[论文解读] Automated Dynamic Analysis of Ransomware: Benefits, Limitations and use for Detection

Daniele Sgandurra, Luis Muñoz-González+2 more|arXiv (Cornell University)|Sep 10, 2016

Advanced Malware Detection Techniques被引用 159

一句话总结

EldeRan 使用动态沙箱分析结合特征选择来对勒索软件进行分类，达到较高的 AUC 和检测率，包括对新家族的检测，无需完整家族数据。

ABSTRACT

Recent statistics show that in 2015 more than 140 millions new malware samples have been found. Among these, a large portion is due to ransomware, the class of malware whose specific goal is to render the victim's system unusable, in particular by encrypting important files, and then ask the user to pay a ransom to revert the damage. Several ransomware include sophisticated packing techniques, and are hence difficult to statically analyse. We present EldeRan, a machine learning approach for dynamically analysing and classifying ransomware. EldeRan monitors a set of actions performed by applications in their first phases of installation checking for characteristics signs of ransomware. Our tests over a dataset of 582 ransomware belonging to 11 families, and with 942 goodware applications, show that EldeRan achieves an area under the ROC curve of 0.995. Furthermore, EldeRan works without requiring that an entire ransomware family is available beforehand. These results suggest that dynamic analysis can support ransomware detection, since ransomware samples exhibit a set of characteristic features at run-time that are common across families, and that helps the early detection of new variants. We also outline some limitations of dynamic analysis for ransomware and propose possible solutions.

研究动机与目标

• 需要进行动态分析以对抗勒索软件的规避技术的动机与必要性。
• 开发一个轻量级、可在线使用的分类器，用于从早期安装痕迹检测勒索软件。
• 识别最具信息量的动态特征，使勒索软件与良性软件区分开来。
• 证明在此任务中正则化逻辑回归对比 SVM 和朴素贝叶斯的有效性。
• 评估 EldeRan 如何补充基于签名的 AV 以及与 VirusTotal 的比较。

提出的方法

• 在沙箱中对样本进行动态分析以收集痕迹（Windows API 调用、注册表、文件系统、按扩展名的文件操作、目录操作、Dropped Files、Strings）。
• 应用互信息（Mutual Information）从大特征集（~30k 特征）中筛选最具判别力的特征。
• 使用带 L2 正则化的正则化逻辑回归对样本进行勒索软件还是良性软件的分类。
• 离线在带标签的数据集上训练，并在用户 PC 上进行在线实时检测。
• 比较与 SVM 和朴素贝叶斯的性能，使用交叉验证的特征子集；以 VirusTotal 标签进行基准比较。

实验结果

研究问题

• RQ1 是否可以在早期执行阶段通过有限的动态派生特征集合准确检测勒索软件？
• RQ2 哪些动态特征类别对区分勒索软件与 benign 软件贡献最大？
• RQ3 正则化逻辑回归在此检测任务中与 SVM 和朴素贝叶斯相比如何？
• RQ4 EldeRan 是否对训练数据中未出现的新勒索软件家族有效检测？
• RQ5 在实际检测场景中，EldeRan 的性能与 VirusTotal 的对比如何？

主要发现

• EldeRan 在包含 11 个家族的 582 个勒索软件样本和 942 个良性样本的数据集上实现了 ROC 曲线下面积（AUC）为 0.995。
• EldeRan 能以平均 93.3% 的准确率检测出新勒索软件家族。
• 在所报道的比较中，EldeRan 的平均错误率为 2.4%，而 VirusTotal 为 5.6%。
• 正则化逻辑回归优于朴素贝叶斯，并且在与 SVM 的对比中具有竞争力，同时更易于在线适配。
• 在 30,967 个特征中取前 400 个特征即可达到峰值性能，凸显特征选择的重要性。
• EldeRan 通过识别未知/新变体补充了基于签名的 AV，可能会被传统方法遗漏。