Google Drive-desktopclient stopt met synchroniseren bij detectie van ransomware

De desktopclient van Google Drive stopt met het synchroniseren van bestanden als ransomware wordt herkend. Zo kunnen bedrijven volgens Google voorkomen dat ransomware zich via Drive door het bedrijf verspreidt. De functie komt ook beschikbaar voor consumenten.

De functie werkt met een detectiemodel dat met kunstmatige intelligentie werkt en is getraind op 'miljoenen echte ransomwarevoorbeelden van VirusTotal', schrijft Google. Het model herkent daardoor 'ongebruikelijke activiteiten' die wijzen op een ransomwareaanval, zoals het op grote schaal versleutelen of corrumperen van bestanden. De getroffen bestanden worden dan niet langer gesynchroniseerd met de cloud, waardoor die ransomwarebestanden niet via Drive op andere pc's terechtkomen.

Google zegt dat de tool zo moet voorkomen dat ransomware langs de antivirusscanner glipt en via Drive een heel bedrijf raakt. De tool is dan ook een aanvulling op dergelijke antivirusscanners, zegt Google. Het detectiemodel wordt continu geüpdatet met nieuwe threat intelligence van VirusTotal.

Als Drive merkt dat er ransomware op de pc van een gebruiker aanwezig is en synchronisatie gestopt wordt, krijgt de gebruiker een melding via desktop en e-mail. Gebruikers krijgen daarbij het advies om de ransomware te verwijderen en kunnen via Drive de data herstellen naar een punt vóór de bestanden geïnfecteerd waren. Dit proces voorkomt dat gebruikers gestoord worden in hun werk en data kwijtraken, claimt Google. Admins worden ook geïnformeerd als een pc binnen het bedrijfsnetwerk geïnfecteerd raakt.

Google benadrukt de gebruikersdata niet te gebruiken voor reclamedoeleinden of om de AI-modellen te trainen, tenzij de klant hierom vraagt. De functie verschijnt als openbèta en komt naar de Google Drive-desktopclients voor Windows en macOS. De functie is gratis voor 'de meeste' Workspace-abonnementen en voor alle consumenten.

Reacties (12)

[Noxious]

Google benadrukt de gebruikersdata niet te gebruiken voor reclamedoeleinden of om de AI-modellen te trainen, tenzij de klant hierom vraagt.

Oftewel, dit zit er nu al wel in en is opt-in (for now).

[watercoolertje]

Oftewel, dit zit er nu al wel in en is opt-in (for now).

Dat 'for now' kan je al ruim 13 jaar zeggen, zo oud is drive en zolang beloven ze al die data niet te gebruiken voor reclame (en nu ook AI, want dat is er pas 'net')!

Beetje sensationeel om daar dan zo op in te haken. Prima als ze die plannen daadwerkelijk opperen om er op dat moment over te gaan klagen, maar preventief klagen over zaken die je zelf speculeert? Meh...

Ze hebben uit Drive ook gewoon inkomsten want naast een beetje gratis ruimte is het gewoon een betaalde dienst die geld oplevert.

[Reactie gewijzigd door watercoolertje op 30 september 2025 17:40]

[SinergyX]

Dus als ik het begrijp gaat het om het ransomware software zelf, niet zozeer te bestanden, die zichzelf probeert te verplaatsen via Drive, maar mag aannemen dat er toch nog steeds actie moet plaatsvinden op de andere PC's alvorens ransomware weer actief kan zijn? Zal misschien best een usecase zijn voor bedrijven die volledig via GDrive werken, maar het zal toch niet de enige methode zijn om ransomware door een bedrijf heen te krijgen?

Google benadrukt de gebruikersdata niet te gebruiken voor reclamedoeleinden of om de AI-modellen te trainen, tenzij de klant hierom vraagt

Wat een rare zin is dit?
'zeg Google, zouden jullie mij data willen gebruiken voor reclames?'

Edit, engels zegt het toch duidelijker:
without customer permission or instruction. Ergo, toestemming.

Maargoed, feit dat ze het benoemen zal het straks wel een opt-out feature gaan worden.

[watercoolertje]

Dus als ik het begrijp gaat het om het ransomware software zelf, niet zozeer te bestanden, die zichzelf probeert te verplaatsen via Drive

Het lijkt in ieder geval juist wel om bestanden te gaan:

With that in mind, we’ve built a specialized AI model, trained on millions of real-world ransomware samples, to look for signals that a file has been maliciously modified. The detection engine adapts to novel ransomware by continuously analyzing file changes and incorporating new threat intelligence from VirusTotal. When Drive detects unusual activity that suggests a ransomware attack, it automatically pauses syncing of affected files, helping to prevent widespread data corruption across an organization’s Drive and the disruption of work.

