RansomTrack: A Hybrid Behavioral Analysis Framework for Ransomware Detection

1. Il Problema

Il ransomware rappresenta una delle minacce informatiche più critiche, capace di crittografare dati e interrompere servizi essenziali in pochi secondi. Nonostante i progressi nelle tecniche di analisi, la rilevazione rimane una sfida a causa delle strategie di evasione sofisticate:

• Limitazioni dell'Analisi Statica: Spesso inefficace a causa di tecniche di offuscamento, packing (es. UPX, Themida) e manipolazione del flusso di controllo che nascondono il payload reale fino all'esecuzione.
• Limitazioni dell'Analisi Dinamica: I malware moderni sono "consapevoli dell'ambiente" (sandbox-aware), rilevando ambienti virtualizzati, ritardando l'esecuzione o attivandosi solo in risposta a interazioni utente (mouse, tastiera) per eludere le analisi automatizzate.
• Necessità di Soluzioni Ibride: Esiste un urgente bisogno di sistemi di rilevamento a bassa latenza che combinino i punti di forza di entrambi gli approcci per identificare il ransomware prima che completi la crittografia.

2. Metodologia: Il Framework RansomTrack

Gli autori propongono RansomTrack, un framework ibrido che integra analisi statica e dinamica per estrarre caratteristiche comportamentali robuste. Il processo si articola in quattro fasi principali:

A. Raccolta del Dataset

• Composizione: Un dataset pubblico di 2.410 campioni (1.205 ransomware e 1.205 software benigni).
• Diversità: Copre 165 famiglie di ransomware distinte (inclusi LockBit, Conti, Dharma, ecc.), offrendo il rapporto famiglia-campione più alto nella letteratura esistente.
• Formato: File eseguibili Windows a 32-bit (PE32).
• Fonti: MalwareBazaar, VirusTotal e dataset di ricerca precedenti (Moreira et al.).

B. Estrazione delle Caratteristiche Statiche (Radare2)

• Strumento: Utilizzo di Radare2 e della sua interfaccia Python (r2pipe) per il reverse engineering.
• Metodo: Disassemblaggio dei binari per estrarre sequenze di opcode (codice macchina).
• Output: Vettori di frequenza degli opcode (1.002 feature uniche) che catturano pattern strutturali come routine di crittografia, offuscamento del flusso di controllo e tecniche anti-debugging.

C. Estrazione delle Caratteristiche Dinamiche (Frida)

• Strumento: Utilizzo di Frida, uno strumento di strumentazione runtime leggero, per monitorare l'esecuzione in un ambiente sandbox controllato (Windows 10).
• Metodo: Iniezione di hook JavaScript per tracciare le chiamate alle API di Windows e le modifiche alla memoria in tempo reale.
• Aree Monitorate:
  1. Creazione di Mutex: Per rilevare l'esecuzione singola o l'evasione.
  2. Cambiamenti di Protezione della Memoria: (es. VirtualProtect) per rilevare unpacking o iniezione di shellcode.
  3. Manipolazione del Registro: Per rilevare persistenza o modifiche alle impostazioni di sicurezza.
  4. Operazioni sul File System: Creazione, scrittura, spostamento e cancellazione di file (comportamento critico per la crittografia).
  5. Attività di Rete e Shell: Connessioni C2 (Command and Control) ed esecuzione di comandi.
• Output: Tracciati comportamentali dettagliati (5.024 feature dinamiche).

D. Integrazione e Modelli di Machine Learning

• Fusione: Le feature statiche e dinamiche vengono combinate in un set ibrido.
• Selezione delle Feature: Utilizzo dell'analisi di correlazione di Pearson per categorizzare le feature in gruppi specifici per classe (benigno, ransomware o condivisi).
• Algoritmi: Vengono testati vari classificatori (Random Forest, XGBoost, MLP, Logistic Regression, KNN) e un modello di Soft Voting Ensemble.
• Interpretabilità: Utilizzo di SHAP (SHapley Additive exPlanations) per spiegare le decisioni del modello e identificare le feature più influenti.

3. Contributi Chiave

1. Dataset Pubblico Ibrido: Rilascio di un dataset di alta qualità con 165 famiglie di ransomware, che supera i limiti di diversità e copertura delle risorse esistenti.
2. Pipeline a Bassa Latenza: Un processo di rilevamento completo che richiede meno di 9,2 secondi per campione, rendendolo adatto per l'analisi quasi in tempo reale.
3. Architettura Modulare: Integrazione di Radare2 e Frida che garantisce riproducibilità e resilienza senza richiedere hypervisor complessi o kernel-level monitoring.
4. Interpretabilità (Explainable AI): Implementazione di SHAP per fornire trasparenza sulle decisioni di classificazione, evidenziando i comportamenti critici (es. modifiche alla memoria, chiamate API specifiche).

4. Risultati Sperimentali

L'valutazione è stata condotta su un ambiente virtuale Windows 10 con 8GB di RAM.

• Prestazioni di Classificazione:
  • I modelli ensemble, in particolare XGBoost e Soft Voting, hanno raggiunto le prestazioni migliori.
  • Accuratezza: Fino al 96%.
  • F1-Score: 0,96.
  • ROC-AUC: 0,99, indicando una capacità eccezionale di distinguere tra malware e software benigno.
• Analisi dei Modelli:
  • Soft Voting: Offre la massima sensibilità (minimo numero di falsi negativi), ideale per scenari critici dove la rilevazione è prioritaria rispetto alla velocità.
  • XGBoost: Offre un'inferenza estremamente rapida (0,05 secondi per campione dopo l'estrazione), adatto per la protezione degli endpoint in tempo reale.
• Tempo di Esecuzione:
  • Estrazione feature statiche: ~6,1 secondi.
  • Esecuzione dinamica e raccolta feature: ~3 secondi.
  • Preprocessing e classificazione: < 0,1 secondi.
  • Totale: ~9,1-9,2 secondi per campione.
• Interpretazione SHAP: Ha confermato che le feature discriminanti includono istruzioni assembly specifiche per l'offuscamento (es. NOP, INT3) e chiamate API legate alla manipolazione della memoria e del registro, tipiche del ransomware.

5. Significato e Impatto

Il lavoro di RansomTrack è significativo per diversi motivi:

• Superamento delle Evasioni: Combinando segnali statici (strutturali) e dinamici (comportamentali), il framework riduce la superficie di attacco per le tecniche di evasione che funzionano su un solo tipo di analisi.
• Efficienza Operativa: Dimostra che è possibile ottenere un'analisi approfondita e ad alta accuratezza senza i costi computazionali elevati dei sandbox tradizionali o delle soluzioni a livello di kernel.
• Scalabilità: La modularità del framework e la bassa latenza lo rendono adatto per l'integrazione in centri operativi di sicurezza (SOC), agenti di protezione degli endpoint e sistemi di triage forense.
• Trasparenza: L'uso di SHAP risolve il problema della "scatola nera" nel machine learning, fornendo agli analisti di sicurezza spiegazioni chiare sul perché un file è stato classificato come ransomware.

In conclusione, RansomTrack rappresenta un passo avanti verso sistemi di rilevamento del ransomware che sono non solo precisi e robusti, ma anche veloci, scalabili e interpretabili, affrontando direttamente le sfide poste dalle minacce moderne.