Proactive Ransomware Family Detection from Pre-Encryption API Behavior Using ANN–LightGBM Stacking
Diese Studie zeigt, dass ein heterogenes ANN–LightGBM-Stacking-Modell, das 23 Indikatoren der Windows-API vor der Verschlüsselung nutzt, eine hohe Genauigkeit (95,20 %) bei der Klassifizierung von Ransomware-Familien und gutartiger Software erreichen kann, was einen proaktiven Abwehrmechanismus bietet, der eigenständige neuronale Architekturen übertrifft, während gleichzeitig die Notwendigkeit einer weiteren externen Validierung hervorgehoben wird.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der digitalen Welt agiert eine spezifische Art von Schadsoftware, bekannt als Ransomware, als digitaler Geiselnehmer. Sobald sie einen Computer infiltriert, sperrt sie die Dateien des Benutzers weg und fordert eine Zahlung für deren Freigabe. Seit Jahren versuchen Sicherheitsexperten, diese Angriffe zu stoppen, indem sie nach den einzigartigen digitalen Fingerabdrücken bekannter bösartiger Programme suchen. Doch Kriminelle verändern diese Fingerabdrücke ständig, was alte Methoden weniger effektiv macht. Ein modernerer Ansatz besteht darin, das Verhalten eines Programms in dem Moment zu beobachten, in dem es startet. Bevor ein Ransomware-Programm mit seiner zerstörerischen Arbeit der Verschlüsselung von Dateien beginnt, muss es zuerst eine Reihe vorbereitender Schritte ausführen, wie etwa die Überprüfung der Computereinstellungen oder das Suchen nach anderen Programmen. Diese frühen Handlungen hinterlassen eine Spur digitaler Fußabdrücke, die das wahre Wesen des Programms offenbaren können, bevor ein Schaden entsteht. Die Herausforderung besteht darin, diese verdächtigen frühen Schritte von den normalen, harmlosen Aktionen zu unterscheiden, die jedes Computerprogramm täglich ausführt.
Ein Forschungsteam der Benha University setzte sich zum Ziel, dieses Problem zu lösen, indem es ein System entwickelte, das in der Lage ist, verschiedene Ransomware-Familien basierend auf genau diesen frühen Verhaltensweisen zu identifizieren. Sie konzentrierten sich auf ein spezifisches Zeitfenster: die Momente vor dem eigentlichen Beginn der Dateiverschlüsselung. Zu diesem Zweck sammelten sie eine Sammlung von 3.432 Computerprogrammen, darunter fünf verschiedene Arten von Ransomware und eine Gruppe sicherer, gutartiger Programme. Jedes Programm wurde auf 23 spezifische Aktionen untersucht, die es bei seinem Start ausführte. Diese Aktionen beinhalteten, dass das Programm den Computer nach Informationen über seinen eigenen Namen fragte, das Netzwerk überprüfte, in der Registry nachsah oder versuchte, auf den Speicher zuzugreifen. Die Forscher verwandelten diese Beobachtungen in eine einfache Liste von Ja-Nein-Indikatoren und erstellten so ein kompaktes Profil für jedes Programm.
Die Forscher testeten dann mehrere verschiedene Arten von Modellen der künstlichen Intelligenz, um zu sehen, welches aus diesen kurzen Listen von Aktionen am besten lernen konnte. Sie probierten fünf verschiedene neuronale Netzarchitekturen aus – dies sind Computersysteme, die vom menschlichen Gehirn inspiriert sind –, einschließlich einiger, die typischerweise für die Verarbeitung langer Sequenzen wie Sprache oder Text verwendet werden. Sie testeten auch eine Methode, die einige der weniger wichtigen Aktionen entfernte, um zu sehen, ob eine kleinere Liste die KI intelligenter machen würde. Die Ergebnisse zeigten, dass für diese spezifische Art von kurzen, einfachen Daten das direkteste neuronale Netzdesign allein am besten abschnitt und den Programmtyp zu etwa 94 Prozent korrekt identifizierte. Interessanterweise boten die komplexeren Modelle, die für lange Sequenzen entwickelt wurden, keinen signifikanten Vorteil, was darauf hindeutet, dass für diese spezifische Aufgabe ein einfacherer Ansatz effektiver war.
Um die Genauigkeit noch weiter zu steigern, kombinierte das Team zwei verschiedene Arten von KI-Modellen zu einem einzigen, geschichteten System. Sie verwendeten das direkte neuronale Netz, um eine erste Vermutung über die Identität des Programms abzugeben, und leiteten diese Vermutung dann an ein zweites, leistungsstarkes baumbasiertes Modell weiter, um die endgültige Entscheidung zu verfeinern. Dieser kombinierte Ansatz, bekannt als Stacking, verbesserte die Leistung des Systems und steigerte die Genauigkeit auf etwas über 95 Prozent. Das System war besonders gut darin, zwischen den verschiedenen Ransomware-Familien zu unterscheiden, wobei die AUC-Werte für jede spezifische Art zwischen 0,92 und 0,99 lagen. Dennoch unterlief dem System noch Fehler; es verwechselte gelegentlich ein sicheres Programm mit einer Ransomware-Familie oder mischte zwei verschiedene Arten von Ransomware miteinander.
Die Studie kommt zu dem Schluss, dass das Beobachten dieser frühen, niedrigen Aktionen ein gangbarer Weg ist, um Ransomware zu erfassen, bevor sie Schaden anrichtet, und dass die Kombination verschiedener KI-Methoden die Erkennung zuverlässiger machen kann. Dennoch weisen die Forscher vorsichtig darauf hin, dass dieser Erfolg in einer kontrollierten Umgebung mit einem spezifischen Satz bekannter Programme erzielt wurde. Das System wurde noch nicht gegen neue, unbekannte Arten von Ransomware oder in der chaotischen Echtzeitumgebung eines geschäftigen Unternehmensnetzwerks getestet. Obwohl die Ergebnisse vielversprechend sind, dient die Arbeit eher als ein starker Beweis der Machbarkeit (Proof of Concept) als als ein fertiges Produkt für den sofortigen Einsatz. Sie zeigt, dass es mit den richtigen Daten und einer klugen Kombination von Werkzeugen möglich ist, die subtilen Anzeichen eines digitalen Angriffs zu erkennen, bevor die erste Datei gesperrt wird.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.