gmh5225/ransmap-ransomware-binary-classificationCuaderno de Jupyter que analiza el conjunto de datos RanSMAP para clasificar familias de ransomware a partir de patrones de acceso a memoria (GPA, entropía, tipo de página) utilizando modelos de conjunto de scikit-learn.
Autor: Kevin Thomas
[1] M. Hirano y R. Kobayashi, "RanSMAP: Open Dataset of Ransomware Storage and Memory Access Patterns for Creating Deep Learning Based Ransomware Detectors." Computers & Security, 2024, 104202, ISSN 0167-4048, https://doi.org/10.1016/j.cose.2024.104202.
[2] M. Hirano y R. Kobayashi, "Machine Learning-based Ransomware Detection Using Low-level Memory Access Patterns Obtained From Live-forensic Hypervisor" En actas de la Conferencia Internacional IEEE 2022 sobre Ciberseguridad y Resiliencia (CSR), 2022, pp. 323-330, https://doi.org/10.1109/CSR54599.2022.9850340.
Creative Commons Attribution-NoDerivatives 4.0 International (CC BY-ND 4.0).
Este análisis exhaustivo del conjunto de datos de características conductuales de ransomware RanSMAP demuestra la eficacia del análisis de patrones de acceso a memoria para distinguir entre software malicioso y benigno mediante técnicas de aprendizaje automático. El estudio examinó 1.425.904 operaciones de memoria en 12 categorías (6 aplicaciones benignas y 6 familias de ransomware) utilizando cuatro características clave: Dirección Física del Invitado (GPA), entropía, tamaño del contenido de memoria y tipo de página.
El conjunto de datos revela patrones distintivos de acceso a memoria que diferencian el ransomware del software legítimo. Las operaciones de memoria están predominantemente centradas en metadatos (el 99,7% implican recuperación de contenido de cero bytes) con distribuciones de direcciones altamente concentradas que abarcan 9.673 valores únicos de GPA. La entropía exhibe una sorprendente distribución bimodal con el 51,0% de las operaciones en exactamente 0,0 de entropía (datos estructurados) y el 48,7% en -1,0 de entropía (contenido normalizado). La arquitectura de páginas de memoria está abrumadoramente dominada por páginas estándar de 4 KiB (99,3%) frente a páginas grandes de 2 MiB (0,7%), lo que refleja los patrones típicos de gestión de memoria del sistema operativo.
El análisis identificó varios patrones conductuales discriminativos que distinguen a las familias de malware de las aplicaciones benignas:
Estrategias de Asignación de Memoria: Las familias de ransomware exhiben valores elevados de GPA (media ~7,6 × 10^9) para operaciones de contenido en comparación con operaciones de metadatos (media ~2,75 × 10^9), lo que indica una asignación sistemática de memoria en regiones de direcciones más altas durante actividades maliciosas. Las páginas grandes (2 MiB) demuestran patrones de asignación concentrados con características de entropía elevadas, lo que sugiere un uso especializado para operaciones de cifrado críticas para el rendimiento.
Patrones de Aleatoriedad del Contenido: Las categorías de malware muestran firmas de entropía distintas, con operaciones reales de transferencia de datos (4096 bytes) que exhiben una entropía sustancialmente mayor (media ~0,7) en comparación con las operaciones de metadatos (media ~-0,5). Esta elevación refleja la generación de contenido cifrado característica de los procesos de cifrado de ransomware.
Firmas Específicas por Categoría: La agrupación no supervisada K-means identificó con éxito cuatro grupos conductuales distintos, donde el Grupo 3 representa patrones de acceso a memoria raros pero altamente discriminativos concentrados en familias específicas de ransomware (WannaCry, LockBit, Conti). Estos grupos capturan firmas operativas especializadas que podrían servir como huellas conductuales específicas del malware.
Se evaluaron múltiples enfoques de aprendizaje por conjuntos para la detección de ransomware, con un rendimiento similar entre los diferentes algoritmos:
Los métodos de ensamble (Random Forest: 0.639 de precisión, AdaBoost: 0.639 de precisión, Stacking: 0.639 de precisión) mostraron un rendimiento consistente, con una mejora mínima sobre los árboles de decisión individuales (0.638 de precisión). El enfoque de bagging con árboles de decisión alcanzó 0.639 de precisión con un recall alto (0.994) pero una precisión baja (0.637), lo que indica dificultades para distinguir entre patrones de acceso a memoria maliciosos y benignos que requieren una ingeniería de características más sofisticada.
Para profesionales de ciberseguridad: Desplegar sistemas de detección de ransomware basados en memoria aprovechando los patrones de comportamiento identificados. Centrarse en la monitorización de operaciones de páginas grandes y transferencias de contenido de alta entropía en regiones de memoria elevadas como indicadores primarios de actividad maliciosa.
Para la comunidad investigadora: Ampliar el análisis temporal para capturar patrones de evolución del ransomware e investigar la aplicabilidad multiplataforma de estas firmas de acceso a memoria. La eficacia demostrada del clustering no supervisado sugiere un potencial para la detección de ransomware de día cero mediante la identificación de anomalías de comportamiento.
Para administradores de sistemas: Implementar monitorización en tiempo real de los patrones de asignación de páginas de memoria y las características de entropía, centrándose particularmente en las características discriminativas identificadas mediante el análisis de componentes principales. La precisión de clasificación del 63.9% indica que puede ser necesario un trabajo adicional de ingeniería de características o enfoques híbridos para el despliegue en producción en entornos empresariales.
Este análisis establece el análisis de patrones de acceso a memoria como una base para la detección de ransomware, alcanzando una precisión del 63.9% mediante técnicas de aprendizaje por ensamble con un recall notablemente alto (99.4%) para identificar actividades maliciosas. Si bien el rendimiento de clasificación actual indica margen de mejora, la identificación de clústeres de comportamiento específicos y patrones de relación entropía-GPA proporciona inteligencia valiosa para desarrollar defensas de ciberseguridad mejoradas. El análisis exhaustivo de características revela que los comportamientos de gestión de memoria contienen información discriminativa para distinguir entre actividades de cifrado maliciosas y operaciones de software legítimas, aunque se requerirá ingeniería de características adicional y optimización de modelos para lograr un rendimiento listo para producción en sistemas empresariales de detección de ransomware.
GPA: Dirección física de invitado (Guest Physical Address) de una página de memoria accedidasize: Tamaño del contenido de memoria obtenido en la página accedida, [byte]entropy: Entropía de Shannon normalizada de un contenido de memoria escritotype: Tipo de acceso de la página de memoria, (página de 4 KiB, página de 2 MiB, página de 1 GiB y acceso MMIO)