[论文解读] BitcoinHeist: Topological Data Analysis for Ransomware Detection on the Bitcoin Blockchain

Cüneyt Gürcan Akçora, Yitao Li+2 more|arXiv (Cornell University)|Jun 19, 2019

Topological and Geometric Data Analysis参考文献 29被引用 46

一句话总结

本文提出了一种利用 Mapper 的拓扑数据分析框架，在异构的比特币交易图上自动检测勒索软件相关地址并预测新的勒索软件家族，在精确率和召回率方面优于启发式方法。

ABSTRACT

Proliferation of cryptocurrencies (e.g., Bitcoin) that allow pseudo-anonymous transactions, has made it easier for ransomware developers to demand ransom by encrypting sensitive user data. The recently revealed strikes of ransomware attacks have already resulted in significant economic losses and societal harm across different sectors, ranging from local governments to health care. Most modern ransomware use Bitcoin for payments. However, although Bitcoin transactions are permanently recorded and publicly available, current approaches for detecting ransomware depend only on a couple of heuristics and/or tedious information gathering steps (e.g., running ransomware to collect ransomware related Bitcoin addresses). To our knowledge, none of the previous approaches have employed advanced data analytics techniques to automatically detect ransomware related transactions and malicious Bitcoin addresses. By capitalizing on the recent advances in topological data analysis, we propose an efficient and tractable data analytics framework to automatically detect new malicious addresses in a ransomware family, given only a limited records of previous transactions. Furthermore, our proposed techniques exhibit high utility to detect the emergence of new ransomware families, that is, ransomware with no previous records of transactions. Using the existing known ransomware data sets, we show that our proposed methodology provides significant improvements in precision and recall for ransomware transaction detection, compared to existing heuristic based approaches, and can be utilized to automate ransomware detection.

研究动机与目标

• 使用可扩展的数据驱动特征识别与勒索软件支付相关的比特币地址。
• 评估已知勒索软件家族在时间上是否表现出一致的区块链行为。
• 评估不同勒索软件运营者在比特币图上的行为相似性。
• 实现对未披露的勒索软件支付的检测以及新勒索软件家族的出现。

提出的方法

• 将比特币区块链建模为异构两类型图（地址和交易）。
• 在 24 小时窗口内为每个地址提取六个时序图特征（收入、邻居、权重、长度、计数、环路）。
• 提出两个问题：现有家族检测和新家族预测，利用带标签的历史数据来预测未来的未知情况。
• 应用基于 Mapper 的拓扑数据分析生成簇图表示，并通过多属性过滤（算法1）识别可疑地址。
• 对特征进行标准化并与启发式基线（共花费和转移）以及常规聚类方法（DBSCAN、层次聚类、XGBoost、随机森林）进行比较。
• 使用 24 小时窗口的方法来捕捉交易的时空动态并实现大规模数据管理。

实验结果

研究问题

• RQ1 比特币网络中哪些特征最能检测勒索软件行为？
• RQ2 给定的勒索软件家族是否随时间表现出一致的区块链行为？
• RQ3 在比特币区块链上，不同勒索软件运营者的行为有多相似？
• RQ4 我们能否检测未向执法机构或分析公司报告的勒索支付？
• RQ5 是否可以从现有数据中检测到新的勒索软件家族的出现？

主要发现

• 该框架在勒索软件交易检测中的精确性和召回率优于启发式方法。
• 它能够检测对已知勒索软件家族地址的未披露支付并预测新勒索软件家族的出现。
• 一个汇集自蒙特利尔、普林斯顿和帕多瓦来源的大型勒索软件数据集，包含来自27个家族的24,486个地址，随时间多次出现。
• 为每个地址计算并分析六个图特征；勒索软件的主要模式在统计上显著不同于非勒索软件模式（p < 2.2e-16）。
• 基于 Mapper 的拓扑数据分析揭示了地址簇之间超越传统聚类的隐藏联系，使对地址进行定向嫌疑评分成为可能（算法1）。
• 研究使用 2009–2018 年的比特币数据的每日 24 小时窗口来研究地址的重复出现和行为。