Proactive Ransomware Family Detection from Pre-Encryption API Behavior Using ANN–LightGBM Stacking
Deze studie toont aan dat een heterogeen ANN–LightGBM stacking-model dat gebruikmaakt van 23 pre-encryptie Windows API-indicatoren een hoge nauwkeurigheid (95,20%) kan bereiken bij het classificeren van ransomware-families en legitiële software, wat een proactief afweermechanisme biedt dat superieur is aan standalone neurale architecturen, terwijl het tegelijkertijd de noodzaak voor verdere externe validatie benadrukt.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de digitale wereld fungeert een specifiek type kwaadaardige software, bekend als ransomware, als een digitale gijzelnemer. Zodra het een computer infiltreert, vergrendelt het de bestanden van de gebruiker en eist het betaling voor de vrijgave ervan. Jarenlang hebben beveiligingsexperts geprobeerd deze aanvallen te stoppen door te zoeken naar de unieke digitale vingerafdrukken van bekende slechte programma's. Echter, criminelen veranderen deze vingerafdrukken constant, waardoor oude methoden minder effectief worden. Een modernere aanpak houdt in dat men kijkt naar hoe een programma zich gedraagt op het moment dat het begint te draaien. Voordat een ransomware-programma begint aan zijn destructieve werk van het versleutelen van bestanden, moet het eerst een reeks voorbereidende stappen uitvoeren, zoals het controleren van de instellingen van de computer of het zoeken naar andere programma's. Deze vroege acties laten een spoor van digitale voetstappen achter die de ware aard van het programma kunnen onthullen voordat er schade wordt aangericht. De uitdaging ligt in het onderscheiden van deze verdachte vroege stappen van de normale, onschadelijke acties die elk computerprogramma dagelijks uitvoert.
Een team van onderzoekers aan de Benha Universiteit zette zich met dit probleem bezig door een systeem te creëren dat verschillende families van ransomware kan identificeren op basis van deze zeer vroege gedragingen. Ze concentreerden zich op een specifieke tijdsperiode: de momenten voordat de werkelijke bestandsversleuteling begint. Hiervoor verzamelden ze een collectie van 3.432 computerprogramma's, inclusief vijf verschillende soorten ransomware en een groep veilige, onschadelijke programma's. Elk programma werd geanalyseerd op 23 specifieke acties die het ondernam wanneer het voor het eerst opstartte. Deze acties hielden in dat het programma de computer om informatie vroeg over de eigen naam, het netwerk controleerde, naar het register keek of probeerde toegang te krijgen tot het geheugen. De onderzoekers vertaalden deze observaties naar een eenvoudige lijst van ja-of-nee-indicatoren, waardoor ze een compact profiel voor elk programma creëerden.
De onderzoekers testten vervolgens verschillende soorten kunstmatige intelligentie-modellen om te zien welk model het beste kon leren van deze korte lijsten met acties. Ze testten vijf verschillende neurale netwerkontwerpen, zijnde computersystemen geïnspireerd door het menselijk brein, waaronder enkele die doorgaans worden gebruikt voor het verwerken van lange sequenties van gegevens zoals spraak of tekst. Ze testten ook een methode waarbij een aantal van de minder belangrijke acties werden verwijderd om te zien of een kortere lijst de AI slimmer zou maken. De resultaten toonden aan dat voor dit specifieke type korte, eenvoudige gegevens, het meest eenvoudige neurale netwerkontwerp op zichzelf het beste presteerde, waarbij het type programma ongeveer 94 procent van de tijd correct identificeerde. Interessant genoeg boden de complexere modellen die ontworpen zijn voor lange sequenties geen aanzienlijk voordeel, wat suggereert dat voor deze specifieke taak een eenvoudigere aanpak effectiever was.
Om de nauwkeurigheid nog verder te verhogen, combineerde het team twee verschillende soorten AI-modellen in één enkel, gelaagd systeem. Ze gebruikten het eenvoudige neurale netwerk om een eerste gok te doen over de identiteit van het programma, en gaven die gok vervolgens door aan een tweede, krachtig boomstructuur-model om de uiteindelijke beslissing te verfijnen. Deze gecombineerde aanpak, bekend als 'stacking', verbeterde de prestaties van het systeem en bracht de nauwkeurigheid naar net boven de 95 procent. Het systeem was bijzonder goed in het onderscheiden tussen de verschillende families van ransomware, met AUC-scores variërend van 0,92 tot 0,99 voor elk specifiek type. Desondanks maakte het systeem nog steeds fouten, waarbij het soms een veilig programma met een ransomware-familie verwarde of twee verschillende soorten ransomware met elkaar verwisselde.
De studie concludeert dat het observeren van deze vroege, laag-niveau acties een levensvatbare manier is om ransomware te vangen voordat het schade aanricht, en dat het combineren van verschillende AI-methoden de detectie betrouwbaarder kan maken. Toch zijn de onderzoekers voorzichtig met de opmerking dat dit succes werd bereikt in een gecontroleerde omgeving met een specifieke set bekende programma's. Het systeem is nog niet getest tegen nieuwe, onbekende soorten ransomware of in de chaotische, real-time omgeving van een druk bedrijfsnetwerk. Hoewel de resultaten veelbelovend zijn, dient het werk als een sterk bewijs van het concept (proof of concept) in plaats van een afgewerkt product dat klaar is voor onmiddellijke implementatie. Het demonstreert dat het met de juiste gegevens en een slimme combinatie van hulpmiddelen mogelijk is om de subtiele tekenen van een digitale aanval op te sporen voordat het eerste bestand wordt vergrendeld.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.