💻 计算机科学

RABIS:Ransomware Analysis Based on Information Theory and System Calls

本文提出了 RABIS，这是一种通过分析系统调用模式来区分勒索软件与良性进程的轻量级统计方法，在实现 98.05% 检测准确率的同时，保持了极低的性能开销。

原作者： Pranitha Sanda, Harineesha Nutakki, Valli Sai Meghana Attili, Thapasvi Pooguri, Amrutha Varshini Astakala

发布于 2026-10-15

📖 1 分钟阅读☕ 轻松阅读

原作者： Pranitha Sanda, Harineesha Nutakki, Valli Sai Meghana Attili, Thapasvi Pooguri, Amrutha Varshini Astakala

原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在数字世界中，计算机程序的每一个动作都会被记录为一系列对操作系统的请求。当一个程序需要打开文件、保存文档或连接网络时，它必须请求计算机的核心软件来执行这些操作。这些请求被称为系统调用（system calls）。几十年来，安全专家一直通过观察这些请求来发现异常。其逻辑非常直观：一个正常的程序，如文字处理器或网络浏览器，其行为是复杂且多变的，因为它正在响应一个正在思考、点击和打字的、行为不可预测的人类用户。它们对计算机的请求是多样且不规则的。然而，一个恶意程序通常有一个单一且僵化的目标。如果其目标是窃取或破坏数据，该程序会一遍又一遍地重复相同的几个动作，机械地、不知疲倦地请求计算机打开、读取、加密并重命名成千上万个文件。这种重复性的本质留下了一个独特的指纹，与日常软件的混沌噪声截然不同。

来自印度国家法医学大学（National Forensic Sciences University）和海德拉巴 C. R. Rao 高等数学研究所的研究人员开发了一种通过测量这种“节奏”来捕捉这些恶意程序的新方法。他们将这种方法称为 RABIS。与其试图通过名称或代码来识别特定的病毒（黑客可以轻易更改代码），这种方法观察的是程序行为的统计模式。他们将系统调用的序列视为一种数据流，并测量其中存在多少多样性。在他们看来，一个健康的程序充满了惊喜和变化，而一个勒索软件程序则是枯燥且可预测的。通过计算一个代表这种不可预测程度的数值，他们可以在不需要知道病毒的具体名称或构建方式的情况下，将危险程序与安全程序区分开来。

为了测试这个想法，研究团队创建了一个受控环境，以便观察正常软件和危险软件的运行情况。他们收集了 150 个日常程序的例子，例如文本编辑器、计算器、网络浏览器以及系统管理员使用的命令行工具。他们还获取了四个具有代表性的真实世界勒索软件样本，已知名称包括 Conti、REvil、Monti 和 SougoLock。这些恶意程序旨在锁定用户文件并索要赎金以换取密钥。研究人员将这些程序运行在一个包含大量文件集合的计算机系统中，模拟真实用户的硬盘环境。每当程序运行时，监控工具都会记录它向操作系统发出的每一次请求，从而创建一个详细的行为日志。

调查的核心在于将这些长日志分解成每次三个请求的小型重叠组。然后，他们统计了每个特定三项组合出现的频率。对于正常程序，日志显示出广泛的组合类型，没有单一模式出现过于频繁的情况。然而，恶意程序呈现出完全不同的景象。因为勒索软件必须以相同的方式处理一个接一个的文件，它会不断重复完全相同的请求序列。研究人员使用了一个被称为“熵”（entropy）的数学概念来量化这种差异。简单来说，熵衡量一组数据中存在的混乱或随机程度。高熵意味着数据是多样化且难以预测的，这正是他们在安全程序中所看到的；低熵则意味着数据是重复且可预测的，这正是他们在勒索软件中发现的情况。

结果令人瞩目。当团队应用该方法时，恶意程序从人群中脱颖而出。四个勒索软件样本都显示出极低的熵值，证实了其重复性和机械性的本质。150 个安全程序显示出高得多的数值，反映了其复杂多变的行为。该系统正确地将每一个勒索软件样本识别为威胁。它确实将少量安全程序误判为威胁，特别是那些执行重复任务的程序，例如某些备份工具或扫描大量文件的杀毒软件。然而，该方法的整体准确率达到了 98.05%。研究人员发现，勒索软件尝试加密的文件集越大，其重复模式就越清晰，从而使其更容易被发现。

这种方法相比于依赖复杂人工智能模型或海量已知病毒特征库的传统方法具有显著优势。那些旧系统可能反应迟缓、需要庞大的计算能力，并且当黑客稍微修改病毒使其看起来像新病毒时往往会失效。RABIS 方法由于仅通过计数模式和测量多样性，因此非常轻量且快速。它不需要经过成千上万个恶意软件样本的训练即可工作；它只需要理解人类驱动的程序之混沌行为与机器驱动的攻击之僵化重复行为之间的区别。研究人员证明，通过关注软件如何与计算机通信的基本节奏，即使面对从未见过的病毒，也能在攻击发生时进行检测。

尽管该方法非常有效，但研究人员也承认它并不完美。被标记为威胁的少数安全程序是那些自然执行重复文件操作的程序，这类程序有时会模仿攻击者的行为。为了解决这个问题，团队建议未来的系统版本可以观察活动的上下文信息，例如正在处理多少文件或该进程运行的速度，以减少此类误报。他们还计划扩展该系统，使其不仅限于测试的特定操作系统，而是能在不同类型的计算机上运行。目前，这项研究证明，通过对软件行为进行简单的统计学观察，可以成为对抗最具破坏性的网络犯罪形式之一的强大盾牌，提供了一种通过观察其“缺乏想象力”来识破威胁的方法。

