Aplicação de aprendizado de máquina na classificação de ransomwares.

Abstract

Com o crescimento do número de softwares para diferentes dispositivos, o aumento de malwares (softwares maliciosos) tornou-se um problema cada vez mais relevante. Entre os tipos de malwares, um tipo específico denominado ransomware tem ganhado destaque no cenário mundial como uma das ameaças cibernéticas mais rentáveis para os cibercriminosos. Um ransomware busca extorquir digitalmente as vítimas, realizando o bloqueio e/ou criptografia dos dados, solicitando posteriormente o pagamento de uma taxa de resgate específica para reavê-los. A detecção de ransomwares torna-se, portanto, uma tarefa importante para auxiliar na segurança de um ambiente computacional, uma vez que esta ameaça consegue levar indivíduos e organizações a perder toda a sua informação. A aplicação de técnicas de análise juntamente com o apoio de ferramentas automatizadas permitem a obtenção de dados valiosos sobre programas maliciosos. Essas informações podem ser utilizadas como entrada para modelos de aprendizado de máquina, permitindo a classificação de arquivos potencialmente perigosos. Este trabalho tem como objetivo realizar a construção de um conjunto de dados baseado em informações de amostras malignas (ransomwares) e benignas (executáveis comuns), com o intuito de realizar sua classificação via algoritmos de aprendizado de máquina. Deseja-se verificar o desempenho dos algoritmos com diferentes atributos e por fim disponibilizar a base de dados criada para trabalhos futuros. Para este propósito foram obtidas 102 amostras de arquivos executáveis (52 malignas e 50 benignas) que foram submetidas ao sistema analisador Cuckoo Sandbox. Após isso, foi realizado o processamento dos relatórios colhidos, focando na obtenção dos dados dinâmicos gerados pelas amostras durante seu tempo de execução no ambiente simulado. Em posse destas informações foi possível preparar um dataset e realizar a sua classificação com 6 distintos modelos via o software WEKA, que possui uma coleção de algoritmos e ferramentas de mineração de dados. Ao verificar o desempenho dos classificadores foi percebido um maior desempenho dos modelos Random Forest e K-Nearest Neighbors, que atingiram respectivamente 93% e 91% de corretude na predição. Porém, destaca-se a atuação do modelo Logistic Regression, que classificou com uma maior acurácia as classes maliciosas do conjunto. Por fim, o estudo reforça a viabilidade das técnicas de análise e traz resultados de classificação com amostras recentes (conforme a data do presente estudo), buscando contribuir para literatura e futuros trabalhos, disponibilizando a base de dados para acesso público.