Modifizierte Entscheidungsbaumtechnik zur Erkennung von Ransomware zur Laufzeit durch API-Aufrufe

Ransomware (RW) ist eine besondere Art von Malware, die die Dateien verschlüsselt oder das System des Benutzers sperrt, indem sie deren Dateien als Geiseln hält und nimmt, was zu enormen finanziellen Verlusten für die Benutzer führt. In diesem Artikel schlagen wir ein neues Modell vor, das die neuartigen Merkmale aus dem RW-Datensatz extrahiert und die Klassifizierung der RW- und gutartigen Dateien durchführt. Das vorgeschlagene Modell kann eine große Anzahl von RW aus verschiedenen Familien zur Laufzeit erkennen und das Netzwerk, die Registry-Aktivitäten und das Dateisystem während der Ausführung scannen. Die API-Call-Serie wurde wiederverwendet, um die verhaltensbasierten Merkmale von RW darzustellen. Die Technik extrahiert einen vierzehndimensionalen Merkmalsvektor zur Laufzeit und analysiert ihn, indem sie Online-Maschinenlernalgorithmen anwendet, um die RW vorherzusagen. Um die Wirksamkeit und Skalierbarkeit zu validieren, testen wir 78.550 aktuelle bösartige und gutartige RW und vergleichen sie mit Random Forest und AdaBoost, und die Testgenauigkeit wurde auf 99,56 % erweitert.