[論文レビュー] Automated Dynamic Analysis of Ransomware: Benefits, Limitations and use for Detection

Daniele Sgandurra, Luis Muñoz-González+2 more|arXiv (Cornell University)|Sep 10, 2016

Advanced Malware Detection Techniques被引用数 159

ひとこと要約

EldeRanは、特徴選択を伴う動的サンドボックス分析を用いてランサムウェアを分類し、包括的なファミリデータを必要とせず、新しいファミリを含む高いAUCと検出率を達成します。

ABSTRACT

Recent statistics show that in 2015 more than 140 millions new malware samples have been found. Among these, a large portion is due to ransomware, the class of malware whose specific goal is to render the victim's system unusable, in particular by encrypting important files, and then ask the user to pay a ransom to revert the damage. Several ransomware include sophisticated packing techniques, and are hence difficult to statically analyse. We present EldeRan, a machine learning approach for dynamically analysing and classifying ransomware. EldeRan monitors a set of actions performed by applications in their first phases of installation checking for characteristics signs of ransomware. Our tests over a dataset of 582 ransomware belonging to 11 families, and with 942 goodware applications, show that EldeRan achieves an area under the ROC curve of 0.995. Furthermore, EldeRan works without requiring that an entire ransomware family is available beforehand. These results suggest that dynamic analysis can support ransomware detection, since ransomware samples exhibit a set of characteristic features at run-time that are common across families, and that helps the early detection of new variants. We also outline some limitations of dynamic analysis for ransomware and propose possible solutions.

研究の動機と目的

• ランサムウェアに対する回避技術へ対抗するために、動的分析の必要性を動機づける。
• 初期インストール痕跡からランサムウェアを検出する、軽量でオンライン対応の分類器を開発する。
• ランサムウェアと善良ソフトウェアを識別する最も情報量の多い動的特徴を特定する。
• このタスクにおける正則化ロジスティック回帰の有効性を、SVMおよびNaive Bayesと比較して示す。
• EldeRanが署名ベースのAVを補完する方法とVirusTotalとの比較を評価する。

提案手法

• サンドボックス内でサンプルを動的に分析し、痕跡を収集する（Windows APIコール、レジストリ、ファイルシステム、拡張子ごとのファイル操作、ディレクトリ操作、ドロップしたファイル、Strings）。
• 大量の特徴量セット（約30k特徴量）から最も識別力のある特徴を選択するために相互情報量を適用する。
• L2正則化を用いた正則化ロジスティック回帰を用いて、サンプルをランサムウェアまたは善良ソフトウェアとして分類する。
• ラベル付きデータセットでオフライン学習を行い、ユーザーPC上でオンラインのライブ検出を実行する。
• 交差検証済みの特徴サブセットを用いてSVMおよびNaive Bayesとの性能を比較し、VirusTotalのラベルとベンチマークを行う。

実験結果

リサーチクエスチョン

• RQ1 初期実行時に収集された限られた動的特徴セットを用いて、ランサムウェアを正確に検出できるか？
• RQ2 ランサムウェアと善良ソフトウェアを識別する際、どの動的特徴クラスが最も寄与するか？
• RQ3 この検出タスクにおいて正則化ロジスティック回帰はSVMおよびNaive Bayesとどのように比較されるか？
• RQ4 トレーニングデータにない新しいランサムウェアファミリを検出する点でEldeRanは効果的か？
• RQ5 実際の検出シナリオにおけるEldeRanの性能はVirusTotalとどのように比較されるか？

主な発見

• EldeRanは、11ファミリに渡る582個のランサムウェアサンプルと942個の善良ソフトウェアサンプルのデータセットで、ROC曲線下面積（AUC）0.995を達成した。
• EldeRanは新しいランサムウェアファミリを平均93.3%の検出率で検出する。
• EldeRanの平均誤判定率は2.4%、報告された比較ではVirusTotalは5.6%である。
• 正則化ロジスティック回帰はNaive Bayesを上回り、SVMと競合し、オンライン適応がより容易である。
• 30,967中の400のトップ特徴を使用してピーク性能を発揮し、特徴選択の価値を強調している。
• EldeRanは、従来の方法で見逃される可能性のある未知/新しいバリアントを特定することで署名ベースのAVを補完する。