Un "Safari" per studiare i ransomware in sicurezza

Per capire come si muove un virus informatico pericoloso, a volte bisogna osservarlo mentre attacca. È il principio dietro Safari, un laboratorio digitale "blindato" sviluppato da Arpae Emilia-Romagna e dal Dipartimento di Informatica – Scienza e ingegneria dell'Università di Bologna, dove i ricercatori possono far agire ransomware veri (programmi malevoli, o malware, che prendono in ostaggio un dispositivo e i file personali) senza rischiare danni reali.
Il problema che il progetto risolve è pragmatico: studiare scientificamente un ransomware richiede decine di test ripetuti nelle stesse condizioni col rischio che il malware sfugga al controllo. Safari aggira l'ostacolo automatizzando esperimenti dove si fa esplodere il malware in ambienti virtuali completamente isolati dal mondo esterno, un po' come condurre esperimenti con materiale infettivo in una camera stagna. Il sistema è inoltre pensato per scalare da hardware personale, con modeste prestazioni, fino a gruppi di calcolatori nel cloud, così da restare accessibile anche a piccoli gruppi di ricerca, ed è distribuito come software open source.

Il progetto è frutto di una convenzione tra Arpae Emilia-Romagna e il Disi (Dipartimento di Informatica - Scienza e ingegneria) dell'Università di Bologna, sostenuta da fondi regionali nell'ambito di un progetto dedicato alla sicurezza industriale. È stato sviluppato nella tesi di Tommaso Compagnucci sotto la guida di Saverio Giallorenzo (Disi-Unibo) e Simone Melloni (Servizio Sistemi informativi e innovazione digitale di Arpae) ed è stato pubblicato prima nella conferenza internazionale di cybersicurezza Ifip-Sec [1] e successivamente sulla rivista scientifica di eccellenza Computers & Security [2]. Il gruppo ha inoltre già trovato applicazioni parallele di utilizzo di Safari nella sicurezza delle reti industriali [3].
Nei loro studi il gruppo ha messo alla prova sette ceppi di ransomware, scoprendo comportamenti molto diversi tra loro. Alcuni, come Phobos, distruggono quasi tutto indiscriminatamente. Altri, come LockBit, colpiscono con precisione chirurgica solo i file più preziosi per la vittima (foto, documenti, desktop).

Safari è servito anche a testare Ranflood [4], uno strumento difensivo che non blocca il ransomware ma lo rallenta "annegandolo" in un diluvio di file esca, già oggetto di ricerca, sviluppo e pubblicazione di eccellenza da parte dello stesso gruppo.
Il messaggio di fondo: senza ambienti sicuri e riproducibili in cui testare le minacce, la ricerca sulla cybersecurity rischia di restare teorica. Safari, grazie alla collaborazione interistituzionale messa in campo, agevola e rende accessibile questo processo, anche con risorse limitate.

[1] https://link.springer.com/chapter/10.1007/978-3-031-92882-6_15
[2] https://www.sciencedirect.com/science/article/pii/S0167404826002087
[3] https://link.springer.com/article/10.1007/s10664-025-10713-2
[4] https://www.sciencedirect.com/science/article/pii/S0167404823002055