💻 informatica

RABIS:Ransomware Analysis Based on Information Theory and System Calls

Dit artikel stelt RABIS voor, een lichtgewicht statistische benadering die systeemoproeppatronen analyseert om ransomware te onderscheiden van legitieme processen, waarbij een detectie nauwkeurigheid van 98,05% wordt bereikt met minimale prestatie-overhead.

Oorspronkelijke auteurs: Pranitha Sanda, Harineesha Nutakki, Valli Sai Meghana Attili, Thapasvi Pooguri, Amrutha Varshini Astakala

Gepubliceerd 2026-10-15

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Pranitha Sanda, Harineesha Nutakki, Valli Sai Meghana Attili, Thapasvi Pooguri, Amrutha Varshini Astakala

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

In de digitale wereld wordt elke actie die een computerprogramma onderneemt, vastgelegd als een reeks verzoeken aan het besturingssysteem. Wanneer een programma een bestand moet openen, een document moet opslaan of verbinding moet maken met een netwerk, moet het de kernsoftware van de computer vragen dit te doen. Deze verzoeken worden systeemoproepen (system calls) genoemd. Decennialang hebben beveiligingsexperts deze verzoeken geobserveerd om problemen te signaleren. De logica is eenvoudig: een normaal programma, zoals een tekstverwerker of een webbrowser, gedraagt zich op een complexe en gevarieerde manier omdat het reageert op een menselijke gebruiker die op onvoorspelbare wijze denkt, klikt en typt. De verzoeken aan de computer zijn divers en onregelmatig. Een kwaadaardig programma heeft echter vaak één enkel, rigide doel. Als dat doel is om gegevens te stelen of te vernietigen, zal het programma steeds weer dezelfde handelingen herhalen, waarbij het de computer vraagt om duizenden bestanden op een onvermoeibare, mechanische ritme te openen, te lezen, te versleutelen en te hernoemen. Deze repetitieve aard laat een duidelijke vingerafdruk achter die verschilt van de chaotische ruis van alledaagse software.

Onderzoekers aan de National Forensic Sciences University in India en het C. R. Rao Advanced Institute of Mathematics in Hyderabad hebben een nieuwe manier ontwikkeld om deze kwaadaardige programma's te vangen door diezelfde ritme te meten. Ze noemen hun methode RABIS. In plaats van te proberen een specifiek virus te herkennen aan de hand van de naam of de code, die hackers gemakkelijk kunnen aanpassen, kijkt deze benadering naar het statistische patroon van het gedrag van het programma. Ze behandelen de sequentie van systeemoproepen als een datastroom en meten hoeveel variatie daarin bestaat. In hun visie is een gezond programma vol verrassingen en variatie, terwijl een ransomware-programma saai voorspelbaar is. Door een waarde te berekenen die dit niveau van onvoorspelbaarheid vertegenwoordigt, kunnen ze de gevaarlijke programma's scheiden van de veilige programma's zonder precies te hoeven weten hoe het virus wordt genoemd of hoe het is gebouwd.

Om dit idee te testen, creëerden het team een gecontroleerde omgeving waarin ze zowel veilige als gevaarlijke software in actie konden zien. Ze verzamelden 150 voorbeelden van normale, alledaagse programma's, zoals tekstverwerkers, rekenmachines, webbrowsers en command-line tools die door systeembeheerders worden gebruikt. Ze verkregen ook vier verschillende, echte ransomware-monsters die bekend staan onder namen als Conti, REvil, Monti en SougoLock. Deze kwaadaardige programma's zijn ontworpen om de bestanden van een gebruiker te vergrendelen en geld te eisen voor de sleutel. De onderzoekers draalden al deze programma's op een computersysteem dat een grote collectie bestanden bevatte, wat een echte harde schijf van een gebruiker simuleerde. Terwijl elk programma draaide, legde een monitoringsinstrument elk verzoek dat het deed aan het besturingssysteem vast, waardoor een gedetailleerd logboek van het gedrag werd gegenereerd.

De kern van hun onderzoek bestond uit het opdelen van deze lange logbestanden in kleine, overlappende groepen van drie verzoeken tegelijk. Vervolgens telden ze hoe vaak elk specifiek groepje van drie voorkwam. Voor de normale programma's toonden de logs een brede mix van verschillende groepen, waarbij geen enkel patroon te vaak herhaalde. De kwaadaardige programma's lieten echter een heel ander beeld zien. Omdat ransomware bestanden na elkaar op dezelfde manier moet verwerken, bleef het exact dezelfde sequentie van verzoeken herhalen. De onderzoekers gebruikten een wiskundig concept genaamd entropie om dit verschil te kwantificeren. In eenvoudige termen meet entropie hoeveel wanorde of willekeur aanwezig is in een set gegevens. Hoge entropie betekent dat de gegevens gevarieerd en moeilijk te voorspellen zijn, wat zij zagen bij de veilige programma's. Lage entropie betekent dat de gegevens repetitief en voorspelbaar zijn, wat zij bij de ransomware vonden.

