[논문 리뷰] Automated Dynamic Analysis of Ransomware: Benefits, Limitations and use for Detection

Daniele Sgandurra, Luis Muñoz-González외 2명|arXiv (Cornell University)|2016. 09. 10.

Advanced Malware Detection Techniques인용 수 159

한 줄 요약

EldeRan은 특징 선택을 통한 동적 샌드박스 분석을 활용하여 랜섬웨어를 분류하며, 새로운 패밀리를 포함한 높은 AUC와 탐지율을 달성하지만 전체 패밀리 데이터가 필요하지 않다.

ABSTRACT

Recent statistics show that in 2015 more than 140 millions new malware samples have been found. Among these, a large portion is due to ransomware, the class of malware whose specific goal is to render the victim's system unusable, in particular by encrypting important files, and then ask the user to pay a ransom to revert the damage. Several ransomware include sophisticated packing techniques, and are hence difficult to statically analyse. We present EldeRan, a machine learning approach for dynamically analysing and classifying ransomware. EldeRan monitors a set of actions performed by applications in their first phases of installation checking for characteristics signs of ransomware. Our tests over a dataset of 582 ransomware belonging to 11 families, and with 942 goodware applications, show that EldeRan achieves an area under the ROC curve of 0.995. Furthermore, EldeRan works without requiring that an entire ransomware family is available beforehand. These results suggest that dynamic analysis can support ransomware detection, since ransomware samples exhibit a set of characteristic features at run-time that are common across families, and that helps the early detection of new variants. We also outline some limitations of dynamic analysis for ransomware and propose possible solutions.

연구 동기 및 목표

• 랜섬웨어의 회피 기법에 대응하기 위해 동적 분석의 필요성을 제시한다.
• 초기 설치 흔적에서 랜섬웨어를 탐지하는 가볍고 온라인 실행이 가능한 분류기를 개발한다.
• 랜섬웨어와 정상 소프트웨어를 구별하는 가장 정보력이 높은 동적 특징을 식별한다.
• 이 작업에서 Regularized Logistic Regression이 SVM 및 Naive Bayes에 비해 효과적임을 보여준다.
• EldeRan이 시그니처 기반 AV를 보완하고 VirusTotal과의 비교를 평가한다.

제안 방법

• 샘플을 샌드박스에서 동적으로 분석하여 트레이스(Windows API 호출, Registry, File System, per-Extension File Operations, Directory Operations, Dropped Files, Strings)를 수집한다.
• 대규모 특징 세트(~30k 특징)에서 가장 구분력이 높은 특징을 선택하기 위해 Mutual Information을 적용한다.
• 샘플을 랜섬웨어 또는 정상 소프트웨어로 분류하기 위해 L2 정규화를 갖는 Regularized Logistic Regression을 사용한다.
• 라벨링된 데이터셋에서 오프라인으로 학습하고 사용자 PC에서 온라인 실시간 탐지를 수행한다.
• 교차 검증된 특징 부분집합을 사용하여 SVM 및 Naive Bayes와의 성능을 비교하고 VirusTotal 라벨로 벤치마크한다.

실험 결과

연구 질문

• RQ1 초기 실행 중 수집된 한정된 동적 특징 집합으로 랜섬웨어를 정확하게 탐지할 수 있는가?
• RQ2 어떤 동적 특징 클래스가 랜섬웨어와 악성 소프트웨어를 구별하는 데 가장 큰 기여를 하는가?
• RQ3 이 탐지 태스크에서 Regularized Logistic Regression은 SVM 및 Naive Bayes와 어떻게 비교되는가?
• RQ4 훈련 데이터에 포함되지 않은 새로운 랜섬웨어 패밀리를 EldeRan이 탐지하는 데 효과적인가?
• RQ5 실제 탐지 시나리오에서 EldeRan의 성능은 VirusTotal과 어떻게 비교되는가?

주요 결과

• EldeRan은 11 패밀리에 걸친 582개의 랜섬웨어 샘플과 942개의 정상 소프트웨어 샘플 데이터세트에서 ROC 곡선 아래 면적(AUC) 0.995를 달성했다.
• EldeRan은 새로운 랜섬웨어 패밀리를 평균 93.3%의 비율로 탐지한다.
• 보고된 비교에서 EldeRan의 평균 오류율은 2.4%이고 VirusTotal의 것은 5.6%이다.
• Regularized Logistic Regression은 Naive Bayes보다 우수하고 SVM과도 경쟁적이며 온라인 적응이 더 용이하다.
• 30,967개 중 상위 400개 특징을 사용하는 것이 최상의 성능을 낳아 특징 선택의 가치를 강조한다.
• EldeRan은 시그니처 기반 AV를 보완하여 전통적 방법으로 놓칠 수 있는 알려지지 않은/새로운 변종을 식별한다.