RABIS:Ransomware Analysis Based on Information Theory and System Calls

Nel mondo digitale, ogni azione intrapresa da un programma perimetrale viene registrata come una serie di richieste al sistema operativo. Quando un programma deve aprire un file, salvare un documento o connettersi a una rete, deve chiedere al software centrale del computer di farlo. Queste richieste sono chiamate chiamate di sistema (system calls). Per decenni, gli esperti di sicurezza hanno osservato queste richieste per individuare problemi. La logica è semplice: un programma normale, come un elaboratore di testi o un browser web, si comporta in modo complesso e vario perché risponde a un utente umano che pensa, clicca e digita in schemi imprevedibili. Le sue richieste al computer sono diverse e irregolari. Un programma malevolo, invece, ha spesso un obiettivo unico e rigido. Se questo obiettivo è rubare o distruggere dati, il programma ripeterà le stesse poche azioni ripetutamente, chiedendo al computer di aprire, leggere, crittografare e rinominare migliaia di file in un ritmo implacabile e meccanico. Questa natura ripetitiva lascia un'impronta digitale distinta, diversa dal rumore caotico del software quotidiano.

I ricercatori della National Forensic Sciences University in India e del C. R. Rao Advanced Institute of Mathematics a Hyderabad hanno sviluppato un nuovo modo per catturare questi programmi malevoli misurando quel ritmo. Chiamano il loro metodo RABIS. Invece di cercare di riconoscere un virus specifico tramite il suo nome o il suo codice, che gli hacker possono facilmente modificare, questo approccio osserva il modello statistico del comportamento del programma. Trattano la sequenza di chiamate di sistema come un flusso di dati e misurano quanta varietà esiste al suo interno. Nella loro visione, un programma sano è pieno di sorprese e varietà, mentre un ransomware è noiosamente prevedibile. Calcolando un valore che rappresenta questo livello di imprevedibilità, possono separare i programmi pericolosi da quelli sicuri senza dover sapere esattamente come si chiama il virus o come è stato costruito.

Per testare questa idea, il team ha creato un ambiente controllato in cui potessero osservare sia software sicuri che pericolosi in azione. Hanno raccolto 150 esempi di programmi normali e quotidiani, come editor di testo, calcolatrici, browser web e strumenti a riga di comando utilizzati dagli amministratori di sistema. Hanno anche ottenuto quattro campioni distinti di ransomware reali, noti con nomi come Conti, REvil, Monti e SougoLock. Questi programmi malevoli sono progettati per bloccare i file di un utente e richiedere denaro per la chiave. I ricercatori hanno eseguito tutti questi programmi su un sistema informatico che conteneva una vasta collezione di file, simulando l'hard drive di un utente reale. Mentre ogni programma veniva eseguito, uno strumento di monitoraggio registrava ogni singola richiesta effettuata al sistema operativo, creando un log dettagliato del suo comportamento.

Il cuore della loro indagine consisteva nel suddividere questi lunghi log in piccoli gruppi sovrapposti di tre richieste alla volta. Hanno poi contato quanto spesso ogni specifico gruppo di tre appariva. Per i programmi normali, i log mostravano un ampio mix di gruppi diversi, senza che un singolo schema si ripetesse troppo spesso. I programmi malevoli, tuttavia, mostravano un quadro molto diverso. Poiché il ransomware deve elaborare file dopo file nello stesso modo, continuava a ripetere esattamente la stessa sequenza di richieste. I ricercatori hanno utilizzato un concetto matematico noto come entropia per quantificare questa differenza. In termini semplici, l'entropia misura quanto disordine o casualità è presente in un insieme di dati. Un'alta entropia significa che i dati sono vari e difficili da prevedere, il che è ciò che hanno visto nei programmi sicuri. Una bassa entropia significa che i dati sono ripetitivi e prevedibili, che è esattamente ciò che hanno trovato nel ransomware.

I risultati sono stati sorprendenti. Quando il team ha applicato il loro metodo, i programmi malevoli si sono distinti chiaramente dalla massa. I quattro campioni di ransomware hanno mostrato tutti valori di entropia molto bassi, confermando la loro natura ripetitiva e meccanica. I 150 programmi sicuri hanno mostrato valori molto più alti, riflettendo il loro comportamento complesso e vario. Il sistema ha identificato correttamente ogni singolo campione di ransomware come pericoloso. Ha classificato erroneamente un piccolo numero di programmi sicuri come minacce, specificamente quelli che eseguono compiti ripetitivi, come certi strumenti di backup o software antivirus che scansionano molti file. Tuttavia, l'accuratezza complessiva del metodo ha raggiunto il 98,05%. I ricercatori hanno scoperto che più grande era la collezione di file che il ransomware tentava di crittografare, più chiaro diventava il suo schema ripetitivo, rendendolo ancora più facile da individuare.

Questo approccio offre un vantaggio significativo rispetto ai metodi più vecchi che si affidano a complessi modelli di intelligenza artificiale o a enormi database di firme di virus conosciute. Quei sistemi più vecchi possono essere lenti, richiedere molta potenza di calcolo e spesso falliscono quando un hacker modifica leggermente un virus per farlo sembrare nuovo. Il metodo RABIS è leggero e veloce perché si limita a contare i pattern e misurare la loro varietà. Non ha bisogno di essere addestrato su migliaia di esempi di malware per funzionare; deve solo comprendere la differenza tra il comportamento caotico di un programma guidato da un essere umano e il comportamento rigido e ripetitivo di un attacco guidato da una macchina. I ricercatori hanno dimostnato che concentrandosi sul ritmo fondamentale di come il software comunica con il computer, possono rilevare un attacco ransomware mentre accade, anche se il virus non è mai stato visto prima.

Sebbene il metodo sia altamente efficace, i ricercatori riconoscono che non è perfetto. I pochi programmi sicuri che sono stati segnalati come minacce erano quelli che eseguono naturalmente operazioni ripetitive sui file, il che può talvolta mimare il comportamento di un attaccante. Per gestire questo, il team suggerisce che le versioni future del sistema potrebbero analizzare il contesto dell'attività, come quanti file vengono toccati o la velocità con cui il processo viene eseguito, per ridurre questi falsi allarmi. Pianificano anche di espandere il sistema affinché funzioni su diversi tipi di computer, non solo sul sistema operativo specifico che hanno testato. Per ora, lo studio dimostra che un semplice sguardo statistico al modo in cui il software si comporta può essere uno scudo potente contro una delle forme più distruttive di crimine informatico, offrendo un modo per individuare la minaccia attraverso la sua mancanza di immaginazione.