Proactive Ransomware Family Detection from Pre-Encryption API Behavior Using ANN–LightGBM Stacking
Cette étude démontre qu'un modèle de stacking hétérogène ANN–LightGBM utilisant 23 indicateurs d'API Windows pré-chiffrement peut atteindre une précision élevée (95,20 %) dans la classification des familles de rançongiciels et des logiciels bénins, offrant un mécanisme de défense proactif qui surpasse les architectures neuronales autonomes tout en soulignant la nécessité d'une validation externe supplémentaire.
Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde numérique, un type spécifique de logiciel malveillant connu sous le nom de rançongiciel (ransomware) agit comme un preneur d'otages numérique. Une fois qu'il infiltre un ordinateur, il verrouille les fichiers de l'utilisateur, exigeant un paiement pour leur libération. Depuis des années, les experts en sécurité tentent d'arrêter ces attaques en recherchant les empreintes numériques uniques de programmes malveillants connus. Cependant, les criminels modifient constamment ces empreintes, rendant les anciennes méthodes moins efficaces. Une approche plus moderne consiste à observer comment un programme se comporte dès qu'il commence à s'exécuter. Avant qu'un programme de rançongiciel ne commence son travail destructeur de chiffrement de fichiers, il doit d'abord effectuer une série d'étapes préparatoires, telles que vérifier les paramètres de l'ordinateur ou rechercher d'autres programmes. Ces actions précoces laissent une trace d'empreintes numériques qui peuvent révéler la véritable nature du programme avant que les dommages ne soient causés. Le défi consiste à distinguer ces étapes préliminaires suspectes des actions normales et inoffensives que chaque programme informatique effectue quotidiennement.
Une équipe de chercheurs de l'Université de Benha s'est donné pour mission de résoudre ce problème en créant un système capable d'identifier différentes familles de rançongiciels sur la base de ces comportements très précoces. Ils se sont concentrés sur une fenêtre de temps spécifique : les instants précédant le début du chiffrement effectif des fichiers. Pour ce faire, ils ont rassemblé une collection de 3 432 programmes informatiques, comprenant cinq types distincts de rançongiciels et un groupe de programmes sains et bénins. Chaque programme a été analysé selon 23 actions spécifiques qu'il a entreprises lors de son démarrage. Ces actions consistaient en le fait pour le programme de demander à l'ordinateur des informations sur son propre nom, de vérifier le réseau, d'examiner le registre ou de tenter d'accéder à la mémoire. Les chercheurs ont transformé ces observations en une simple liste d'indicateurs oui ou non, créant ainsi un profil compact pour chaque programme.
Les chercheurs ont ensuite testé plusieurs types différents de modèles d'intelligence artificielle pour voir lequel pouvait le mieux apprendre à partir de ces listes courtes d'actions. Ils ont essayé cinq conceptions différentes de réseaux de neurones, des systèmes informatiques inspirés du cerveau humain, incluant certains qui sont typiquement utilisés pour traiter de longues séquences de données comme la parole ou le texte. Ils ont également testé une méthode qui supprimait quelques-unes des actions les moins importantes pour voir si une liste plus courte rendrait l'IA plus intelligente. Les résultats ont montré que pour ce type spécifique de données courtes et simples, la conception de réseau de neurones la plus directe était en fait la plus performante par elle-même, identifiant correctement le type de programme environ 94 pour cent du temps. Curieusement, les modèles plus complexes conçus pour les séquences longues n'ont pas offert d'avantage significatif, suggérant que pour cette tâche spécifique, une approche plus simple était plus efficace.
Pour pousser la précision encore plus haut, l'équipe a combiné deux types différents de modèles d'IA en un système unique et stratifié. Ils ont utilisé le réseau de neurones direct pour faire une première supposition sur l'identité du programme, puis ont transmis cette supposition à un second modèle puissant basé sur les arbres pour affiner la décision finale. Cette approche combinée, appelée empilement (stacking), a amélioré la performance du système, portant la précision à un peu plus de 95 pour cent. Le système était particulièrement doué pour distinguer les différentes familles de rançongiciels, avec des scores AUC allant de 0,92 à 0,99 pour chaque type spécifique. Cependant, le système commettait encore des erreurs, confondant parfois un programme sûr avec une famille de rançongiciels ou mélangeant deux types différents de rançongiciels entre eux.
L'étude conclut que l'observation de ces actions précoces et de bas niveau est un moyen viable de détecter les rançongiciels avant qu'ils ne causent de dommages, et que la combinaison de différentes méthodes d'IA peut rendre la détection plus fiable. Pourtant, les chercheurs précisent avec prudence que ce succès a été obtenu dans un environnement contrôlé utilisant un ensemble spécifique de programmes connus. Le système n'a pas encore été testé contre de nouveaux types de rançongiciels inconnus ou dans l'environnement chaotique et en temps réel d'un réseau d'entreprise très actif. Bien que les résultats soient prometteurs, ce travail sert de preuve de concept solide plutôt que de produit fini prêt pour un déploiement immédiat. Il démontre qu'avec les bonnes données et une combinaison intelligente d'outils, il est possible de repérer les signes subtils d'une attaque numérique avant le premier verrouillage de fichier.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.