gmh5225/ransmap-ransomware-binary-classificationNotebook Jupyter che analizza il dataset RanSMAP per classificare le famiglie di ransomware a partire dai pattern di accesso alla memoria (GPA, entropia, tipo di pagina) utilizzando modelli ensemble di scikit-learn.
Autore: Kevin Thomas
[1] M. Hirano e R. Kobayashi, "RanSMAP: Open Dataset of Ransomware Storage and Memory Access Patterns for Creating Deep Learning Based Ransomware Detectors." Computers & Security, 2024, 104202, ISSN 0167-4048, https://doi.org/10.1016/j.cose.2024.104202.
[2] M. Hirano e R. Kobayashi, "Machine Learning-based Ransomware Detection Using Low-level Memory Access Patterns Obtained From Live-forensic Hypervisor" In proceedings of 2022 IEEE International Conference on Cyber Security and Resilience (CSR), 2022, pp. 323-330, https://doi.org/10.1109/CSR54599.2022.9850340.
Creative Commons Attribution-NoDerivatives 4.0 International (CC BY-ND 4.0).
Questa analisi completa del dataset delle caratteristiche comportamentali del ransomware RanSMAP dimostra l'efficacia dell'analisi dei pattern di accesso alla memoria per distinguere tra software dannoso e benigno tramite tecniche di apprendimento automatico. Lo studio ha esaminato 1.425.904 operazioni di memoria in 12 categorie (6 applicazioni benigne e 6 famiglie di ransomware) utilizzando quattro caratteristiche chiave: indirizzo fisico guest (GPA), entropia, dimensione del contenuto in memoria e tipo di pagina.
Il dataset rivela pattern distintivi di accesso alla memoria che differenziano il ransomware dal software legittimo. Le operazioni di memoria sono prevalentemente incentrate sui metadati (il 99,7% comporta il recupero di contenuti a zero byte) con distribuzioni di indirizzi altamente concentrate che coprono 9.673 valori GPA univoci. L'entropia mostra una sorprendente distribuzione bimodale con il 51,0% delle operazioni a entropia esattamente 0,0 (dati strutturati) e il 48,7% a -1,0 (contenuto normalizzato). L'architettura delle pagine di memoria è dominata in modo schiacciante dalle pagine standard da 4 KiB (99,3%) rispetto alle pagine grandi da 2 MiB (0,7%), riflettendo i tipici pattern di gestione della memoria dei sistemi operativi.
L'analisi ha identificato diversi pattern comportamentali discriminanti che distinguono le famiglie di malware dalle applicazioni benigne:
Strategie di allocazione della memoria: Le famiglie di ransomware mostrano valori GPA elevati (media ~7,6 × 10^9) per le operazioni sui contenuti rispetto alle operazioni sui metadati (media ~2,75 × 10^9), indicando un'allocazione sistematica della memoria in regioni di indirizzi più alte durante le attività dannose. Le pagine grandi (2 MiB) mostrano pattern di allocazione concentrati con caratteristiche di entropia elevate, suggerendo un uso specializzato per operazioni di crittografia critiche per le prestazioni.
Pattern di casualità dei contenuti: Le categorie di malware mostrano firme di entropia distinte, con le operazioni effettive di trasferimento dati (4096 byte) che presentano un'entropia sostanzialmente più elevata (media ~0,7) rispetto alle operazioni sui metadati (media ~-0,5). Questo aumento riflette la generazione di contenuti crittografati caratteristica dei processi di crittografia del ransomware.
Firme specifiche per categoria: Il clustering K-means non supervisionato ha identificato con successo quattro cluster comportamentali distinti, con il Cluster 3 che rappresenta pattern di accesso alla memoria rari ma altamente discriminanti concentrati in specifiche famiglie di ransomware (WannaCry, LockBit, Conti). Questi cluster catturano firme operative specializzate che potrebbero fungere da impronte comportamentali specifiche del malware.
Sono stati valutati molteplici approcci di apprendimento ensemble per il rilevamento del ransomware, con prestazioni simili tra i diversi algoritmi:
I metodi ensemble (Random Forest: accuratezza 0,639, AdaBoost: accuratezza 0,639, Stacking: accuratezza 0,639) hanno mostrato prestazioni costanti, con un miglioramento minimo rispetto ai singoli alberi decisionali (accuratezza 0,638). L'approccio bagging con alberi decisionali ha raggiunto un'accuratezza di 0,639 con un recall elevato (0,994) ma una precisione inferiore (0,637), indicando difficoltà nel distinguere tra pattern di accesso alla memoria malevoli e benigni che richiedono un feature engineering più sofisticato.
Per i professionisti della cybersecurity: Distribuire sistemi di rilevamento ransomware basati sulla memoria che sfruttano i pattern comportamentali identificati. Concentrarsi sul monitoraggio delle operazioni su pagine di grandi dimensioni e dei trasferimenti di contenuti ad alta entropia nelle regioni di memoria elevate come indicatori primari di attività malevola.
Per la comunità di ricerca: Ampliare l'analisi temporale per catturare i pattern evolutivi del ransomware e indagare l'applicabilità cross-platform di queste firme di accesso alla memoria. L'efficacia dimostrata del clustering non supervisionato suggerisce un potenziale per il rilevamento di ransomware zero-day attraverso l'identificazione di anomalie comportamentali.
Per gli amministratori di sistema: Implementare il monitoraggio in tempo reale dei pattern di allocazione delle pagine di memoria e delle caratteristiche di entropia, concentrandosi in particolare sulle feature discriminative identificate tramite l'analisi delle componenti principali. L'accuratezza di classificazione del 63,9% indica che potrebbero essere necessari ulteriori feature engineering o approcci ibridi per la distribuzione in produzione in ambienti enterprise.
Questa analisi stabilisce l'analisi dei pattern di accesso alla memoria come fondamento per il rilevamento del ransomware, raggiungendo un'accuratezza del 63,9% attraverso tecniche di ensemble learning con un recall notevolmente elevato (99,4%) per l'identificazione di attività malevole. Sebbene le prestazioni di classificazione attuali indichino margini di miglioramento, l'identificazione di specifici cluster comportamentali e dei pattern di relazione entropia-GPA fornisce informazioni preziose per lo sviluppo di difese informatiche potenziate. L'analisi completa delle feature rivela che i comportamenti di gestione della memoria contengono informazioni discriminative per distinguere tra attività di cifratura malevole e operazioni software legittime, sebbene saranno necessari ulteriori feature engineering e ottimizzazione del modello per raggiungere prestazioni pronte per la produzione nei sistemi di rilevamento ransomware enterprise.
GPA: Guest Physical Address di una pagina di memoria accedutasize: Dimensione dei contenuti di memoria ottenuti sulla pagina acceduta, [byte]entropy: Entropia di Shannon normalizzata di un contenuto di memoria scrittotype: Tipo di accesso della pagina di memoria, (pagina da 4 KiB, pagina da 2 MiB, pagina da 1 GiB e accesso MMIO)category: Etichetta di classificazione della famiglia ransomware o benigna derivata dalla struttura delle directory (AESCrypt, Conti, Darkside, Firefox, Idle, LockBit, Office, REvil, Ryuk, SDelete, WannaCry, Zip)