Análise Forense de Famílias de Ransomware Usando Análise Estática e Dinâmica

A análise forense de executáveis ou arquivos binários é a prática comum de detecção de características de malware. A engenharia reversa é realizada em executáveis em diferentes níveis, como binários brutos, códigos de montagem, bibliotecas e chamadas de funções para melhor analisar e interpretar o propósito dos segmentos de código de malware. Neste trabalho, aplicamos técnicas de mineração de dados para correlacionar componentes de código em múltiplos níveis (derivados do processo de engenharia reversa) para encontrar regras de associação únicas para identificar famílias de ransomware. No entanto, um processo reverso e a análise da estrutura de código nem sempre fornecem o comportamento em tempo de execução dos executáveis, então usamos abordagens combinadas (estática e dinâmica) para revelar melhor a intenção oculta do programa. Realizamos a análise de 450 amostras de ransomware e os resultados experimentais relataram algumas correlações importantes entre diferentes componentes de código de nossa análise combinada.