RansomTrack: A Hybrid Behavioral Analysis Framework for Ransomware Detection

Probleemstelling

Ransomware vormt een kritieke en snelwerkende bedreiging voor kritieke systemen, waarbij bestanden vaak binnen enkele seconden na uitvoering worden versleuteld. Traditionele detectiemethoden hebben aanzienlijke beperkingen:

• Statische analyse wordt vaak omzeild door technieken zoals obsfuscatie, packing (inpakken) en manipulatie van de controleflow. Ransomware gebruikt tools zoals UPX of Themida om de payload te verbergen totdat het wordt uitgevoerd.
• Dynamische analyse (sandboxing) kan worden omzeild door malware die bewust is van de omgeving (sandbox-aware), vertraagde uitvoering gebruikt, of wacht op gebruikersinteractie (bijv. muusbeweging) voordat het schadelijke acties start.

Er is een dringende behoefte aan een hybride, laag-latente en uitlegbare detectiemethode die zowel structurele als gedragsmatige signalen combineert om ransomware te identificeren voordat de versleuteling voltooid is.

Methodologie: Het RansomTrack Framework

Het paper introduceert RansomTrack, een hybride raamwerk dat statische en dynamische analyse combineert om een robuust detectiemodel te bouwen. Het proces verloopt in vier fasen:

1. Dataset Collectie:

   • Er is een publieke dataset samengesteld met 2.410 gelabelde Windows PE-bestanden (32-bit).
   • Dit omvat 1.205 ransomware-samples (afkomstig van 165 verschillende families, waaronder LockBit, Conti en Dharma) en 1.205 schone (benign) software-samples.
   • De dataset heeft een ongeëvenaarde ratio van families tot samples, wat zorgt voor grote diversiteit in gedragspatronen.

2. Statische Feature Extractie (Radare2):

   • Gebruikmakend van het Radare2-framework en de Python-interface r2pipe, worden binaries geanalyseerd zonder ze uit te voeren.
   • Er worden opcode-sequenties (machine-instructies) geëxtraheerd en gefilterd op bekende patronen.
   • Dit resulteert in een statische dataset met 1.002 unieke opcode-frequenties per sample.

3. Dynamische Feature Extractie (Frida):

   • Gebruikmakend van Frida (een instrumentatie-toolkit), worden binaries in een gecontroleerde omgeving (VirtualBox) uitgevoerd.
   • Er worden JavaScript-hooks ingebracht om runtime-gedrag te monitoren, specifiek gericht op zes kritieke gebieden:
     • Mutex-creatie (voor single-instance enforcement of sandbox-evasie).
     • Runtime geheugenrechten (bijv. wijziging naar PAGE_EXECUTE_READWRITE voor shellcode-injectie).
     • Registermanipulatie (voor persistentie).
     • Netwerk- en shell-activiteit (C2-communicatie).
     • Internet-connectiviteit.
     • Bestandsysteem-operaties (creëren, schrijven, verplaatsen, verwijderen).
   • Dit levert een dynamische dataset op met API-call-frequenties en geheugenflag-patronen.

4. Feature Integratie en Modellering:

   • De statische en dynamische datasets worden gecombineerd tot een hybride dataset.
   • Er wordt Pearson-correlatieanalyse toegepast om features te groeperen in: neutraal, specifiek voor ransomware, of specifiek voor schone software.
   • Verschillende machine learning-modellen worden getraind, waaronder Decision Trees, Random Forest (RF), XGBoost, MLP en een Soft Voting Ensemble.
   • SHAP (SHapley Additive exPlanations) wordt gebruikt om de modelvoorspellingen interpreteerbaar te maken en te bepalen welke features het meest bijdragen aan de classificatie.

Kernbijdragen

• Hybride Dataset: Een publiek beschikbare dataset met 165 ransomware-families en 2.410 samples, die de hoogste bekende ratio van families tot samples heeft in de literatuur.
• Laag-Latente Detectie: Een pijplijn die ransomware kan detecteren binnen 9,2 seconden per sample (inclusief feature extractie).
• Modulair Instrumentatie: Een reproduceerbaar framework dat Radare2 en Frida combineert voor zowel statische als dynamische analyse.
• Interpreteerbaarheid: Integratie van SHAP-waarden om kritieke gedragsindicatoren (zoals specifieke API-calls en opcode-patronen) te visualiseren en te verklaren.

Resultaten

De experimentele evaluatie toont aan dat hybride modellen significant beter presteren dan modellen die alleen statische of alleen dynamische features gebruiken:

• Prestaties: Het Soft Voting Ensemble en XGBoost bereikten de hoogste nauwkeurigheid van 96%, een precisie van 97%, een recall van 96% en een ROC-AUC score van 0,99.
• Vergelijking Modellen:
  • Soft Voting: Had de hoogste recall (minste false negatives), ideaal voor scenario's waar het missen van malware kritiek is, maar met een iets hogere rekentijd.
  • XGBoost: Biedt bijna onmiddellijke inferentie (0,05s per sample) met vergelijkbare hoge nauwkeurigheid, ideaal voor real-time endpoint-bescherming.
  • Random Forest: Biedt een goede balans tussen recall en rekentijd.
• Interpretatie: De SHAP-analyse bevestigde dat ransomware zich kenmerkt door agressieve geheugenrechten-wijzigingen, specifieke cryptografische instructies (zoals xor, nop, int3 voor anti-debugging) en registermanipulatie, terwijl schone software meer gericht is op UI-rendering en standaard configuratie.
• Tijdsbesteding:
  • Statische extractie (Radare2): ~6,1 seconden.
  • Dynamische uitvoering (Frida): ~3,0 seconden.
  • Preprocessing en classificatie: < 0,1 seconden.
  • Totaal: ~9,2 seconden per sample.

Betekenis en Impact

RansomTrack biedt een schaalbare, laag-latente en uitlegbare oplossing voor real-time ransomware-detectie. In tegenstelling tot zware sandbox-oplossingen of kernel-level monitoring, maakt het framework gebruik van gebruikersruimte-tools (Radare2 en Frida), wat de portabiliteit en implementatiekosten verlaagt.

De studie benadrukt dat hybride analyse essentieel is om zowel de structurele kenmerken (obsfuscatie) als de runtime-gedragingen (versleuteling, persistentie) van moderne ransomware te vangen. Door de openbaarmaking van de dataset en het framework, wordt een reproduceerbare benchmark geboden voor toekomstig onderzoek, wat helpt bij het overwinnen van de huidige beperkingen in ransomware-detectie, zoals de omzeiling van sandbox-omgevingen en de snelle verspreiding van nieuwe varianten.