De resultaten waren opmerkelijk. Toen het team hun methode toepaste, vielen de kwaadaardige programma's duidelijk op tussen de rest. De vier ransomware-monsters vertoonden allemaal zeer lage entropiewaarden, wat hun repetitieve, mechanische natuur bevestigde. De 150 veilige programma's vertoonden veel hogere waarden, wat hun complexe en gevarieerde gedrag weerspiegelde. Het systeem identificeerde elk ransomware-monster correct als gevaarlijk. Het classificeerde een klein aantal veilige programma's onterecht als bedreigingen, specifiek die programma's die toevallig repetitieve taken uitvoeren, zoals bepaalde back-uptools of antivirussoftware die veel bestanden scant. Echter, de algehele nauwkeurigheid van de methode bereikte 98,05 procent. De onderzoekers ontdekten dat hoe groter de collectie bestanden die de ransomware probeerde te versleutelen, hoe duidelijker het repetitieve patroon werd, wat het nog gemakkelijker maakte om te ontdekken.

Deze benadering biedt een aanzienlijk voordeel ten opzichte van oudere methoden die vertrouwen op complexe kunstmatige intelligentiemodellen of enorme databases van bekende virushandtekeningen. Die oudere systemen kunnen traag zijn, vereisen veel rekenkracht en falen vaak wanneer een hacker een virus licht wijzigt om het er nieuw uit te laten zien. De RABIS-methode is lichtgewicht en snel omdat het simpelweg patronen telt en de variatie ervan meet. Het hoeft niet getraind te worden op duizenden voorbeelden van malware om te werken; het hoeft alleen het verschil te begrijpen tussen het chaotische gedrag van een door een mens gestuurd programma en het rigide, repetitieve gedrag van een door een machine gestuurde aanval. De onderzoekers hebben aangetoond dat door te focussen op het fundamentele ritme van hoe software met de computer communiceert, ze een ransomware-aanval kunnen detecteren terwijl deze plaatsvindt, zelfs als het virus nog nooit eerder is gezien.

Hoewel de methode zeer effectief is, erkennen de onderzoekers dat deze niet perfect is. De weinige veilige programma's die als bedreiging werden gemarkeerd, waren de programma's die van nature repetitieve bestandsoperaties uitvoeren, wat soms het gedrag van een aanvaller kan nabootsen. Om dit aan te pakken, suggereren het team dat toekomstige versies van het systeem de context van de activiteit zouden kunnen bekijken, zoals hoeveel bestanden er worden aangeraakt of hoe snel het proces verloopt, om deze valse alarmen te verminderen. Ze zijn ook van plan het systeem uit te breiden zodat het werkt op verschillende soorten computers, niet alleen op het specifieke besturingssysteem dat ze hebben getest. Voor nu bewijst de studie dat een eenvoudige statistische blik op de manier waarop software zich gedraagt een krachtig schild kan zijn tegen een van de meest destructieve vormen van cybercriminaliteit, door een manier te bieden om de dreiging te herkennen aan de hand van het gebrek aan verbeelding.

Technische Samenvatting van RABIS: Ransomware-analyse gebaseerd op informatietheorie en systeemoproepen

Probleemstelling
Ransomware, met name crypto-ransomware, is geëvolueerd tot een zeer lucratieve en geavanceerde dreiging, die vaak wordt geleverd via Ransomware-as-a-Service (RaaS). Deze aanvallen veroorzaken aanzienlijke financiële schade en operationele verlamming door gebruikersbestanden te versleutelen. Hoewel bestaande detectiemethoden sterk vertrouwen op statische signatures of complexe machine learning- en graafgebaseerde modellen, lijden deze benaderingen vaak aan een hoge computationele overhead, een afhankelijkheid van grote gelabelde datasets of kwetsbaarheid voor obfuscatie. Er is een kritieke behoefte aan detectietechnieken die robuust, accuraat en lichtgewicht zijn, en in staat zijn om kwaadaardig gedrag in realtime te identificeren zonder significante prestatievermindering.

Methodologie
De auteurs stellen RABIS voor (Ransomware Analysis Based on Information Theory and System Calls), een lichtgewicht statistische benadering die binaire processen onderscheidt van ransomware door middel van de analyse van laag-niveau gedragssignaturen afgeleid van systeemoproepen (system calls). De kernhypothese is dat ransomware zeer repetitieve, deterministische patronen vertoont (bijv. massale file read/write/rename operaties), wat resulteert in een lage entropie, terwijl legitieme processen diverse, door de gebruiker gestuurde en onregelmatige sequenties van systeemoproepen vertonen, wat resulteert in een hoge entropie.

