رويكردي خودكار جهت تحليل و دسته بندي خانواده باج افزارهاي رمزگذار

An automated approach to analysis and classification of Crypto-ransomwares’ family

بدافزارها يكي از تهديدات هميشگي براي دستگاه هاي رايانه اي به شمار مي آيند. بدافزارها با ورود به دستگاه هاي رايانه اي بسته به اهدافشان، سعي دارند در روند عادي دستگاه هاي رايانه اي اخلال ايجاد كنند. دراين بين، بدافزارهايي به نام باجافزار وجود دارند كه پس از ورود به دستگاه هاي رايانه اي و محدود كردن دسترسي قرباني به دستگاه رايانه اي خود با رمزگذاري فايل هاي قرباني يا قفل گذاري دستگاه درصدد اخاذي از قرباني برمي آيد. اين نوع بدافزارها، يك تفاوت بسيار آشكار با ديگر بدافزارها دارد، باجافزارها باصراحت قرباني را از وجود خود بر روي دستگاه رايانه اي باخبر مي سازند. اين بدافزارها، برخلاف آسيب هاي جدياي كه بر روي دستگاه هاي قرباني وارد مي سازند، مي توانند با ويژگي هاي منحصربه فردي كه بر روي سامانه برجاي مي گذارند، شناسايي شوند. در اين مقاله، محيط مناسب را جهت اجراي باجافزارها و ويژگي هاي موثر را در شناسايي آنها ارايه مي كند. با اجراي باج افزارها در محيط ارايه شده، گزارشهايي از روند اجراي بدافزار حاصل خواهد شد. اين گزارشها ما را در كشف ويژگيهاي تمايز كننده رفتارهاي مخرب باج افزارها ياري خواهند كرد؛ با كمك اين ويژگي ها و الگوريتم هاي يادگيري ماشين مي توان با دقت 98/98 درصد علاوه بر شناسايي باجافزارها، خانواده باجافزارها را نيز تعيين كرد.

There is no doubt that malicious programs are one of the permanent threats to computer systems. Malicious programs distract the normal process of computer systems to apply their roguish purposes. Meanwhile, there is also a type of malware known as the ransomware that limits victims to access their computer system either by encrypting the victimchr('39')s files or by locking the system. Despite other malicious families, ransomware families explicitly warn victims against its existence on the computer system. Although ransomwares are serious problems with computers, they can be detected with restricted footprints on victims’ computers. In this research, we provide a ransomware monitoring system which requires special environments to extract the malware filesystemchr('39')s activities. A set of features based on filesystemchr('39')s activities is extracted to classify ransomware families with an accuracy 98% by applying machine learning technique.