RABIS 技术摘要：基于信息论与系统调用的勒索软件分析

问题陈述
勒索软件，尤其是加密型勒索软件（crypto-ransomware），已演变成一种极具利润且高度复杂的威胁，通常通过勒索软件即服务（RaaS）进行传播。这些攻击通过加密用户文件造成重大的经济损失和业务瘫痪。现有的检测方法过度依赖静态特征或复杂的机器学习及基于图的模型，这些方法往往面临计算开销过高、依赖大规模标注数据集或易受混淆攻击等问题。目前迫切需要一种鲁棒、准确且轻量化的检测技术，能够在不造成显著性能下降的情况下，实时识别恶意行为。

方法论
作者提出了 RABIS（基于信息论与系统调用的勒索软件分析），这是一种轻量级的统计学方法，通过分析源自系统调用的底层行为特征，来区分良性进程与勒索软件。其核心假设是：勒索软件表现出高度重复、确定性的模式（例如大规模的文件读取/写入/重命名操作），从而导致低熵；而良性进程则表现出多样化、用户驱动且不规则的系统调用序列，从而导致高熵。

该方法由三个模块组成：

系统调用采集与模式生成（模块 1）：
- 在受控的 Linux 环境中使用 strace 捕获系统调用。
- 对原始追踪数据进行预处理，仅提取系统调用名称，去除参数和返回值以减少噪声。
- 应用滑动窗口技术生成固定长度的子序列，即 n-gram（在主要实验中特指三元组/trigrams）。这些 n-gram 代表了进程的局部行为单元。
行为分析与熵计算（模块 2）：
- 为每个进程构建 n-gram 的频率字典。
- 基于 n-gram 的分布计算 香农熵（Shannon Entropy）。使用公式 $H(X) = -\sum p(x_i) \log_2(p(x_i))$ ，其中 $p(x_i)$ 是特定模式发生的概率。
- 低熵表示高度的重复性和可预测性（勒索软件的特征），而高熵则表示随机性和多样性（良性进程的特征）。
- 为了确保不同追踪长度的进程具有可比性，使用公式 $NE_{prc} = E_{prc} / \log(S)$ 对熵值进行归一化处理，其中 $S$ 是所有模式频率的总和。
分类与阈值设定（模块 3）：
- 该系统假设良性进程的归一化熵遵循正态分布。
- 利用左尾置信区间方法建立统计阈值（ $Th$ ）。阈值的计算公式为 $Th = \mu_{NE} - z \cdot \sigma_{NE}$ ，其中 $\mu_{NE}$ 是良性进程归一化熵的均值， $\sigma_{NE}$ 是其标准差。
- 若 $NE_{prc} < Th$ ，则将进程归类为勒索软件；若 $NE_{prc} > Th$ ，则归类为良性进程。

实验设置
研究在 Ubuntu 22.04.5 LTS 系统上进行。

良性数据集： 包含 150 个不同的良性进程，包括命令行工具（如 ls、cat）、GUI 应用程序（如 Firefox、Evince）以及一款杀毒工具（ClamAV）。
恶意数据集： 4 个不同的勒索软件二进制文件（Conti、REvil、Monti、SougoLock），来源于 MalwareBazaar。
环境： 勒索软件样本在隔离环境中执行，并可访问两个数据集：一个低容量集（48,035 个文件，14.1 GB）和一个高容量集（134,557 个文件，>34 GB）。

关键结果

准确率： RABIS 实现了 98.05% 的分类准确率。
漏报率（False Negatives）： 系统记录为 零漏报，正确识别了所有四种勒索软件变体。
误报率（False Positives）： 少量的良性进程被误判为勒索软件。作者将其归因于某些良性工具（如 clamav、settings），它们会执行爆发式、重复性的文件系统操作，从而模拟了勒索软件的模式。
n-gram 分析： 在 n-gram 大小为 3 到 15 的实验中，三元组（n=3） 取得了最高的准确率。作者认为这是因为基础的文件操作（打开 $\to$ 写入 $\to$ 关闭）自然形成了三步序列，提供了足够的上下文，同时又不会像更长的序列那样对噪声过于敏感。
数据量影响： 随着被加密数据量的增加，检测特征变得更加显著，但 SougoLock 除外——该变体无论数据集大小如何都会针对系统目录进行操作，从而保持了稳定的执行模式。

意义与主张
论文声称 RABIS 提供了一种比复杂的机器学习和基于图的模型更具计算效率的替代方案。通过利用信息论（香农熵）对系统调用模式进行分析，该方法：

避免了训练深度学习模型或维护大型特征库的开销。
提供了一种基于统计行为异常的可解释检测机制。
证明了其在区分加密型勒索软件与良性进程方面的高可靠性，即使在涉及高频文件操作的场景下也是如此。

作者强调，虽然该方法具有鲁棒性，但需要仔细调整阈值，以尽量减少来自合法高吞吐量系统工具的误报。这项工作结论指出，RABIS 是一个实用的运行时行为分析框架，适用于无法承担沉重计算模型的资源受限环境。

类似论文