RABIS:Ransomware Analysis Based on Information Theory and System Calls

デジタル世界において、コンピュータプログラムが行うあらゆる動作は、オペレーティングシステムへの一連のリクエストとして記録されます。プログラムがファイルを開いたり、文書を保存したり、ネットワークに接続したりする必要があるとき、それはコンピュータの核となるソフトウェアにそれを実行するよう依頼しなければなりません。これらのリクエストは「システムコール」と呼ばれます。数十年にわたり、セキュリティの専門家たちは、トラブルを察知するためにこれらのリクエストを監視してきました。その論理は非常に明快です。ワードプロセッサやウェブブラウザのような通常のプログラムは、予測不可能なパターンで考え、クリックし、タイピングする人間ユーザーに反応しているため、複雑で多様な動きを見せます。そのため、コンピュータへのリクエストも多様で不規則になります。しかし、悪意のあるプログラムは、多くの場合、単一の硬直した目的を持っています。もしその目的がデータの窃取や破壊であるならば、そのプログラムは、数千ものファイルを開き、読み取り、暗号化し、名前を変更するという同じ動作を、執拗かつ機械的なリズムで何度も繰り返します。この反復的な性質は、日常的なソフトウェアの混沌としたノイズとは異なる、独特の指紋を残すのです。

インドの国立法医学大学（National Forensic Sciences University）とハイデラバードのC.R.ラオ数理科学研究所の研究者たちは、このリズムを測定することによって、これらの悪意のあるプログラムを捕まえる新しい方法を開発しました。彼らはこの手法を「RABIS」と呼んでいます。ハッカーが容易に変更できてしまうような、特定のウイルスの名前やコードを認識しようとするのではなく、このアプローチはプログラムの振る舞いの統計的パターンに着目します。彼らはシステムコールのシーケンスをデータストリームとして扱い、その中にどれほどの多様性が存在するのかを測定します。彼らの見解では、健全なプログラムは驚きと多様性に満ちていますが、ランサムウェアプログラムは退屈なほど予測可能です。予測不可能性のレベルを表す値を算出することで、彼らはウイルスが何と呼ばれているか、あるいはどのように構築されたかを知ることなく、危険なプログラムと安全なプログラムを区別することができます。

このアイデアをテストするために、チームは安全なソフトウェアと危険なソフトウェアの両方の動きを観察できる制御された環境を作成しました。彼らは、テキストエディタ、電卓、ウェブブラウザ、およびシステム管理者が使用するコマンドラインツールなど、150の例として日常的な通常のプログラムを集めました。また、Conti、REvil、Monti、SougoLockといった名称で知られる、4つの明確で実在するランサムウェアのサンプルも入手しました。これらの悪意のあるプログラムは、ユーザーのファイルをロックし、鍵と引き換えに金を要求するように設計されています。研究者たちは、これらすべてのプログラムを、実際のユーザーのハードドライブをシミュレートした大量のファイルコレクションを含むコンピュータシステム上で実行しました。各プログラムが実行されるたびに、モニタリングツールがオペレーティングシステムに対して行われたすべてのリクエストを記録し、その振る舞いの詳細なログを作成しました。

彼らの調査の核心は、これらの長いログを、3つのリクエストずつの重なり合う小さなグループに分割することにありました。そして、それぞれの特定の3つのグループがどの程度の頻度で出現するかをカウントしました。通常のプログラムの場合、ログには多様なグループの混合が見られ、単一のパターンが頻繁に繰り返されることはありませんでした。しかし、悪意のあるプログラムは、全く異なる様相を見せました。ランサムウェアはファイルを次々と同様の方法で処理しなければならないため、全く同じリクエストのシーケンスを繰り返し続けました。研究者たちは、「エントロピー」として知られる数学的概念を用いて、この違いを定量化しました。簡単に言えば、エントロピーはデータの集合の中にどれほどの無秩序さやランダムさが存在するかを測定するものです。高いエントロピーは、データが多様で予測困難であることを意味し、これは彼らが安全なプログラムで見出したものです。低いエントロピーは、データが反復的で予測可能であることを意味し、これは彼らがランサムウェアに見出したものです。

結果は驚くべきものでした。チームがこの手法を適用した際、悪意のあるプログラムは群衆の中から明確に浮き彫りになりました。4つのランサムウェアのサンプルはすべて非常に低いエントロピー値を示し、その反復的で機械的な性質を裏付けました。150の安全なプログラムは、より高い値を示し、それらの複雑で多様な振る舞いを反映していました。システムは、すべてのランサムウェアサンプルを危険であると正しく識別しました。ただし、特定の反復作業を行うプログラム、具体的には一部のバックアップツールや多くのファイルをスキャンするアンチウイルスソフトウェアなどのために、少数の安全なプログラムを脅威として誤分類しました。しかし、この手法の全体的な精度は98.05パーセントに達しました。研究者たちは、ランサムウェアが暗号化しようとするファイルのコレクションが大きければ大きいほど、その反復的なパターンはより鮮明になり、検知がさらに容易になることを発見しました。

このアプローチは、複雑な人工知能モデルや既知のウイルス署名の膨大なデータベースに依存する古い手法に対して、大きな優位性を提供します。それらの古いシステムは、計算能力を大量に必要とし、動作が重くなりがちであり、ハッカーがウイルスをわずかに変更して新しいものに見せかけた場合に失敗することがよくあります。RABIS手法は、パターンのカウントと多様性の測定を行うだけなので、軽量で高速です。動作するために何千ものマルウェアの例に対して学習させる必要はなく、ただ「人間が駆動するプログラムの混沌とした振る舞い」と「機械が駆動する攻撃の硬直した反復的な振る舞い」の違いを理解すればよいのです。研究者たちは、ソフトウェアがコンピュータとどのように対話するかという根本的なリズムに焦点を当てることで、たとえそのウイルスが未だ見ぬものであっても、ランサムウェア攻撃が発生している最中にそれを検知できることを証明しました。

この手法は非常に効果的ですが、研究者たちはそれが完璧ではないことも認めています。脅威としてフラグが立てられた数少ない安全なプログラムは、攻撃者の振る舞いを模倣することがある、自然に反復的なファイル操作を行うプログラムでした。これに対処するため、チームは、将来のバージョンのシステムにおいて、処理されているファイルの数やプロセスの実行速度といった活動のコンテキスト（文脈）を見ることで、これらの誤検知を減らすことができると提案しています。彼らはまた、テストした特定のオペレーティングシステムだけでなく、異なる種類のコンピュータ全体で動作するようにシステムを拡張する計画もあります。現時点において、この研究は、ソフトウェアの振る舞い方に対する単純な統計的視点が、最も破壊的なサイバー犯罪の一形態に対する強力な盾となり得ることを証明しており、その「想像力の欠如」によって脅威を特定する方法を提示しています。