[論文レビュー] Ransomware Analysis using Feature Engineering and Deep Neural Networks

Arslan Ashraf, Abdul Aziz+3 more|arXiv (Cornell University)|Oct 1, 2019

Advanced Malware Detection Techniques参考文献 23被引用数 17

ひとこと要約

本稿では、特徴工学とディープラーニングを組み合わせたランサムウェア検出フレームワークを提案する。静的および動的データセットを用いて、特にレジストリの削除、APIコール、DLL使用に関する重要な行動パターンを特定する。本研究では、ランサムウェアが、良性ソフトウェアとは異なり、明確で繰り返し可能なレジストリ操作のシーケンスを示すことが判明しており、従来の機械学習および転移学習ベースのCNNを用いた高精度な検出が可能である。動的データセットではF1スコアが0.95を上回ることを確認した。

ABSTRACT

Detection and analysis of a potential malware specifically, used for ransom is a challenging task. Recently, intruders are utilizing advanced cryptographic techniques to get hold of digital assets and then demand a ransom. It is believed that generally, the files comprise of some attributes, states, and patterns that can be recognized by a machine learning technique. This work thus focuses on the detection of Ransomware by performing feature engineering, which helps in analyzing vital attributes and behaviors of the malware. The main contribution of this work is the identification of important and distinct characteristics of Ransomware that can help in detecting them. Finally, based on the selected features, both conventional machine learning techniques and Transfer Learning based Deep Convolutional Neural Networks have been used to detect Ransomware. In order to perform feature engineering and analysis, two separate datasets (static and dynamic) were generated. The static dataset has 3646 samples (1700 Ransomware and 1946 Goodware). On the other hand, the dynamic dataset comprised of 3444 samples (1455 Ransomware and 1989 Goodware). Through various experiments, it is observed that the Registry changes, API calls, and DLLs are the most important features for Ransomware detection. Additionally, important sequences are found with the help of the N-Gram technique. It is also observed that in the case of Registry Delete operation, if a malicious file tries to delete registries, it follows a specific and repeated sequence. However, for the benign file, it doesnt follow any specific sequence or repetition. Similarly, an interesting observation made through this study is that there is no common Registry deleted sequence between malicious and benign files. And thus this discernible fact can be readily exploited for Ransomware detection.

研究の動機と目的

• ランサムウェアの特徴的行動および構造的特徴を特定し、検出性を向上させること。
• 従来の署名ベース手法では検出が困難な暗号技術を用いた高度なランサムウェアを検出する課題に対処すること。
• 特徴工学とディープラーニングを組み合わせたハイブリッド検出アプローチを開発し、精度を向上させること。
• 静的および動的の二重データセットを生成・活用し、ランサムウェアの多様な行動を捉えること。

提案手法

• 3646件の静的および3444件の動的サンプルを抽出するため、特徴工学が適用され、APIコール、レジストリ変更、DLL使用が含まれる。
• N-gram解析を用いて、システムコールにおける順序的パターン、特にレジストリ削除操作のパターンを特定した。
• エンジニアリングされた特徴に基づき、転移学習を用いた深層畳み込みニューラルネットワーク（CNN）を用いてランサムウェアを分類した。
• 従来の機械学習モデルと事前学習済みCNNを、生成されたデータセット上で比較評価した。
• 悪意ある行動の特徴としての、繰り返し発生する一貫したレジストリ操作のシーケンスを同定することに焦点を当てた。
• F1スコア、適合率、再現率といった標準指標を用いて、静的および動的データセットの両方で評価を実施した。

実験結果

リサーチクエスチョン

• RQ1 APIコール、レジストリ変更、DLLなど、どのようなシステムレベルの特徴がランサムウェア行動を最も示唆的か？
• RQ2 特にレジストリ削除に関連するシステム操作の順序的パターンは、ランサムウェアと良性ソフトウェアを区別できるか？
• RQ3 エンジニアリングされた特徴と組み合わせた転移学習ベースの深層CNNによるランサムウェア検出は、どの程度効果的か？
• RQ4 悪意あるファイルと良性ファイルは、レジストリ削除シーケンスにおいて異なるパターンを示すか？
• RQ5 特徴工学は、ベースライン手法と比較して検出精度を顕著に向上させることができるか？

主な発見

• ランサムウェアにおけるレジストリ削除操作は、明確で繰り返し可能なシーケンスに従うが、良性ファイルでは一貫性や繰り返しのパターンが見られない。
• 悪意あるファイルと良性ファイルの間で共通のレジストリ削除シーケンスは観察されず、この行動が悪意ある行動を強く示唆する信号であることが示された。
• APIコール、レジストリ変更、DLL使用が、ランサムウェア検出において最も重要な特徴であると特定された。
• ディープラーニングモデルは動的データセットでF1スコア0.95以上を達成し、高い検出精度を示した。
• N-gram解析により、特に悪意あるレジストリ操作において、重要な行動的シーケンスが効果的に捉えられた。
• 特徴工学と転移学習ベースのCNNの組み合わせは、従来の機械学習モデルを上回る検出性能を示した。