[论文解读] RanStop: A Hardware-assisted Runtime Crypto-Ransomware Detection Technique

Nitin Pundir, Mark Tehranipoor+1 more|arXiv (Cornell University)|Nov 24, 2020

Advanced Malware Detection Techniques参考文献 11被引用 9

一句话总结

RanStop 是一种硬件辅助的运行时加密型勒索病毒检测系统，利用通用处理器中的硬件性能计数器（HPCs）在程序执行 2 毫秒内检测到勒索病毒。通过在基于 HPC 的时间序列数据上应用基于长短期记忆网络（LSTM）的机器学习模型，其平均检测准确率达到 97%，可在造成重大损害前实现早期干预。

ABSTRACT

Among many prevailing malware, crypto-ransomware poses a significant threat as it financially extorts affected users by creating denial of access via unauthorized encryption of their documents as well as holding their documents hostage and financially extorting them. This results in millions of dollars of annual losses worldwide. Multiple variants of ransomware are growing in number with capabilities of evasion from many anti-viruses and software-only malware detection schemes that rely on static execution signatures. In this paper, we propose a hardware-assisted scheme, called RanStop, for early detection of crypto-ransomware infection in commodity processors. RanStop leverages the information of hardware performance counters embedded in the performance monitoring unit in modern processors to observe micro-architectural event sets and detects known and unknown crypto-ransomware variants. In this paper, we train a recurrent neural network-based machine learning architecture using long short-term memory (LSTM) model for analyzing micro-architectural events in the hardware domain when executing multiple variants of ransomware as well as benign programs. We create timeseries to develop intrinsic statistical features using the information of related HPCs and improve the detection accuracy of RanStop and reduce noise by via LSTM and global average pooling. As an early detection scheme, RanStop can accurately and quickly identify ransomware within 2ms from the start of the program execution by analyzing HPC information collected for 20 timestamps each 100us apart. This detection time is too early for a ransomware to make any significant damage, if none. Moreover, validation against benign programs with behavioral (sub-routine-centric) similarity with that of a crypto-ransomware shows that RanStop can detect ransomware with an average of 97% accuracy for fifty random trials.

研究动机与目标

• 为应对传统纯软件检测方法难以防范的日益增长的加密型勒索病毒威胁。
• 通过低层硬件监控实现勒索病毒的早期检测——在文件加密开始前即被发现。
• 开发一种对多态和变异型勒索病毒变种具有鲁棒性的运行时检测系统。
• 通过从微架构事件中提取的内在统计特征，降低误报率。
• 提供一种独立于基于软件的签名和启发式规则的硬件辅助解决方案。

提出的方法

• 利用通用处理器性能监控单元（PMU）中的硬件性能计数器（HPCs），在程序执行过程中收集微架构事件数据。
• 从 20 个相隔 100 μs 的 HPC 时间戳构建时间序列数据，以捕捉动态执行模式。
• 应用长短期记忆（LSTM）循环神经网络，对 HPC 事件序列中的时间依赖性进行建模，实现异常检测。
• 采用全局平均池化（GAP）技术，降低噪声并提升 LSTM 输出的特征表示能力。
• 在包含多种勒索病毒变种和良性程序（正常软件）的多样化数据集上训练 LSTM 模型，其中包含行为相似的正常软件以测试鲁棒性。
• 采用 Adadelta 和 RMSprop 等优化技术训练模型，提升不同 HPC 事件类型下的检测性能。

实验结果

研究问题

• RQ1 硬件性能计数器能否在极低延迟下有效实现实时加密型勒索病毒检测？
• RQ2 基于微架构事件序列，基于 LSTM 的模型能否准确区分勒索病毒与良性程序？
• RQ3 在文件加密开始前，利用硬件级信号能多早检测到勒索病毒？
• RQ4 当面对模仿勒索病毒行为的良性程序时，RanStop 的检测准确率能保持多高？
• RQ5 该系统能否在不依赖基于签名的检测方法的情况下，检测到此前未见过的勒索病毒变种？

主要发现

• 在 50 次随机测试中，RanStop 对勒索病毒和行为相似的良性程序的平均检测准确率达到 97%。
• 系统在程序执行后 2 毫秒内即可检测到勒索病毒，远早于任何显著的文件加密发生。
• 结合全局平均池化的 LSTM 模型可降低噪声并提升特征表示能力，增强检测鲁棒性。
• 基于 HPC 的检测方法优于传统纯软件方法，尤其在应对多态和变异型勒索病毒变种时表现更优。
• 系统在多种 HPC 事件类型下均保持高真正例率（UOPS_RETIRE 最高达 50.89%）和低假正例率（TLB_DATA 最低达 3.19%）。
• 尽管 HPC 覆盖范围存在局限，RanStop 在仅监控部分微架构事件的情况下仍表现出强劲性能。