Proactive Ransomware Family Detection from Pre-Encryption API Behavior Using ANN–LightGBM Stacking
تُظهر هذه الدراسة أن نموذج تجميع (stacking) غير متجانس يجمع بين الشبكات العصبية الاصطناعية (ANN) وخوارزمية (LightGBM)، والذي يستخدم 23 مؤشرًا من واجهة برمجة تطبيقات ويندوز (Windows API) ما قبل التشفير، يمكنه تحقيق دقة عالية (95.20%) في تصنيف عائلات برامج الفدية والبرمجيات الحميدة، مما يوفر آلية دفاع استباقية تتفوق على البنى العصبية المستقلة مع تسليط الضوء على الحاجة إلى مزيد من التحقق الخارجي.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الرقمي، يعمل نوع محدد من البرمجيات الخبيثة يُعرف باسم "برامج الفدية" (ransomware) كخاطف رهائن رقمي. فبمجرد تسللها إلى جهاز الكمبيوتر، تقوم بقفل ملفات المستخدم، وتطالب بدفع مبلغ مالي مقابل إطلاق سراحها. لسنوات عديدة، حاول خبراء الأمن إيقاف هذه الهجمات من خلال البحث عن البصمات الرقمية الفريدة للبرامج الضارة المعروفة. ومع ذلك، يقوم المجرمون بتغيير هذه البصمات باستمرار، مما يجعل الأساليب القديمة أقل فعالية. ويتضمن النهج الأكثر حداثة مراقبة كيفية سلوك البرنامج في اللحظة التي يبدأ فيها العمل. فقبل أن يبدأ برنامج الفدية عمله التدميري المتمثل في تشفير الملفات، يجب عليه أولاً القيام بسلسلة من الخطوات التحضيرية، مثل التحقق من إعدادات الكمبيوتر أو البحث عن برامج أخرى. تترك هذه الإجراءات المبكرة أثراً من البصمات الرقمية التي يمكن أن تكشف عن الطبيعة الحقيقية للبرنامج قبل وقوع أي ضرر. ويكمن التحدي في التمييز بين هذه الخطوات المبكرة المشبوهة وبين الإجراءات العادية وغير الضارة التي تقوم بها جميع برامج الكمبيوتر يومياً.
وضع فريق من الباحثين في جامعة بنها هدفاً لحل هذه المشكلة من خلال إنشاء نظام يمكنه تحديد عائلات مختلفة من برامج الفدية بناءً على هذه السلوكات المبكرة جداً. وقد ركزوا على نافذة زمنية محددة: اللحظات التي تسبق بدء عملية تشفير الملفات الفعلية. وللقيام بذلك، جمعوا مجموعة تضم 3,432 برنامج كمبيوتر، بما في ذلك خمسة أنواع متميزة من برامج الفدية ومجموعة من البرامج الآمنة والسليمة. تم تحليل كل برنامج بناءً على 23 إجراءً محدداً اتخذها عند بدئه للعمل. تضمنت هذه الإجراءات قيام البرنامج بطلب معلومات من الكمبيوتر حول اسمه الخاص، أو التحقق من الشبكة، أو النظر في السجل (registry)، أو محاولة الوصول إلى الذاكرة. وحوّل الباحثون هذه الملاحظات إلى قائمة بسيطة من المؤشرات التي تعتمد على (نعم أو لا)، مما خلق ملفاً تعريفياً موجزاً لكل برنامج.
بعد ذلك، اختبر الباحثون عدة أنواع مختلفة من نماذج الذكاء الاصطناعي لمعرفة أي منها يمكنه التعلم بشكل أفضل من هذه القوائم القصيرة من الإجراءات. لقد جربوا خمسة تصميمات مختلفة من الشبكات العصبية، وهي أنظمة حاسوبية مستوحاة من الدماغ البشري، بما في ذلك بعض التصميمات المستخدمة عادةً لمعالجة التسلسلات الطويلة من البيانات مثل الكلام أو النصوص. كما اختبروا طريقة تعمل على إزالة بعض الإجراءات الأقل أهمية لمعرفة ما إذا كانت القائمة الأصغر ستجعل الذكاء الاصطناعي أكثر ذكاءً. وأظهرت النتائج أنه بالنسبة لهذا النوع المحدد من البيانات القصيرة والبسيطة، كان تصميم الشبكة العصبية الأكثر مباشرة هو الأفضل في الأداء بمفرده، حيث حدد نوع البرنامج بشكل صحيح بنسبة تقارب 94 بالمائة. ومن المثير للاهتمام أن النماذج الأكثر تعقيداً المصممة للتسلسلات الطويلة لم تقدم ميزة كبيرة، مما يشير إلى أنه بالنسبة لهذه المهمة المحددة، كان النهج الأكثر بساطة أكثر فعالية.
ولدفع دقة النظام إلى مستويات أعلى، قام الفريق بدمج نوعين مختلفين من نماذج الذكاء الاصطناعي في نظام واحد متعدد الطبقات. فقد استخدموا الشبكة العصبية المباشرة لتقديم تخمين أولي حول هوية البرنامج، ثم مرروا ذلك التخمين إلى نموذج ثانٍ قوي يعتمد على الأشجار (tree-based model) لتنقيح القرار النهائي. هذا النهج المدمج، المعروف باسم "التكديس" (stacking)، أدى إلى تحسين أداء النظام، حيث رفع الدقة إلى ما يزيد قليلاً عن 95 بالمائة. كان النظام بارعاً بشكل خاص في التمييز بين العائلات المختلفة لبرامج الفدية، حيث تراوحت درجات (AUC) بين 0.92 و0.99 لكل نوع محدد. ومع ذلك، لا يزال النظام يرتكب بعض الأخطاء، حيث يخلط أحياناً بين برنامج آمن وإحدى عائلات برامج الفدية، أو يخلط بين نوعين مختلفين من برامج الفدية مع بعضهما البعض.
تخلص الدراسة إلى أن مراقبة هذه الإجراءات المبكرة ومنخفضة المستوى هي وسيلة قابلة للتطبيق للإمساك ببرامج الفدية قبل أن تسبب الضرر، وأن دمج طرق مختلفة من الذكاء الاصطناعي يمكن أن يجعل الكشف أكثر موثوقية. ومع ذلك، يشدد الباحثون بحذر على أن هذا النجاح قد تحقق في بيئة محكومة باستخدام مجموعة محددة من البرامج المعروفة. لم يتم اختبار النظام بعد ضد أنواع جديدة وغير مرئية من برامج الفدية أو في البيئة الفوضوية والآنية لشبكة شركات مزدحمة. وبينما تعد النتائج واعدة، فإن هذا العمل يعد بمثابة إثبات مفهوم قوي بدلاً من كونه منتجاً نهائياً جاهزاً للنشر الفوري. إنه يوضح أنه مع البيانات الصحيحة والجمع الذكي للأدوات، من الممكن رصد العلامات الخفية لهجوم رقمي قبل البدء في تشفير أول ملف.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.