Per capire come si muove un virus pericoloso, a volte bisogna osservarlo mentre attacca. È il principio dietro Safari, un laboratorio digitale "blindato" sviluppato da Arpae Emilia-Romagna e dal Dipartimento di Informatica – Scienza e ingegneria dell'Università di Bologna, dove i ricercatori possono far agire ransomware veri senza rischiare danni reali.
Il problema che il progetto risolve è pragmatico: studiare scientificamente un ransomware - un programma malevolo capace di distruggere o bloccare i dati sensibili del dispositivo che infetta - richiede decine di test ripetuti nelle stesse condizioni. Il rischio in questi casi è però che il malware sfugga al controllo.
Safari aggira questo ostacolo automatizzando esperimenti dove si fa esplodere il malware in ambienti virtuali completamente isolati dal mondo esterno: un po' come condurre esperimenti con materiale infettivo in una camera stagna. Il sistema è inoltre pensato per scalare da hardware per uso personale, con modeste prestazioni di calcolo, fino a gruppi di calcolatori nel cloud, così da restare accessibile anche a piccoli gruppi di ricerca, ed è distribuito come software open source.
Il progetto è frutto di una convenzione tra Arpae Emilia-Romagna e il Dipartimento di Informatica - Scienza e Ingegneria dell'Università di Bologna, sostenuta da fondi regionali nell'ambito di un progetto dedicato alla sicurezza industriale. Sviluppato nell'ambito della tesi di Tommaso Compagnucci, sotto la guida di Saverio Giallorenzo (Dipartimento di Informatica dell'Università di Bolgona) e Simone Melloni (Servizio Sistemi informativi e innovazione digitale di Arpae), Safari è stato presentato nella conferenza internazionale di cybersicurezza Ifip-Sec e successivamente pubblicato sulla rivista scientifica Computers & Security. Il gruppo ha inoltre già trovato applicazioni parallele di utilizzo di Safari nella sicurezza delle reti industriali.
Gli studiosi hanno messo alla prova sette ceppi di ransomware, scoprendo comportamenti molto diversi tra loro. Alcuni, come Phobos, distruggono quasi tutto indiscriminatamente. Altri, come LockBit, colpiscono con precisione chirurgica solo i file più preziosi per la vittima (foto, documenti, desktop). Safari è servito anche per testare Ranflood, uno strumento difensivo che non blocca il ransomware ma lo rallenta "annegandolo" in un diluvio di file-esca, già oggetto di ricerca, sviluppo e pubblicazione di eccellenza da parte dello stesso gruppo.
