RanStop：一种硬件辅助的运行时加密勒索软件检测技术
密码学与安全
2020-11-25 v1
摘要
在众多流行恶意软件中，加密勒索软件构成重大威胁，其通过对受影响用户的文档进行未授权加密制造访问拒绝，并将文档扣为人质进而实施财务勒索。这导致全球每年数百万美元的损失。多种勒索软件变体数量不断增长，且具备规避许多依赖静态执行特征的反病毒及纯软件恶意软件检测方案的能力。本文提出一种称为RanStop的硬件辅助方案，用于在商用处理器中早期检测加密勒索软件感染。RanStop利用现代处理器性能监控单元中嵌入的硬件性能计数器信息来观测微体系结构事件集，并检测已知与未知的加密勒索软件变体。本文训练了一种基于循环神经网络的机器学习架构，使用长短期记忆(LSTM)模型分析在执行多种勒索软件变体及良性程序时硬件域中的微体系结构事件。我们创建时间序列，利用相关HPC信息提取内在统计特征，并通过LSTM与全局平均池化提升RanStop检测精度并降低噪声。作为一种早期检测方案，RanStop能够在程序启动后通过分析间隔100微秒采集的20个时间戳的HPC信息，于2毫秒内准确快速地识别勒索软件。若尚未造成显著损害，该检测时间过早以至于勒索软件无法造成任何实质性破坏。此外，针对具有与加密勒索软件行为(以子例程为中心)相似性的良性程序进行验证表明，RanStop在五十次随机试验中平均检测准确率达97%。
引用
@article{arxiv.2011.12248,
title = {RanStop: A Hardware-assisted Runtime Crypto-Ransomware Detection Technique},
author = {Nitin Pundir and Mark Tehranipoor and Fahim Rahman},
journal= {arXiv preprint arXiv:2011.12248},
year = {2020}
}