[논문 리뷰] Ransomware Analysis using Feature Engineering and Deep Neural Networks

Arslan Ashraf, Abdul Aziz외 3명|arXiv (Cornell University)|2019. 10. 01.

Advanced Malware Detection Techniques참고 문헌 23인용 수 17

한 줄 요약

이 논문은 정적 및 동적 데이터셋을 사용하여 핵심 행동 패턴—특히 레지스트리 삭제, API 호출, DLL 사용—을 식별하기 위해 특성 공 ing 및 딥 러닝을 조합한 랜섬웨어 탐지 프레임워크를 제안한다. 랜섬웨어는 악성 소프트웨어와는 달리 레지스트리 작업에서 특징적이고 반복 가능한 순서를 보이며, 이는 기존의 머신러닝 및 전이학습 기반의 CNN을 통해 높은 정확도로 탐지 가능하다. 동적 데이터셋에서 F1-스코어가 0.95를 초과하는 것으로 나타났다.

ABSTRACT

Detection and analysis of a potential malware specifically, used for ransom is a challenging task. Recently, intruders are utilizing advanced cryptographic techniques to get hold of digital assets and then demand a ransom. It is believed that generally, the files comprise of some attributes, states, and patterns that can be recognized by a machine learning technique. This work thus focuses on the detection of Ransomware by performing feature engineering, which helps in analyzing vital attributes and behaviors of the malware. The main contribution of this work is the identification of important and distinct characteristics of Ransomware that can help in detecting them. Finally, based on the selected features, both conventional machine learning techniques and Transfer Learning based Deep Convolutional Neural Networks have been used to detect Ransomware. In order to perform feature engineering and analysis, two separate datasets (static and dynamic) were generated. The static dataset has 3646 samples (1700 Ransomware and 1946 Goodware). On the other hand, the dynamic dataset comprised of 3444 samples (1455 Ransomware and 1989 Goodware). Through various experiments, it is observed that the Registry changes, API calls, and DLLs are the most important features for Ransomware detection. Additionally, important sequences are found with the help of the N-Gram technique. It is also observed that in the case of Registry Delete operation, if a malicious file tries to delete registries, it follows a specific and repeated sequence. However, for the benign file, it doesnt follow any specific sequence or repetition. Similarly, an interesting observation made through this study is that there is no common Registry deleted sequence between malicious and benign files. And thus this discernible fact can be readily exploited for Ransomware detection.

연구 동기 및 목표

• 더 나은 탐지를 위해 랜섬웨어의 구별되는 행동 및 구조적 특징을 식별하기 위해.
• 기존의 시그니처 기반 방법으로는 탐지되지 않는 암호화 기법을 사용하는 고도의 랜섬웨어를 탐지하는 데 도전하기 위해.
• 정확도 향상을 위해 특성 공 ing과 딥 러닝을 융합한 하이브리드 탐지 접근법을 개발하기 위해.
• 다양한 랜섬웨어 행동을 캡처하기 위해 정적 및 동적 데이터셋을 생성하고 활용하기 위해.

제안 방법

• 정적 및 동적 샘플 3646개와 3444개를 추출하기 위해 특성 공 ing 기법을 적용하였으며, 여기에는 API 호출, 레지스트리 변경, DLL 사용이 포함되었다.
• 시스템 호출의 순차적 패턴을 탐지하기 위해 n-gram 분석을 사용하였으며, 특히 레지스트리 삭제 작업에서 주목하였다.
• 공학된 특징 기반으로 랜섬웨어를 분류하기 위해 전이학습 기반의 딥 컨volution 신경망(CNN)을 활용하였다.
• 비교적 성능 평가를 위해 기존의 머신러닝 모델과 사전 훈련된 CNN을 생성된 데이터셋에 적용하였다.
• 악성 행동의 지표로 작용하는 레지스트리 작업의 반복적이고 고유한 순서를 식별하는 데 초점을 맞췄다.
• 정적 및 동적 데이터셋 모두에서 표준 평가 지표인 F1-스코어, 정밀도, 재현율을 사용하여 평가를 수행하였다.

실험 결과

연구 질문

• RQ1 API 호출, 레지스트리 변경, DLL 등 시스템 수준의 특징 중 랜섬웨어 행동을 가장 잘 나타내는 것은 무엇인가?
• RQ2 특히 레지스트리 삭제와 같은 시스템 운영의 순차적 패턴은 랜섬웨어를 정상 소프트웨어와 구분하는 데 효과적인가?
• RQ3 공학된 특징과 결합된 전이학습 기반의 딥 CNN이 랜섬웨어 탐지에 얼마나 효과적인가?
• RQ4 악성 파일과 정상 파일은 레지스트리 삭제 순서에서 다른 패턴을 보이는가?
• RQ5 특성 공_ing이 기본 방법에 비해 탐지 정확도를 크게 향상시키는가?

주요 결과

• 랜섬웨어의 레지스트리 삭제 작업은 특정하고 반복 가능한 순서를 따르지만, 정상 파일은 일관되거나 반복적인 패턴을 보이지 않는다.
• 악성 파일과 정상 파일 간에 공통된 레지스트리 삭제 순서를 관찰할 수 없었으며, 이는 이 행동이 악성 행동을 강력하게 구분하는 신호임을 시사한다.
• API 호출, 레지스트리 변경, DLL 사용이 랜섬웨어 탐지에 가장 중요한 특징으로 확인되었다.
• 딥 러닝 모델은 동적 데이터셋에서 F1-스코어가 0.95를 초과하여 높은 탐지 정확도를 입증하였다.
• n-gram 분석은 특히 악성 레지스트리 작업에서 중요한 행동 순서를 성공적으로 포착하였다.
• 특성 공_ing과 전이학습 기반 CNN의 조합이 기존 머신러닝 모델보다 탐지 성능에서 뛰어난 성능을 보였다.