[논문 리뷰] RAPPER: Ransomware Prevention via Performance Counters

Manaar Alam, Sinha, Sayan외 4명|arXiv (Cornell University)|2020. 04. 03.

Advanced Malware Detection Techniques참고 문헌 12인용 수 47

한 줄 요약

RAPPER는 하드웨어 성능 카운터와 FFT 기반 자동 인코더를 사용하여 실시간으로 랜섬웨어를 탐지하고, 디스크 암호화 템플릿과의 상관관계를 통해 랜섬웨어를 디스크 암호화와 구분하는 비지도식 이 단계적 랜섬웨어 탐지 프레임워크이다.

ABSTRACT

Ransomware can produce direct and controllable economic loss, which makes it one of the most prominent threats in cyber security. As per the latest statistics, more than half of malwares reported in Q1 of 2017 are ransomwares and there is a potent threat of a novice cybercriminals accessing ransomware-as-a-service. The concept of public-key based data kidnapping and subsequent extortion was introduced in 1996. Since then, variants of ransomware emerged with different cryptosystems and larger key sizes, the underlying techniques remained same. Though there are works in literature which proposes a generic framework to detect the crypto ransomwares, we present a two step unsupervised detection tool which when suspects a process activity to be malicious, issues an alarm for further analysis to be carried in the second step and detects it with minimal traces. The two step detection framework- RAPPER uses Artificial Neural Network and Fast Fourier Transformation to develop a highly accurate, fast and reliable solution to ransomware detection using minimal trace points. We also introduce a special detection module for successful identification of disk encryption processes from potential ransomware operations, both having similar characteristics but with different objective. We provide a comprehensive solution to tackle almost all scenarios (standard benchmark, disk encryption and regular high computational processes) pertaining to the crypto ransomwares in light of software security.

연구 동기 및 목표

• 라벨링된 랜섬웨어 데이터 없이 HPC 통계를 활용하여 정상 시스템 동작을 학습하고 이상치를 탐지한다.
• 랜섬웨어를 악의적 고계산 프로세스 및 디스크 암호화와 구분한다.
• 실시간 작동에 적합한 경량의 커널에 독립적인 탐지 도구를 제공한다.

제안 방법

• perf를 통해 하드웨어 성능 카운터(HPCs)를 모니터링하여 다변량 시계열 데이터를 수집한다.
• LSTM 기반 자동 인코더를 사용하여 정상 시스템 동작을 모델링하고 재구성 오차를 통해 이상치를 탐지한다.
• 시간 영역의 HPC 트레이스를 FFT로 주파수 도메인으로 변환하고 두 번째 자동 인코더를 적용하여 반복적인 랜섬웨어 패턴을 구분한다.
• 재구성 오차에 대해 3시그마 규칙을 사용한 임계값을 도입하여 이상 경보를 촉발한다.
• 온라인 단계에서는 두 개의 자동 인코더 파이프라인과 상관 모듈을 사용하여 랜섬웨어와 디스크 암호화를 구분하고 의심 프로세스를 종료한다.
• 누적 피어슨 상관관계를 통해 디스크 암호화 템플릿을 활용하여 디스크 암호화와 랜섬웨어를 구별한다.

실험 결과

연구 질문

• RQ1 라벨링된 데이터 없이도 비지도 HPC 기반 시계열 학습이 랜섬웨어를 탐지할 수 있는가?
• RQ2 FFT 기반 분석이 정상 고계산 프로그램의 거짓 양성을 줄일 수 있는가?
• RQ3 실무에서 RAPPER가 랜섬웨어를 디스크 암호화 소프트웨어와 얼마나 효과적으로 구분할 수 있는가?

주요 결과

• RAPPER는 WannaCry를 시작 후 약 5.31초(5313.0203 ms) 내에 랜섬웨어로 탐지한다.
• SPEC 벤치마크는 종종 Autoencoder_1에서 경보를 트리거하지만 FFT 기반의 Autoencoder_2가 반복적인 랜섬웨어 패턴을 악의적 워크로드와 구분하여 거짓 양성을 줄인다.
• 오토인코더_2 임계값(R_t' = 0.002829)은 FFT 도메인에서 SPEC 벤치마크와 랜섬웨어를 구분한다.
• 온라인 단계에서 주어진 윈도우의 탐지 시간은 샘플링 간격인 10 ms 이하로 실시간 응답이 가능하다.
• 디스크 암호화 프로그램(TrueCrypt/VeraCrypt)은 디스크 암호화 템플릿과의 누적 상관을 통해 랜섬웨어와 구분되며 높은 상관은 합법적인 디스크 암호화를 나타낸다.
• 아키텍처에는 다섯 개의 모듈(감시 프로그램, Autoencoder_1, FFT 컨버터, Autoencoder_2, 상관 모듈)이 포함되며 Offline 및 Online 단계에서 작동한다.