pasta Documentos é pré-selecionada por padrão, mas não é muito difícil adicionar mais pastas. Você aprenderá rapidamente que esta edição gratuita pode proteger apenas duas pastas. Isso pareceu uma grande limitação no começo. Mais tarde, percebi que simplesmente selecionar a pasta C: \ Users deveria proteger a maioria dos seus documentos importantes.

Selecionar essas pastas é a única opção de configuração; este é um programa muito simples e focado. Depois de fazer essa escolha, o RansomBuster é executado em segundo plano, sem precisar de mais interações, a menos que encontre um ataque.

Escudo de Pasta de Teste

Para uma verificação rápida da sanidade, lancei um pequeno editor de texto que eu mesmo escrevi. Este programa não existe em nenhum outro lugar, mas no meu PC de teste, então definitivamente se qualifica como um programa desconhecido. Tentei modificar alguns arquivos de texto na pasta Documentos. O RansomBuster relatou de maneira adequada o acesso não autorizado, dando-me a opção de bloquear esse acesso ou adicionar o programa à lista confiável. Depois de um tempo, ele escolheu automaticamente a opção de bloqueio. O mesmo aconteceu quando tentei um programa simples e codificado à mão que simula o comportamento de criptografia do ransomware.

Em seguida, trouxe as grandes armas - seis amostras de ransomware do mundo real. Inicialmente, as coisas pareciam boas. O Folder Shield bloqueou cinco das amostras, enquanto a detecção baseada em comportamento ficou em sexto, antes mesmo de provocar uma reação do Folder Shield. Observei que, se você acidentalmente optar por confiar em um programa que acaba sendo ransomware, o sistema de detecção baseado em comportamento também o ignora. Leia essas notificações com atenção e confie apenas nos programas que você tem certeza.

Um olhar mais atento revelou que as coisas não eram inteiramente reais. Uma das amostras de ransomware criptografou um arquivo em uma pasta na área de trabalho antes de ser capturada pelo Folder Shield, porque a área de trabalho não estava protegida. Outro criptografou uma dúzia de arquivos na pasta Desktop e abaixo dela e soltou notas de resgate em vários deles. Observei que os arquivos afetados eram do tipo que a maioria consideraria menos importante. Eles incluíram atalhos, arquivos de Ajuda, arquivos de log e alguns arquivos CSV. Meu contato na Trend Micro confirmou que esses tipos não estão entre os quase 40 tipos de arquivos que o sistema de detecção baseado em comportamento rastreia.

Testando a detecção baseada em comportamento

O Folder Shield pode proteger apenas o conteúdo de duas pastas, mas o sistema de detecção baseado em comportamento visa sinalizar um comportamento semelhante ao ransomware, não importa onde isso ocorra. Para um teste específico para detecção baseada em comportamento, desativei o Folder Shield e repeti meus testes de ransomware no mundo real. Os resultados não foram bonitos.

O RansomBuster capturou três das seis amostras. Chamou um deles como suspeito e o encerrou antes que ele pudesse realizar qualquer ação nefasta. Ele identificou os outros dois como ransomware, listou os arquivos que foram criptografados e relatou recuperação bem-sucedida.

No entanto, as outras três amostras foram desenfreadas, criptografando arquivos para a direita e para a esquerda e exibindo suas notas de resgate, tudo sem um pio do RansomBuster. Testado com essas mesmas amostras, o ZoneAlarm detectou todos os seis e recuperou todos os arquivos. O único erro do ZoneAlarm? Em um caso, ele relatou que não conseguiu restaurar todos os arquivos, quando na verdade não havia falhado.

A proteção de ransomware incorporada no Acronis True Image detectou todas, exceto uma das amostras, restaurando todos os arquivos afetados do seu backup online seguro. O RansomFree também detectou todos, exceto um. O Malwarebytes detectou todos eles, mas em um caso o ransomware criptografou alguns arquivos antes de ser neutralizado.

Resultados Mistos

Aprecio o fato de a Trend Micro oferecer RansomBuster gratuitamente. Eu só queria que funcionasse melhor. O Shield de pasta é eficaz, mas ao testar a detecção baseada em comportamento não foi bem. Se você é um grande fã da Trend Micro, considere isso. Mas se você é um grande fã da Trend Micro, provavelmente já possui essa proteção em seu antivírus ou pacote de segurança.

A escolha de nossos editores para proteção de ransomware é ZoneAlarm Anti-Ransomware. Não é gratuito, mas a US $ 2, 99 por mês, não vai custar muito, e se defendeu com sucesso contra todas as nossas amostras de ransomware do mundo real. O Malwarebytes Anti-Ransomware Beta gratuito também detectou todas as amostras, embora tenha perdido alguns arquivos para criptografia, e o Cybereason RansomFree detectou e bloqueou com êxito todos, exceto um. Se você deseja reforçar sua proteção contra ransomware além do que está embutido no seu antivírus, um desses utilitários é a melhor opção.