Ransomware, en klass av självpropagerande malware som använder kryptering för att hålla offrens data ransom, har dykt upp under de senaste åren som en av de farligaste cyber hot, med omfattande skador; t.ex., noll-dagars ransomware WannaCry har orsakat världsomfattande katastrof, från knacka U.K. National Health Service sjukhus offline för att stänga ner en Honda Motor Company i Japan [1]. Vårt nära samarbete med säkerhetsoperationer av stora företag avslöjar att försvar mot ransomware bygger på tråkig analys från hög volym systemloggar av de första infektionerna. Sandlåda analys av nyfångade malware är också vanligt i drift. Vi introducerar en metod för att identifiera och ranka de mest diskriminerande ransomware funktioner från en uppsättning av omgivande (icke-attack) systemloggar och minst en loggström som innehåller både omgivande och ransomware beteende. Dessa rankade funktioner avslöjar en uppsättning malware åtgärder som produceras automatiskt från systemloggar, och kan hjälpa automatisera tråkig manuell analys. Vi testar vår strategi med WannaCry och två polymorphic prover genom att producera loggar med Cuckoo Sandbox under både omgivande, och omgivande plus ransomware avrättningar. Vårt mål är att extrahera funktionerna i malware från loggar med endast kunskap om att malware var närvarande. Vi jämför utgångar med en detaljerad analys av WannaCry möjliggör validering av algoritmens funktion extraktion och ger analys av metodens robusthet till variationer av inmatningsdata föränderlig kvalitet / kvantitet av omgivande data och testning polymorphic ransomware. Mest speciellt, våra mönster är exakta och orubbliga när de genereras från polymorfa WannaCry kopior, där 63 (av 63 testade) antivirus (AV) produkter misslyckas. Detta beslut träder i kraft dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.
Chen & Bridges REF introducerar en metod för att automatiskt extrahera ransomware beteende från bullriga systemloggar.
Automated Behavioral Analysis of Malware: A Case Study of WannaCry Ransomware
{'venue': '2017 16th IEEE International Conference on Machine Learning and Applications (ICMLA)', 'journal': '2017 16th IEEE International Conference on Machine Learning and Applications (ICMLA)', 'mag_field_of_study': ['Computer Science']}