El ransomware sigue siendo el tipo de ciberataque más dañino económicamente para organizaciones en todo el mundo. Una de las herramientas más efectivas para monitorear en Windows es el controlador minifilter.

Al situarse directamente en la canalización de E/S del sistema de archivos, un minifilter puede observar, interceptar e incluso bloquear operaciones de archivos maliciosas en tiempo real, proporcionando una capa crucial de alerta temprana para los sistemas de detección y respuesta en endpoints (EDR).

El investigador de seguridad 0xflux ha revelado un demostración de concepto (POC) de un controlador minifilter para Windows que detecta ransomware en tiempo real. Este intercepta eventos del sistema de archivos para marcar comportamientos sospechosos, como escrituras rápidas de archivos y cambios de nombre a extensiones conocidas como maliciosas.

En Windows, un controlador de filtro se sitúa en una pila entre las aplicaciones en modo usuario y el controlador principal del sistema de archivos que gestiona las solicitudes de E/S. Puede observar, modificar, bloquear o redirigir eventos del sistema de archivos a medida que fluyen por esta canalización.

El Filter Manager, un componente en modo kernel, proporciona una API robusta para los controladores minifilter, eliminando la necesidad de construir controladores de filtro heredados desde cero.

Los controladores minifilter registran sus devoluciones de llamada de operaciones de E/S con el Filter Manager, que las invoca en orden de altitud, garantizando un apilamiento determinista cuando se cargan múltiples filtros.

Un minifilter comienza su vida como cualquier controlador de kernel, con una función DriverEntry. En lugar de la configuración típica del controlador, utiliza la familia de funciones Flt —FltRegisterFilter, FltStartFiltering— para registrarse y declarar funciones de devolución de llamada para paquetes de solicitud de E/S (IRPs) específicos.

PostOperationSetInformation gestiona los cambios de nombre, filtrando clases FileRenameInformation. Recupera nombres de archivos normalizados mediante FltGetFileNameInformation y FltParseFileNameInformation, y luego escanea las extensiones comparándolas con una lista como L".HLJkNskOq", asociada a indicadores de compromiso (IOCs) de LockBit.

Una coincidencia activa alertas a un motor en modo usuario para verificaciones adicionales, como el análisis de entropía de archivos, una característica distintiva de los datos cifrados. Se registran detalles del proceso, incluyendo el PID mediante PsGetProcessId y el nombre de la imagen mediante SeLocateProcessImageName, para su correlación.

Para las escrituras, PostOperationCreate filtra máscaras de acceso como FILE_WRITE_DATA o FILE_APPEND_DATA. Esto marca procesos que buscan acceso mutable a archivos, señalando una posible preparación para cifrado. Las devoluciones de llamada previas simplemente devuelven FLT_PREOP_SUCCESS_WITH_CALLBACK para permitir el manejo posterior sin bloquear.

El controlador basado en C, alojado en GitHub bajo Sanctum/fs_minifilter, incluye comprobaciones de seguridad para uso en producción. Un simulador en Rust imita el comportamiento del ransomware: abre test.txt, escribe bytes basura y lo renombra a test.HLJkNskOq. Al cargarse, el controlador detecta y registra estos eventos, demostrando su eficacia contra comportamientos similares a LockBit.

Más allá de las extensiones, este enfoque rastrea el volumen de eventos: un proceso que afecta a múltiples directorios señala un posible brote. La inspección de correlaciones de tipos de archivo y entropía mejora la precisión.

Las mejoras futuras incluyen recolectores en modo usuario para árboles de procesos, lecturas parciales de archivos y limitación de detecciones por tasa (por ejemplo, cambios de alta entropía por segundo). Congelar hilos sospechosos podría ganar tiempo para la respuesta.

Esta POC de Flux se alinea con las tendencias en EDR conductual, superando a los antivirus basados en firmas frente a amenazas sin archivos o polimórficas.