RABIS:Ransomware Analysis Based on Information Theory and System Calls

In der digitalen Welt wird jede Aktion eines Computerprogramms als eine Serie von Anfragen an das Betriebssystem aufgezeichnet. Wenn ein Programm eine Datei öffnen, ein Dokument speichern oder eine Verbindung zu einem Netzwerk herstellen muss, muss es das Kernprogramm des Computers darum bitten. Diese Anfragen werden als Systemaufrufe (System Calls) bezeichnet. Seit Jahrzehnten beobachten Sicherheitsexperten diese Anfragen, um Unregelmäßigkeiten aufzuspüren. Die Logik dahinter ist einfach: Ein normales Programm, wie etwa ein Textverarbeitungsprogramm oder ein Webbrowser, verhält sich komplex und vielfältig, da es auf einen menschlichen Benutzer reagiert, der in unvorhersehbaren Mustern denkt, klickt und tippt. Seine Anfragen an den Computer sind daher divers und unregelmäßig. Ein bösartiges Programm hingegen verfolgt oft ein einziges, starres Ziel. Wenn dieses Ziel darin besteht, Daten zu stehlen oder zu zerstören, wird das Programm dieselben wenigen Aktionen immer und immer wieder ausführen und den Computer anweisen, tausende von Dateien in einem unerbittlichen, mechanischen Rhythmus zu öffnen, zu lesen, zu verschlüsseln und umzubenennen. Diese repetitive Natur hinterlässt einen deutlichen Fingerabdruck, der sich vom chaotischen Rauschen alltäglicher Software unterscheidet.

Forscher der National Forensic Sciences University in Indien und des C. R. Rao Advanced Institute of Mathematics in Hyderabad haben eine neue Methode entwickelt, um diese bösartigen Programme zu entlarven, indem sie diesen Rhythmus messen. Sie nennen ihre Methode RABIS. Anstatt zu versuchen, ein spezifisches Virus anhand seines Namens oder seines Codes zu erkennen – was Hacker leicht ändern können –, betrachtet dieser Ansatz das statistische Muster des Programmenverhaltens. Sie behandeln die Sequenz der Systemaufrufe wie einen Datenstrom und messen, wie viel Vielfalt darin existiert. In ihrer Sicht ist ein gesundes Programm voller Überraschungen und Variationen, während ein Ransomware-Programm langweilig vorhersehbar ist. Durch die Berechnung eines Wertes, der dieses Maß an Unvorhersehbarkeit repräsentiert, können sie die gefährlichen Programme von den sicheren unterscheiden, ohne genau wissen zu müssen, wie das Virus heißt oder wie es gebaut wurde.

Um diese Idee zu testen, schuf das Team eine kontrollierte Umgebung, in der sie sowohl sichere als auch gefährliche Software in Aktion beobachten konnten. Sie sammelten 150 Beispiele für normale, alltägliche Programme, wie Texteditoren, Taschenrechner, Webbrowser und Kommandozeilen-Tools, die von Systemadministratoren verwendet werden. Zudem beschafften sie vier verschiedene, reale Ransomware-Proben, die unter Namen wie Conti, REvil, Monti und SougoLock bekannt sind. Diese bösartigen Programme sind darauf ausgelegt, die Dateien eines Benutzers zu sperren und Geld für den Schlüssel zu fordern. Die Forscher ließen all diese Programme auf einem Computersystem laufen, das eine große Sammlung von Dateien enthielt, um die Festplatte eines echten Benutzers zu simulieren. Während jedes Programm lief, zeichnete ein Überwachungstool jeden einzelnen Request auf, den es an das Betriebssystem stellte, und erstellte so ein detailliertes Protokoll seines Verhaltens.