Maargoed, feit dat ze het benoemen zal het straks wel een opt-out feature gaan worden.

En als ze het niet hadden benoemd was die speculatie dat ze het gingen gebruiken voor reclame of AI er ook. Ze kunnen het dus niet goed doen

Maar voorlopig beloven ze het al 13 jaar en 5 maanden niet te gebruiken voor reclame...

[Reactie gewijzigd door watercoolertje op 30 september 2025 17:49]

[Centropy]

Ik vindt het een welkome feature, als ik een besmetting zou oplopen en er niet bij zou zij om ergens de netwerk plug er uit te trekken zou het zich snel verspreiden.

[rko4u]

Het gaat uiteraard niet om normale netwerk drives, die zullen gewoon besmet worden. Want meestal als je merkt dat je ransomware hebt, ben je al te laat.

[themadone]

Mwoah, beetje virusscanner op je file servers en die blocked gewoon de inkomende connectie van de infected client. Laatst nog een false positive van iemand die even met een paar files aan de haal ging. Malwarebytes/Threatdown gooide gewoon de deur voor de neus dicht na een paar files.

Dus je lokale netwerk drives hoeven ook niet per se helemaal stuk te gaan, sowieso hebben we natuurlijk de rechten zo op orde dat er sowieso nooit een hele netwerkdrive aan gruis gaat maar alleen het deel waar de gebruiker bij kan, en met netjes ingestelde shadowcopies heb je dan zo de boel weer terug hoe het was. Dat is dan nog buiten de reguliere backups zowel online als offline.

Voor consumenten gaat vaak de NAS er wel aan omdat het zo lekker makkelijk is om met SMB te connecten en er een drive letter aan te hangen enzo. Maar een beetje NAS die goed ingesteld is maakt ook gewoon snapshots en dan dus ook gewoon terug te draaien indien stuk.

edit:
typo

[Reactie gewijzigd door themadone op 30 september 2025 19:00]

[rko4u]

Natuurlijk is dit ook een nuttige functie voor google zelf. Dan hebben ze deze bestanden ook niet op de server.

[Hans1990]

Goed dat deze feature is toegevoegd. Het is altijd een vrees dat je gesynchroniseerde bestanden dan ook geencrypt raken. Ik weet niet hoeveel je kan terug halen op Drive als bvb gratis gebruiker, dan is voorkomen beter dan genezen.

Ik vraag mij alleen wel af hoe dit werkt, en specifiek hoe AI hierin een rol speelt. Vziw zal een ransomware aanvaller bestanden op een bestandssysteem 1 voor 1 versleutelen. Een bestand dat voorheen leesbaar was als DOCX, JPEG, enz. zal daarna een berg nutteloze informatie worden (tenzij je de sleutel hebt natuurlijk).

Even boeren verstand: hoe veel geavanceerder is deze check dan bvb: er worden in paar seconden >5 bestanden gewijzigd met bestandstype XYZ die voorheen congruent met de inhoud waren (beslissen aan de hand van magic bytes), maar na deze upload niet meer. Wellicht dat bestanden ook worden hernoemd met iets als .encrypt er achter. Dat lijkt mij niet zo moeilijk om als dubbele check in te bouwen.
Zou dit al een groot deel van de ransomware aanvallen afslaan? Of zie ik hier iets naiefs over het hoofd? Ik heb hier gelukkig nooit mee te maken gehad.. wellicht dat er al 'geavanceerde' ranosomware aanvallen bestaan die bvb ook de structuur van een bestandssysteem overhoop gooit. Maar dan vraag ik mij ook af of deze AI slim genoeg is om zo'n kat en muis spel voor te blijven.

[Reactie gewijzigd door Hans1990 op 30 september 2025 18:47]

[koppie]

Ik denk dat je hier wel een punt hebt, maar momenteel is het hot om het altijd over AI te hebben. Maar misschien kan je door betere training er sneller op wijzigingen van het ransomware-technieken reageren.

[dutchgio]

Het veranderen van bestandsnaam/formaat is een indicatie inderdaad maar bestanden worden niet alleen hernoemd maar ook daadwerkelijk versleuteld.
Als je dat slim kunt detecteren op basis van alle VirusTotal data (ook van Google) en zo kunt voorkomen dat de Google drive backups geraakt worden is dat wel een handige feature, of het nou AI is of niet.

[Aapmansz]

Dit had er toch allang moeten zijn, zo'n extra slot op de deur.