[论文解读] Application of Explainable Machine Learning in Detecting and Classifying Ransomware Families Based on API Call Analysis

Rawshan Ara Mowri, Madhuri Siddula+1 more|arXiv (Cornell University)|Oct 16, 2022

Advanced Malware Detection Techniques被引用 4

一句话总结

本文提出了一种可解释的机器学习框架，通过分析动态执行二进制文件的API调用频率，实现对15种勒索软件家族的检测与分类。通过使用自定义网络爬虫收集样本，采用两阶段特征工程（RFECV与RandomSearchCV），并利用SHAP提升模型可解释性，研究在逻辑回归模型下实现了99.15%的准确率，其中'NtAlpcSendWaitReceivePort'被识别为最具影响力的特征。

ABSTRACT

Ransomware has appeared as one of the major global threats in recent days. The alarming increasing rate of ransomware attacks and new ransomware variants intrigue the researchers to constantly examine the distinguishing traits of ransomware and refine their detection strategies. Application Programming Interface (API) is a way for one program to collaborate with another; API calls are the medium by which they communicate. Ransomware uses this strategy to interact with the OS and makes a significantly higher number of calls in different sequences to ask for taking action. This research work utilizes the frequencies of different API calls to detect and classify ransomware families. First, a Web-Crawler is developed to automate collecting the Windows Portable Executable (PE) files of 15 different ransomware families. By extracting different frequencies of 68 API calls, we develop our dataset in the first phase of the two-phase feature engineering process. After selecting the most significant features in the second phase of the feature engineering process, we deploy six Supervised Machine Learning models: Na"ive Bayes, Logistic Regression, Random Forest, Stochastic Gradient Descent, K-Nearest Neighbor, and Support Vector Machine. Then, the performances of all the classifiers are compared to select the best model. The results reveal that Logistic Regression can efficiently classify ransomware into their corresponding families securing 99.15% overall accuracy. Finally, instead of relying on the 'Black box' characteristic of the Machine Learning models, we present the post-hoc analysis of our best-performing model using 'SHapley Additive exPlanations' or SHAP values to ascertain the transparency and trustworthiness of the model's prediction.

研究动机与目标

• 通过提升对多样化勒索软件家族的检测与分类准确率，应对日益增长的勒索软件威胁。
• 自动化收集15种勒索软件家族的Windows PE文件，以减少数据集整理过程中的手动工作量。
• 开发一个稳健且可解释的机器学习流水线，以增强在勒索软件分类任务中对模型的信任与透明度。
• 通过严格的超参数调优与特征选择优化模型性能，使其优于现有方法。

提出的方法

• 开发了名为'GetRansomware'的自定义网络爬虫，用于从公开存储库中自动收集15种不同勒索软件家族的可移植可执行文件（PE文件）。
• 在沙箱环境中执行勒索软件和良性二进制文件，以提取API调用频率，构成数据集的基础。
• 应用两阶段特征工程流程：首先提取68个API调用频率，随后使用带交叉验证的递归特征消除法（RFECV）筛选最具相关性的特征。
• 使用RandomSearchCV对六种监督学习模型（朴素贝叶斯、逻辑回归、随机森林、SGD、K近邻与支持向量机）进行超参数调优。
• 基于准确率、精确率、召回率、F1分数与AUROC的综合评估，选择逻辑回归作为性能最佳的模型。
• 通过事后可解释性分析，采用SHapley加法解释（SHAP）来解释特征贡献并验证模型决策。

实验结果

研究问题

• RQ1 自动化收集勒索软件样本在多大程度上能提升恶意软件检测研究的可扩展性与可复现性？
• RQ2 在基于API调用频率的分类任务中，哪种机器学习模型在识别多种勒索软件家族时准确率最高？
• RQ3 不同API调用如何影响分类决策？哪些特征对勒索软件行为具有最强预测力？
• RQ4 基于SHAP的可解释性在多大程度上增强了机器学习模型在勒索软件检测中的可信度与透明度？

主要发现

• 逻辑回归在使用API调用频率数据对15种不同勒索软件家族进行分类时，达到了99.15%的最高总体准确率。
• API调用'NtAlpcSendWaitReceivePort'的频率被识别为最具影响力的特征，其SHAP值的平均绝对值最高。
• 当仅使用前20个最具贡献的特征时，逻辑回归模型仍保持95.48%的高准确率，表明其余21个特征进一步提升了性能。
• SHAP分析显示，'NtAlpcSendWaitReceivePort'的较低值对模型输出具有负面影响，而'NtFsControlFile'的较低值则具有正面影响，揭示了特征影响的方向性。
• 所提方法在准确率与多分类能力方面均优于现有基于API的分类方法，准确率达99.15%，高于以往研究的最高值98.65%。
• SHAP可解释性的整合为模型行为提供了可操作的洞察，显著增强了自动化勒索软件分类系统中的透明度与可信度。