[論文レビュー] RanStop: A Hardware-assisted Runtime Crypto-Ransomware Detection Technique

Nitin Pundir, Mark Tehranipoor+1 more|arXiv (Cornell University)|Nov 24, 2020

Advanced Malware Detection Techniques参考文献 11被引用数 9

ひとこと要約

RanStop は、一般プロセッサのハードウェアパフォーマンスカウンタ（HPCs）を活用して、実行開始後 2 ms 以内に暗号ランサムウェアを検出するハードウェア支援ランタイム暗号ランサムウェア検出システムです。HPC から得られる時系列データを用いた LSTM ベースの機械学習モデルにより、平均 97% の検出精度を達成し、深刻な損害が発生する前に早期干渉が可能になります。

ABSTRACT

Among many prevailing malware, crypto-ransomware poses a significant threat as it financially extorts affected users by creating denial of access via unauthorized encryption of their documents as well as holding their documents hostage and financially extorting them. This results in millions of dollars of annual losses worldwide. Multiple variants of ransomware are growing in number with capabilities of evasion from many anti-viruses and software-only malware detection schemes that rely on static execution signatures. In this paper, we propose a hardware-assisted scheme, called RanStop, for early detection of crypto-ransomware infection in commodity processors. RanStop leverages the information of hardware performance counters embedded in the performance monitoring unit in modern processors to observe micro-architectural event sets and detects known and unknown crypto-ransomware variants. In this paper, we train a recurrent neural network-based machine learning architecture using long short-term memory (LSTM) model for analyzing micro-architectural events in the hardware domain when executing multiple variants of ransomware as well as benign programs. We create timeseries to develop intrinsic statistical features using the information of related HPCs and improve the detection accuracy of RanStop and reduce noise by via LSTM and global average pooling. As an early detection scheme, RanStop can accurately and quickly identify ransomware within 2ms from the start of the program execution by analyzing HPC information collected for 20 timestamps each 100us apart. This detection time is too early for a ransomware to make any significant damage, if none. Moreover, validation against benign programs with behavioral (sub-routine-centric) similarity with that of a crypto-ransomware shows that RanStop can detect ransomware with an average of 97% accuracy for fifty random trials.

研究の動機と目的

• 従来のソフトウェアオンリーディテクション手法を回避する暗号ランサムウェアの増加する脅威に対処すること。
• 低レベルのハードウェア監視を活用して、重要なファイルが暗号化される前までにランサムウェアを早期検出すること。
• 多様な変種を持つ多形および変形ランサムウェアに対して耐性を持つランタイム検出システムを開発すること。
• マイクロアーキテクチャ的イベントから得られる内在的な統計的特徴を用いることで、誤検出を低減すること。
• ソフトウェアベースのシグネチャーやヒューリスティクスに依存せず、独立して動作するハードウェア支援ソリューションを提供すること。

提案手法

• 一般プロセッサのパフォーマンスモニタリングユニット（PMU）に統合されたハードウェアパフォーマンスカウンタ（HPCs）を活用し、プログラム実行中にマイクロアーキテクチャ的イベントデータを収集する。
• 20 個の HPC タイムスタンプ（各々 100 μs 間隔）からなる時系列データを構築し、動的実行パターンを捉える。
• 長短記憶（LSTM）再帰ニューラルネットワークを用いて、HPC イベントシーケンス内の時間的依存性をモデル化し、異常検出を実現する。
• グローバル平均プーリング（GAP）を適用して出力からのノイズを低減し、特徴表現を向上させる。
• 多様なランサムウェア変種と通常のプログラム（グッドウェア）のデータセットを用いて、LSTM モデルを学習する。特に、ランサムウェアと類似した振るまいを示すグッドウェアを含め、耐性をテストする。
• Adadelta や RMSprop といった最適化手法を用いてモデルを学習し、さまざまな HPC イベントタイプにおける検出性能を向上させる。

実験結果

リサーチクエスチョン

• RQ1 ハードウェアパフォーマンスカウンタを用いて、最小限の遅延でリアルタイムに暗号ランサムウェアを検出できるか？
• RQ2 マイクロアーキテクチャ的イベントシーケンスに基づいて、LSTM ベースのモデルがランサムウェアと通常のプログラムを正確に区別できるか？
• RQ3 ファイル暗号化が開始される前までに、どの程度早くハードウェアレベルの信号を用いてランサムウェアを検出できるか？
• RQ4 ランサムウェアの振るまいを模倣する通常のプログラムが存在する状況でも、RanStop は高い精度を維持できるか？
• RQ5 シグネチャーベースの検出に依存せずに、事前に観測されていないランサムウェア変種を検出できるか？

主な発見

• RanStop は、ランサムウェアと振る舞いが類似したグッドウェアを含むテストにおいて、50 回のランダム試行で平均 97% の検出精度を達成した。
• システムはプログラム実行開始後 2 ms 以内にランサムウェアを検出でき、深刻なファイル暗号化が発生する前に行える。
• グローバル平均プーリングを適用した LSTM モデルはノイズを低減し、特徴表現を向上させ、検出の耐性を強化した。
• HPC を用いた検出は、従来のソフトウェアオンリーメソッドを上回り、特に多形および変形変種に対して優れた性能を示した。
• さまざまな HPC イベントタイプにおいて、高い真正陽性率（UOPS_RETIRE で最大 50.89%）と低い誤検出率（TLB_DATA で最小 3.19%）を維持した。
• HPC のカバー範囲に制限があるにもかかわらず、マイクロアーキテクチャ的イベントの一部のみを監視しても、RanStop は強力な性能を示した。