[论文解读] RAPPER: Ransomware Prevention via Performance Counters

Manaar Alam, Sinha, Sayan+4 more|arXiv (Cornell University)|Apr 3, 2020

Advanced Malware Detection Techniques参考文献 12被引用 47

一句话总结

RAPPER 是一个无监督的两阶段勒索软件检测框架，使用硬件性能计数器和基于 FFT 的自编码器实时检测勒索软件，并通过与磁盘加密模板的相关性区分磁盘加密与勒索软件。

ABSTRACT

Ransomware can produce direct and controllable economic loss, which makes it one of the most prominent threats in cyber security. As per the latest statistics, more than half of malwares reported in Q1 of 2017 are ransomwares and there is a potent threat of a novice cybercriminals accessing ransomware-as-a-service. The concept of public-key based data kidnapping and subsequent extortion was introduced in 1996. Since then, variants of ransomware emerged with different cryptosystems and larger key sizes, the underlying techniques remained same. Though there are works in literature which proposes a generic framework to detect the crypto ransomwares, we present a two step unsupervised detection tool which when suspects a process activity to be malicious, issues an alarm for further analysis to be carried in the second step and detects it with minimal traces. The two step detection framework- RAPPER uses Artificial Neural Network and Fast Fourier Transformation to develop a highly accurate, fast and reliable solution to ransomware detection using minimal trace points. We also introduce a special detection module for successful identification of disk encryption processes from potential ransomware operations, both having similar characteristics but with different objective. We provide a comprehensive solution to tackle almost all scenarios (standard benchmark, disk encryption and regular high computational processes) pertaining to the crypto ransomwares in light of software security.

研究动机与目标

• 利用 HPC 统计数据学习正常的系统行为，以在没有标记勒索软件数据的情况下检测异常。
• 将勒索软件与良性高计算负载进程以及磁盘加密区分开。
• 提供一个轻量、与内核无关的检测工具，适合实时运行。

提出的方法

• 通过 perf 监控硬件性能计数器(HPCs)，收集多变量时间序列数据。
• 使用基于 LSTM 的自编码器对正常系统行为进行建模，并通过重构误差检测异常。
• 使用 FFT 将时域 HPC 轨迹转换为频域，并应用第二个自编码器以区分重复的勒索软件模式。
• 在重构误差上使用 3-σ 规则引入阈值以触发异常警报。
• 在在线阶段，使用两自编码器管道加相关性模块来区分勒索软件与磁盘加密并终止可疑进程。
• 通过累积皮尔逊相关性使用磁盘加密模板来区分磁盘加密与勒索软件。

实验结果

研究问题

• RQ1 在没有标注数据的情况下，基于 HPC 的无监督时序学习能否检测到勒索软件？
• RQ2 基于 FFT 的分析能否减少来自良性高计算程序的误报？
• RQ3 在实际应用中，RAPPER 能在多大程度上将勒索软件与磁盘加密软件区分开？

主要发现

• RAPPER 在启动后大约 5.31 秒检测到 WannaCry 属于勒索软件（5313.0203 ms）。
• SPEC 基准在 Autoencoder_1 经常触发警报，但基于 FFT 的 Autoencoder_2 通过区分重复的勒索软件模式与良性工作负载来降低误报。
• Autoencoder_2 的阈值（R_t' = 0.002829）在 FFT 域将勒索软件与 SPEC 基准区分开。
• 在在线阶段，给定窗口的检测时间低于 10 ms 采样间隔，支持实时响应。
• 磁盘加密程序（TrueCrypt/VeraCrypt）通过与磁盘加密模板的累积相关性来与勒索软件区分；高相关性表示合法的磁盘加密。
• 该体系结构包括五个模块（看门程序、Autoencoder_1、FFT 转换器、Autoencoder_2、相关性模块），并在离线和在线阶段运作。