Der Kern ihrer Untersuchung bestand darin, diese langen Protokolle in kleine, überlappende Gruppen von jeweils drei Anfragen aufzuteilen. Sie zählten dann, wie oft jede spezifische Gruppe von drei Anfragen vorkam. Bei den normalen Programmen zeigten die Protokolle eine breite Mischung verschiedener Gruppen, wobei kein einzelnes Muster zu oft wiederkehrte. Die bösartigen Programme zeigten jedoch ein völlig anderes Bild. Da Ransomware Dateien nach der anderen auf die gleiche Weise verarbeiten muss, wiederholte sie exakt dieselbe Sequenz von Anfragen immer wieder. Die Forscher nutzten ein mathematisches Konzept namens Entropie, um diesen Unterschied zu quantifizieren. Vereinfacht gesagt misst die Entropie, wie viel Unordnung oder Zufälligkeit in einem Datensatz vorhanden ist. Eine hohe Entropie bedeutet, dass die Daten vielfältig und schwer vorhersehbar sind, was sie bei den sicheren Programmen beobachteten. Eine niedrige Entropie bedeutet, dass die Daten repetitiv und vorhersehbar sind, was genau das war, was sie bei der Ransomware fanden.

Die Ergebnisse waren beeindruckend. Als das Team seine Methode anwandte, stachen die bösartigen Programme deutlich aus der Menge hervor. Alle vier Ransomware-Proben zeigten sehr niedrige Entropiewerte, was ihre repetitive, mechanische Natur bestätigte. Die 150 sicheren Programme zeigten wesentlich höhere Werte, was ihr komplexes und vielfältiges Verhalten widerspiegelte. Das System identifizierte jedes einzelne Ransomware-Sample korrekt als gefährlich. Es klassifizierte jedoch eine kleine Anzahl sicherer Programme fälschlicherweise als Bedrohung, insbesondere jene, die von Natur aus repetitive Aufgaben ausführen, wie etwa bestimmte Backup-Tools oder Antiviren-Software, die viele Dateien scannt. Die Gesamtgenauigkeit der Methode erreichte jedoch 98,05 Prozent. Die Forscher stellten fest, dass das repetitive Muster der Ransomware umso deutlicher wurde, je größer die Sammlung von Dateien war, die das Programm zu verschlüsseln versuchte, was die Erkennung noch einfacher machte.

Dieser Ansatz bietet einen signifikanten Vorteil gegenüber älteren Methoden, die auf komplexen Modellen künstlicher Intelligenz oder massiven Datenbanken bekannter Virus-Signaturen basieren. Diese älteren Systeme können langsam sein, benötigen viel Rechenleistung und versagen oft, wenn ein Hacker ein Virus leicht verändert, um es neu aussehen zu lassen. Die RABIS-Methode ist leichtgewichtig und schnell, da sie lediglich Muster zählt und deren Varianz misst. Sie muss nicht mit tausenden Beispielen von Malware trainiert werden, um zu funktionieren; sie muss nur den Unterschied zwischen dem chaotischen Verhalten eines menschengesteuerten Programms und dem starren, repetitiven Verhalten eines maschinengesteuerten Angriffs verstehen. Die Forscher demonstrierten, dass sie durch die Konzentration auf den grundlegenden Rhythmus, wie Software mit dem Computer kommuniziert, einen Ransomware-Angriff erkennen können, während er geschieht – selbst wenn das Virus noch nie zuvor gesehen wurde.

Obwohl die Methode hochwirksam ist, räumen die Forscher ein, dass sie nicht perfekt ist. Die wenigen sicheren Programme, die als Bedrohungen markiert wurden, waren solche, die von Natur aus repetitive Dateivorgänge durchführen, was manchmal das Verhalten eines Angreifers imitieren kann. Um dies zu handhaben, schlägt das Team vor, dass zukünftige Versionen des Systems den Kontext der Aktivität betrachten könnten, wie etwa, wie viele Dateien berührt werden oder wie schnell der Prozess läuft, um diese Fehlalarme zu reduzieren. Sie planen auch, das System so zu erweitern, dass es auf verschiedenen Arten von Computern funktioniert und nicht nur auf dem von ihnen getesteten Betriebssystem. Für den Moment beweist die Studie, dass ein einfacher statistischer Blick auf die Art und Weise, wie Software agiert, ein mächtiger Schutzschild gegen eine der zerstörerischsten Formen der Cyberkriminalität sein kann, indem er die Bedrohung durch ihren Mangel an Vorstellungskraft entlarvt.