gmh5225/ransmap-ransomware-binary-classificationNotebook Jupyter que analisa o conjunto de dados RanSMAP para classificar famílias de ransomware a partir de padrões de acesso à memória (GPA, entropia, tipo de página) usando modelos de ensemble do scikit-learn.
Autor: Kevin Thomas
[1] M. Hirano e R. Kobayashi, "RanSMAP: Open Dataset of Ransomware Storage and Memory Access Patterns for Creating Deep Learning Based Ransomware Detectors." Computers & Security, 2024, 104202, ISSN 0167-4048, https://doi.org/10.1016/j.cose.2024.104202.
[2] M. Hirano e R. Kobayashi, "Machine Learning-based Ransomware Detection Using Low-level Memory Access Patterns Obtained From Live-forensic Hypervisor" In proceedings of 2022 IEEE International Conference on Cyber Security and Resilience (CSR), 2022, pp. 323-330, https://doi.org/10.1109/CSR54599.2022.9850340.
Creative Commons Attribution-NoDerivatives 4.0 International (CC BY-ND 4.0).
Esta análise abrangente do conjunto de dados de características comportamentais de ransomware RanSMAP demonstra a eficácia da análise de padrões de acesso à memória para distinguir entre software malicioso e benigno por meio de técnicas de aprendizado de máquina. O estudo examinou 1.425.904 operações de memória em 12 categorias (6 aplicações benignas e 6 famílias de ransomware) usando quatro características principais: Endereço Físico do Convidado (GPA), entropia, tamanho do conteúdo de memória e tipo de página.
O conjunto de dados revela padrões distintos de acesso à memória que diferenciam ransomware de software legítimo. As operações de memória são predominantemente focadas em metadados (99,7% envolvem recuperação de conteúdo de zero bytes) com distribuições de endereços altamente concentradas abrangendo 9.673 valores únicos de GPA. A entropia exibe uma distribuição bimodal impressionante, com 51,0% das operações em exatamente 0,0 de entropia (dados estruturados) e 48,7% em -1,0 de entropia (conteúdo normalizado). A arquitetura de páginas de memória é esmagadoramente dominada por páginas padrão de 4 KiB (99,3%) em comparação com páginas grandes de 2 MiB (0,7%), refletindo os padrões típicos de gerenciamento de memória do sistema operacional.
A análise identificou vários padrões comportamentais discriminativos que distinguem famílias de malware de aplicações benignas:
Estratégias de Alocação de Memória: Famílias de ransomware exibem valores elevados de GPA (média ~7,6 × 10^9) para operações de conteúdo em comparação com operações de metadados (média ~2,75 × 10^9), indicando alocação sistemática de memória em regiões de endereços mais altos durante atividades maliciosas. Páginas grandes (2 MiB) demonstram padrões de alocação concentrados com características de entropia elevadas, sugerindo uso especializado para operações de criptografia críticas para o desempenho.
Padrões de Aleatoriedade de Conteúdo: Categorias de malware mostram assinaturas de entropia distintas, com operações reais de transferência de dados (4096 bytes) exibindo entropia substancialmente mais alta (média ~0,7) em comparação com operações de metadados (média ~-0,5). Essa elevação reflete a geração de conteúdo criptografado característica dos processos de criptografia de ransomware.
Assinaturas Específicas por Categoria: O agrupamento não supervisionado K-means identificou com sucesso quatro clusters comportamentais distintos, com o Cluster 3 representando padrões de acesso à memória raros, mas altamente discriminativos, concentrados em famílias específicas de ransomware (WannaCry, LockBit, Conti). Esses clusters capturam assinaturas operacionais especializadas que poderiam servir como impressões digitais comportamentais específicas de malware.
Múltiplas abordagens de aprendizado em conjunto foram avaliadas para detecção de ransomware, com desempenho semelhante entre diferentes algoritmos:
Os métodos de ensemble (Random Forest: 0,639 de acurácia, AdaBoost: 0,639 de acurácia, Stacking: 0,639 de acurácia) apresentaram desempenho consistente, com melhoria mínima em relação a árvores de decisão individuais (0,638 de acurácia). A abordagem de bagging com árvores de decisão alcançou 0,639 de acurácia com alto recall (0,994), mas menor precisão (0,637), indicando desafios na distinção entre padrões de acesso à memória maliciosos e benignos, o que exige engenharia de features mais sofisticada.
Para Profissionais de Cibersegurança: Implantar sistemas de detecção de ransomware baseados em memória, aproveitando os padrões comportamentais identificados. Concentre-se no monitoramento de operações em páginas grandes e transferências de conteúdo de alta entropia em regiões de memória elevadas como indicadores primários de atividade maliciosa.
Para a Comunidade de Pesquisa: Ampliar a análise temporal para capturar padrões de evolução do ransomware e investigar a aplicabilidade multiplataforma dessas assinaturas de acesso à memória. A eficácia demonstrada do clustering não supervisionado sugere potencial para detecção de ransomware zero-day por meio da identificação de anomalias comportamentais.
Para Administradores de Sistemas: Implementar monitoramento em tempo real dos padrões de alocação de páginas de memória e das características de entropia, com foco particular nas features discriminativas identificadas por meio da análise de componentes principais. A acurácia de classificação de 63,9% indica que engenharia de features adicional ou abordagens híbridas podem ser necessárias para implantação em produção em ambientes corporativos.
Esta análise estabelece a análise de padrões de acesso à memória como base para a detecção de ransomware, alcançando 63,9% de acurácia por meio de técnicas de aprendizado por ensemble, com recall notavelmente alto (99,4%) para identificar atividades maliciosas. Embora o desempenho atual de classificação indique espaço para melhoria, a identificação de clusters comportamentais específicos e de padrões de relação entropia-GPA fornece inteligência valiosa para o desenvolvimento de defesas cibernéticas aprimoradas. A análise abrangente de features revela que os comportamentos de gerenciamento de memória contêm informações discriminativas para distinguir entre atividades de criptografia maliciosas e operações legítimas de software, embora engenharia de features adicional e otimização de modelos sejam necessárias para alcançar desempenho pronto para produção em sistemas corporativos de detecção de ransomware.
GPA: Guest Physical Address de uma página de memória acessadasize: Tamanho do conteúdo de memória obtido na página acessada, [byte]entropy: Entropia de Shannon normalizada de um conteúdo de memória escritotype: Tipo de acesso da página de memória, (página de 4 KiB, página de 2 MiB, página de 1 GiB e acesso MMIO)category: Rótulo de classificação de família de ransomware ou benigno derivado da estrutura de diretórios (AESCrypt, Conti, Darkside, Firefox, Idle, LockBit, Office, REvil, Ryuk, SDelete, WannaCry, Zip)