RABIS:Ransomware Analysis Based on Information Theory and System Calls

Dans le monde numérique, chaque action entreprise par un programme informatique est enregistrée sous la forme d'une série de requêtes adressées au système d'exploitation. Lorsqu'un programme doit ouvrir un fichier, enregistrer un document ou se connecter à un réseau, il doit demander au logiciel central de l'ordinateur de le faire. Ces requêtes sont appelées appels système. Depuis des décennies, les experts en sécurité surveillent ces requêtes pour repérer les problèmes. La logique est simple : un programme normal, comme un traitement de texte ou un navigateur Web, se comporte de manière complexe et variée car il répond à un utilisateur humain qui réfléchit, clique et tape selon des schémas imprévisibles. Ses requêtes à l'ordinateur sont diverses et irrégulières. Un programme malveillant, en revanche, a souvent un objectif unique et rigide. Si cet objectif est de voler ou de détruire des données, le programme répétera les mêmes quelques actions encore et encore, demandant à l'ordinateur d'ouvrir, de lire, de chiffrer et de renommer des milliers de fichiers selon un rythme incessant et mécanique. Cette nature répétitive laisse une empreinte distincte qui diffère du bruit chaotique des logiciels quotidiens.

Des chercheurs de l'Université nationale des sciences forensiques en Inde et de l'Institut avancé de mathématiques C. R. Rao à Hyderabad ont développé une nouvelle façon de capturer ces programmes malveillants en mesurant ce rythme. Ils appellent leur méthode RABIS. Au lieu d'essayer de reconnaître un virus spécifique par son nom ou son code, que les pirates peuvent facilement modifier, cette approche examine le motif statistique du comportement du programme. Ils traitent la séquence des appels système comme un flux de données et mesurent la quantité de variété qui existe en son sein. Dans leur vision, un programme sain est plein de surprises et de variété, tandis qu'un programme de rançongiciel est d'une prévisibilité ennuyeuse. En calculant une valeur qui représente ce niveau d'imprévisibilité, ils peuvent séparer les programmes dangereux des programmes sûrs sans avoir besoin de savoir exactement comment le virus est nommé ou comment il a été construit.

Pour tester cette idée, l'équipe a créé un environnement contrôlé où elle pouvait observer à la fois des logiciels sûrs et dangereux en action. Ils ont rassemblé 150 exemples de programmes normaux et quotidiens, tels que des éditeurs de texte, des calculatrices, des navigateurs Web et des outils de ligne de commande utilisés par les administrateurs système. Ils ont également obtenu quatre échantillons de rançongiciels réels et distincts, connus sous des noms tels que Conti, REvil, Monti et SougoLock. Ces programmes malveillants sont conçus pour verrouiller les fichiers d'un utilisateur et exiger de l'argent pour la clé. Les chercheurs ont exécuté tous ces programmes sur un système informatique contenant une large collection de fichiers, simulant ainsi le disque dur d'un utilisateur réel. À mesure que chaque programme s'exécutait, un outil de surveillance enregistrait chaque requête qu'il faisait au système d'exploitation, créant un journal détaillé de son comportement.

Le cœur de leur investigation consistait à diviser ces longs journaux en petits groupes de trois requêtes se chevauchant à la fois. Ils ont ensuite compté la fréquence à laquelle chaque groupe spécifique de trois apparaissait. Pour les programmes normaux, les journaux montraient un large mélange de différents groupes, sans qu'un seul motif ne se répète trop souvent. Les programmes malveillants, cependant, présentaient une image très différente. Parce qu'un rançongiciel doit traiter fichier après fichier de la même manière, il répétait sans cesse la même séquence exacte de requêtes. Les chercheurs ont utilisé un concept mathématique appelé entropie pour quantifier cette différence. En termes simples, l'entropie mesure le degré de désordre ou de hasard présent dans un ensemble de données. Une entropie élevée signifie que les données sont variées et difficiles à prédire, ce qui est ce qu'ils ont observé dans les programmes sûrs. Une entropie faible signifie que les données sont répétitives et prévisibles, ce qui est précisément ce qu'ils ont trouvé dans le rançongiciel.

Les résultats étaient frappants. Lorsque l'équipe a appliqué sa méthode, les programmes malveillants se sont clairement distingués de la foule. Les quatre échantillons de rançongiciels présentaient tous des valeurs d'entropie très faibles, confirmant leur nature répétitive et mécanique. Les 150 programmes sûrs présentaient des valeurs beaucoup plus élevées, reflétant leur comportement complexe et varié. Le système a correctement identifié chaque échantillon de rançongiciel comme étant dangereux. Il a mal classé un petit nombre de programmes sûrs comme des menaces, spécifiquement ceux qui effectuent des tâches répétitives, comme certains outils de sauvegarde ou des logiciels antivirus qui scannent de nombreux fichiers. Cependant, la précision globale de la méthode a atteint 98,05 pour cent. Les chercheurs ont constaté que plus la collection de fichiers que le rançongiciel tentait de chiffrer était grande, plus son motif répétitif devenait clair, ce qui le rendait encore plus facile à repérer.

Cette approche offre un avantage significatif par rapport aux anciennes méthodes qui reposent sur des modèles d'intelligence artificielle complexes ou de vastes bases de données de signatures de virus connues. Ces anciens systèmes peuvent être lents, nécessiter une puissance de calcul importante et échouer souvent lorsqu'un pirate modifie légèrement un virus pour le faire paraître nouveau. La méthode RABIS est légère et rapide car elle se contente de compter les motifs et de mesurer leur variété. Elle n'a pas besoin d'être entraînée sur des milliers d'exemples de logiciels malveillants pour fonctionner ; elle doit seulement comprendre la différence entre le comportement chaotique d'un programme piloté par l'homme et le comportement rigide et répétitif d'une attaque pilotée par une machine. Les chercheurs ont démontré qu'en se concentrant sur le rythme fondamental de la manière dont les logiciels communiquent avec l'ordinateur, ils peuvent détecter une attaque de rançongiciel pendant qu'elle se produit, même si le virus n'a jamais été vu auparavant.

Bien que la méthode soit très efficace, les chercheurs reconnaissent qu'elle n'est pas parfaite. Les quelques programmes sûrs qui ont été signalés comme des menaces étaient ceux qui effectuent naturellement des opérations de fichiers répétitives, ce qui peut parfois imiter le comportement d'un attaquant. Pour gérer cela, l'équipe suggère que les futures versions du système pourraient examiner le contexte de l'activité, comme le nombre de fichiers touchés ou la vitesse à laquelle le processus s'exécute, afin de réduire ces fausses alarmes. Ils prévoient également d'étendre le système pour qu'il fonctionne sur différents types d'ordinateurs, et pas seulement sur le système d'exploitation spécifique qu'ils ont testé. Pour l'instant, l'étude prouve qu'un regard statistique simple sur la façon dont les logiciels se comportent peut être un bouclier puissant contre l'une des formes les plus destructrices de cybercriminalité, offrant un moyen de repérer la menace par son manque d'imagination.