gmh5225/ransmap-ransomware-binary-classificationNotebook Jupyter analysant le jeu de données RanSMAP pour classer les familles de rançongiciels à partir des motifs d'accès mémoire (GPA, entropie, type de page) à l'aide de modèles d'ensemble scikit-learn.
Auteur : Kevin Thomas
[1] M. Hirano et R. Kobayashi, « RanSMAP: Open Dataset of Ransomware Storage and Memory Access Patterns for Creating Deep Learning Based Ransomware Detectors. » Computers & Security, 2024, 104202, ISSN 0167-4048, https://doi.org/10.1016/j.cose.2024.104202.
[2] M. Hirano et R. Kobayashi, « Machine Learning-based Ransomware Detection Using Low-level Memory Access Patterns Obtained From Live-forensic Hypervisor » In proceedings of 2022 IEEE International Conference on Cyber Security and Resilience (CSR), 2022, pp. 323-330, https://doi.org/10.1109/CSR54599.2022.9850340.
Creative Commons Attribution-NoDerivatives 4.0 International (CC BY-ND 4.0).
Cette analyse complète du jeu de données des caractéristiques comportementales des ransomwares RanSMAP démontre l'efficacité de l'analyse des motifs d'accès mémoire pour distinguer les logiciels malveillants des logiciels bénins grâce aux techniques d'apprentissage automatique. L'étude a examiné 1 425 904 opérations mémoire réparties sur 12 catégories (6 applications bénignes et 6 familles de ransomwares) en utilisant quatre caractéristiques clés : l'adresse physique invitée (GPA), l'entropie, la taille du contenu mémoire et le type de page.
Le jeu de données révèle des motifs d'accès mémoire distinctifs qui différencient les ransomwares des logiciels légitimes. Les opérations mémoire sont principalement axées sur les métadonnées (99,7 % impliquent une récupération de contenu de zéro octet) avec des distributions d'adresses fortement concentrées couvrant 9 673 valeurs GPA uniques. L'entropie présente une distribution bimodale frappante avec 51,0 % des opérations à exactement 0,0 d'entropie (données structurées) et 48,7 % à -1,0 d'entropie (contenu normalisé). L'architecture des pages mémoire est largement dominée par les pages standard de 4 Kio (99,3 %) par rapport aux grandes pages de 2 Mio (0,7 %), reflétant les motifs typiques de gestion mémoire des systèmes d'exploitation.
L'analyse a identifié plusieurs motifs comportementaux discriminants qui distinguent les familles de malwares des applications bénignes :
Stratégies d'allocation mémoire : Les familles de ransomwares présentent des valeurs GPA élevées (moyenne ~7,6 × 10^9) pour les opérations de contenu par rapport aux opérations de métadonnées (moyenne ~2,75 × 10^9), indiquant une allocation mémoire systématique dans des régions d'adresses plus élevées lors des activités malveillantes. Les grandes pages (2 Mio) présentent des motifs d'allocation concentrés avec des caractéristiques d'entropie élevées, suggérant une utilisation spécialisée pour les opérations de chiffrement critiques en termes de performances.
Motifs d'aléatoire du contenu : Les catégories de malwares présentent des signatures d'entropie distinctes, les opérations réelles de transfert de données (4096 octets) affichant une entropie nettement plus élevée (moyenne ~0,7) par rapport aux opérations de métadonnées (moyenne ~-0,5). Cette élévation reflète la génération de contenu chiffré caractéristique des processus de chiffrement des ransomwares.
Signatures spécifiques aux catégories : Le regroupement non supervisé par K-means a identifié avec succès quatre groupes comportementaux distincts, le groupe 3 représentant des motifs d'accès mémoire rares mais hautement discriminants concentrés dans des familles de ransomwares spécifiques (WannaCry, LockBit, Conti). Ces groupes capturent des signatures opérationnelles spécialisées qui pourraient servir d'empreintes comportementales spécifiques aux malwares.
Plusieurs approches d'apprentissage d'ensemble ont été évaluées pour la détection de ransomwares, avec des performances similaires entre les différents algorithmes :
Les méthodes d'ensemble (Random Forest : précision de 0,639, AdaBoost : précision de 0,639, Stacking : précision de 0,639) ont montré des performances constantes, avec une amélioration minimale par rapport aux arbres de décision uniques (précision de 0,638). L'approche de bagging avec des arbres de décision a atteint une précision de 0,639 avec un rappel élevé (0,994) mais une précision plus faible (0,637), ce qui indique des difficultés à distinguer les schémas d'accès mémoire malveillants des schémas bénins, nécessitant une ingénierie de caractéristiques plus sophistiquée.
Pour les praticiens de la cybersécurité : Déployez des systèmes de détection de rançongiciels basés sur la mémoire en exploitant les schémas comportementaux identifiés. Concentrez-vous sur la surveillance des opérations sur les grandes pages et des transferts de contenu à haute entropie dans les régions mémoire élevées comme indicateurs principaux d'activité malveillante.
Pour la communauté de recherche : Étendez l'analyse temporelle pour capturer les schémas d'évolution des rançongiciels et étudiez l'applicabilité multiplateforme de ces signatures d'accès mémoire. L'efficacité démontrée du clustering non supervisé suggère un potentiel de détection des rançongiciels zero-day grâce à l'identification d'anomalies comportementales.
Pour les administrateurs système : Mettez en œuvre une surveillance en temps réel des schémas d'allocation des pages mémoire et des caractéristiques d'entropie, en se concentrant particulièrement sur les caractéristiques discriminantes identifiées par l'analyse en composantes principales. La précision de classification de 63,9 % indique que des caractéristiques supplémentaires ou des approches hybrides peuvent être nécessaires pour un déploiement en production dans des environnements d'entreprise.
Cette analyse établit l'analyse des schémas d'accès mémoire comme une base pour la détection des rançongiciels, atteignant une précision de 63,9 % grâce à des techniques d'apprentissage d'ensemble avec un rappel notablement élevé (99,4 %) pour l'identification des activités malveillantes. Bien que les performances de classification actuelles indiquent une marge d'amélioration, l'identification de clusters comportementaux spécifiques et de schémas de relation entropie-GPA fournit des renseignements précieux pour le développement de défenses de cybersécurité renforcées. L'analyse complète des caractéristiques révèle que les comportements de gestion de la mémoire contiennent des informations discriminantes permettant de distinguer les activités de chiffrement malveillantes des opérations logicielles légitimes, bien que des caractéristiques supplémentaires et une optimisation du modèle soient nécessaires pour atteindre des performances prêtes pour la production dans les systèmes de détection de rançongiciels en entreprise.
GPA : Adresse physique invitée d'une page mémoire accédéesize : Taille du contenu mémoire obtenu sur la page accédée, [octet]entropy : Entropie de Shannon normalisée d'un contenu mémoire écrittype : Type d'accès de la page mémoire, (page de 4 Kio, page de 2 Mio, page de 1 Gio et accès MMIO)