De methodologie is gestructureerd in drie modules:

Verzameling van Systeemoproepen en Patroongeneratie (Module 1):
- Systeemoproepen worden vastgelegd met behulp van strace in een gecontroleerde Linux-omgeving.
- Ruwe traces worden voorbewerkt om alleen de namen van de systeemoproepen te extraheren, waarbij argumenten en retourwaarden worden verwijderd om ruis te verminderen.
- Een sliding window-techniek wordt toegepast om vaste lengte subsequenties te genereren, bekend als n-grams (specifiek trigrammen in de primaire experimenten). Deze n-grams vertegenwoordigen gelokaliseerde gedragseenheden van het proces.
Gedragsanalyse en Entropieberekening (Module 2):
- Er wordt een frequentiedictionary opgebouwd voor de n-grams van elk proces.
- Shannon-entropie wordt berekend op basis van de distributie van deze n-grams. De formule $H(X) = -\sum p(x_i) \log_2(p(x_i))$ wordt gebruikt, waarbij $p(x_i)$ de waarschijnlijkheid is dat een specifiek patroon voorkomt.
- Lage entropie duidt op hoge repetitie en voorspelbaarheid (kenmerkend voor ransomware), terwijl hoge entropie duidt op willekeur en diversiteit (kenmerkend voor legitieme processen).
- Om vergelijkbaarheid tussen processen met verschillende trace-lengtes te garanderen, worden de entropiewaarden genormaliseerd ( $NE_{prc}$ ) met de formule $NE_{prc} = E_{prc} / \log(S)$ , waarbij $S$ de som van alle patroonfrequenties is.
Classificatie en Drempelwaarde (Module 3):
- Het systeem gaat ervan uit dat de genormaliseerde entropie van legitieme processen een normale verdeling volgt.
- Een statistische drempelwaarde ( $Th$ ) wordt vastgesteld met behulp van een left-tailed confidence interval benadering. De drempelwaarde wordt berekend als $Th = \mu_{NE} - z \cdot \sigma_{NE}$ , waarbij $\mu_{NE}$ het gemiddelde en $\sigma_{NE}$ de standaarddeviatie is van de genormaliseerde entropie van de legitieme processen.
- Processen met $NE_{prc} < Th$ worden geclassificeerd als ransomware, terwijl processen met $NE_{prc} > Th$ als legitiem worden geclassificeerd.

Experimentele Opstelling
De studie werd uitgevoerd op Ubuntu 22.04.5 LTS systemen.

Legitieme Dataset: 150 verschillende legitieme processen, inclusief command-line tools (bijv. ls, cat), GUI-applicaties (bijv. Firefox, Evince) en een antivirusprogramma (ClamAV).
Kwaadaardige Dataset: 4 verschillende ransomware-binaries (Conti, REvil, Monti, SougoLock) afkomstig van MalwareBazaar.
Omgeving: Ransomware-samples werden uitgevoerd in geïsoleerde omgevingen met toegang tot twee datasets: een dataset met een laag volume (48.035 bestanden, 14,1 GB) en een dataset met een hoog volume (134.557 bestanden, >34 GB).

Belangrijkste Resultaten

Nauwkeurigheid: RABIS behaalde een classificatienauwkeurigheid van 98,05%.
False Negatives: Het systeem registreerde nul false negatives, waarbij alle vier de ransomware-varianten correct werden geïdentificeerd.
False Positives: Een klein aantal legitieme processen werd onterecht als ransomware geclassificeerd. De auteurs schrijven dit toe aan legitieme utilities (bijv. clamav, settings) die bursty, repetitieve bestandssysteemoperaties uitvoeren, waardoor ze ransomware-patronen nabootsen.
n-gram Analyse: Experimenten met n-gram groottes variërend van 3 tot 15 gaven aan dat trigrammen (n=3) de hoogste nauwkeurigheid opleverden. De auteurs suggereren dat dit komt omdat fundamentele bestandsoperaties (open $\to$ write $\to$ close) van nature drie-staps sequenties vormen, wat voldoende context biedt zonder de gevoeligheid voor ruis van langere sequenties.
Impact van Datavolume: Detectiesignaturen werden duidelijker naarmate het volume van de versleutelde data toenam, met uitzondering van de SougoLock-variant, die systeemdirectories target ongeacht de datasetgrootte, waardoor een consistent executiepatroon behouden blijft.

Betekenis en Claims
Het artikel beweert dat RABIS een computationeel efficiënt alternatief biedt voor complexe machine learning en graafgebaseerde detectiemodellen. Door gebruik te maken van informatietheorie (Shannon-entropie) op systeemoproep-patronen, biedt de benadering:

Vermijdt de overhead van het trainen van deep learning-modellen of het onderhouden van grote signature-databases.
Biedt een interpreteerbaar mechanisme voor detectie gebaseerd op statistische gedragsanomalieën.
Toont een hoge betrouwbaarheid in het onderscheiden van crypto-ransomware van legitieme processen, zelfs in scenario's met een hoge frequentie van bestandoperaties.

De auteurs benadrukken dat hoewel de methode robuust is, zorgvuldige afstemming van de drempelwaarde vereist is om false positives van legitieme systemen met een hoge doorvoer te minimaliseren. Het werk concludeert dat RABIS een praktisch framework is voor runtime gedragsanalyse, geschikt voor omgevingen waar computationele beperkingen zware modellen verhinderen.

Meer zoals dit