Proactive Ransomware Family Detection from Pre-Encryption API Behavior Using ANN–LightGBM Stacking
Questo studio dimostra che un modello di stacking eterogeneo ANN–LightGBM, che utilizza 23 indicatori delle API di Windows pre-crittografia, può raggiungere un'elevata accuratezza (95,20%) nella classificazione delle famiglie di ransomware e del software benigno, offrendo un meccanismo di difesa proattivo che supera le architetture neurali autonome, pur evidenziando la necessità di ulteriori validazioni esterne.
Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo digitale, un tipo specifico di software malevolo noto come ransomware agisce come un rapitore digitale. Una volta infiltratosi in un computer, blocca i file dell'utente, esigendo un pagamento per il loro rilascio. Per anni, gli esperti di sicurezza hanno cercato di fermare questi attacchi cercando le impronte digitali uniche di programmi dannosi noti. Tuttavia, i criminali cambiano costantemente queste impronte, rendendo i vecchi metodi meno efficaci. Un approccio più moderno consiste nell'osservare come si comporta un programma nel momento stesso in cui inizia a essere eseguito. Prima che un programma ransomware inizi il suo lavoro distruttivo di cifratura dei file, deve prima compiere una serie di passi preparatori, come controllare le impostazioni del computer o cercare altri programmi. Queste prime azioni lasciano una scia di impronte digitali che possono rivelare la vera natura del programma prima che venga fatto qualsiasi danno. La sfida risiede nel distinguere questi primi passi sospetti dalle azioni normali e innocue che ogni programma informatico compie quotidianamente.
Un team di ricercatori dell'Università di Benha si è posto l'obiettivo di risolvere questo problema creando un sistema in grado di identificare diverse famiglie di ransomware basandosi proprio su questi comportamenti precoci. Si sono concentrati su una finestra temporale specifica: i momenti precedenti l'effettiva cifratura dei file. Per farlo, hanno raccolto una collezione di 3.432 programmi informatici, inclusi cinque tipi distinti di ransomware e un gruppo di programmi sicuri e benigni. Ogni programma è stato analizzato per 23 azioni specifiche che compie quando viene avviato. Queste azioni consistevano nel chiedere al computer informazioni sul proprio nome, controllare la rete, esaminare il registro o tentare di accedere alla memoria. I ricercatori hanno trasformato queste osservazioni in una semplice lista di indicatori sì-o-no, creando un profilo compatto per ogni programma.
I ricercatori hanno poi testato diversi tipi di modelli di intelligenza artificiale per vedere quale potesse apprendere meglio da queste brevi liste di azioni. Hanno provato cinque diversi design di reti neurali, ovvero sistemi informatici ispirati al cervello umano, inclusi alcuni tipicamente utilizzati per l'elaborazione di lunghe sequenze di dati come il parlato o il testo. Hanno anche testato un metodo che rimuoveva alcune delle azioni meno importanti per vedere se una lista più piccola rendesse l'IA più intelligente. I risultati hanno mostrato che, per questo specifico tipo di dati brevi e semplici, il design di rete neurale più diretto era in realtà il migliore da solo, identificando correttamente il tipo di programma circa il 94 percento delle volte. Interessante notare che i modelli più complessi progettati per lunghe sequenze non offrivano un vantaggio significativo, suggerendo che per questo compito specifico un approccio più semplice fosse più efficace.
Per spingere l'accuratezza ancora più in alto, il team ha combinato due diversi tipi di modelli di IA in un unico sistema a strati. Hanno utilizzato la rete neurale diretta per fare un primo tentativo di identificazione dell'identità del programma e poi hanno passato quel tentativo a un secondo modello basato su alberi, più potente, per raffinare la decisione finale. Questo approccio combinato, noto come stacking, ha migliorato le prestazioni del sistema, portando l'accuratezza a poco più del 95 percento. Il sistema è stato particolarmente bravo a distinguere tra le diverse famiglie di ransomware, con punteggi AUC compresi tra 0,92 e 0,99 per ogni tipo specifico. Tuttavia, il sistema commetteva ancora degli errori, confondendo occasionalmente un programma sicuro con una famiglia di ransomware o mescolando due diversi tipi di ransomware tra loro.
Lo studio conclude che osservare queste azioni precoci e di basso livello è un modo praticabile per intercettare il ransomware prima che causi danni, e che combinare diversi metodi di IA può rendere il rilevamento più affidabile. Tuttavia, i ricercatori avvertono con cautela che questo successo è stato ottenuto in un ambiente controllato utilizzando un set specifico di programmi noti. Il sistema non è ancora stato testato contro nuovi tipi di ransomware non ancora visti o nell'ambiente caotico e in tempo reale di una rete aziendale frenetica. Sebbene i risultati siano promettenti, il lavoro funge da forte prova di concetto piuttosto che da prodotto finito pronto per l'impiego immediato. Dimostra che con i dati giusti e una combinazione intelligente di strumenti, è possibile individuare i segni sottili di un attacco digitale prima che avvenga la prima cifratura dei file.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.