Hardware-Assisted Multi-Stage Ransomware Detection with Adaptive Machine Learning
Florida State University（佛罗里达州立大学）；Stony Brook University（石溪大学）
该研究提出结合软件扫描与硬件监测的框架，采用对抗训练、NAS技术，经实验验证其能提升勒索软件检测准确率、降低延迟并具备追踪级可解释性。
2026-10-14 cs.AI cs.CR cs.LG
Software-Defined Networking-based Crypto Ransomware Detection Using HTTP Traffic Characteristics
勒索软件目前是个人和企业互联网用户的主要威胁。尤其危险的是加密勒索软件，它会加密重要的用户数据，只有在支付赎金后才有可能恢复。因此，制定有效的对策是一个日益必要的。在本文中，我们提出了一种新的基于软件定义网络（SDN）的检测方法，利用勒索软件通信的特点。基于对两个加密勒索软件家族（即CryptoWall和Locky）的网络通信的观察，我们得出结论，分析HTTP消息的序列及其各自的内容大小足以检测此类威胁。我们通过设计和评估基于SDN的概念验证检测系统来展示我们方法的可行性。实验结果证明了该方法的可行性和有效性。
2016-11-24 cs.CR
Leveraging Machine Learning for Ransomware Detection
目前的疫情使世界各地的网络攻击急剧增加。攻击者正在大量使用特洛伊木马、间谍软件、rootkit、蠕虫、勒索软件等恶意软件。勒索软件是最臭名昭著的恶意软件，但我们没有任何防御机制来防止或检测零日攻击。行业中的大多数防御性产品依赖于基于签名的机制或基于流量的异常检测。因此，研究人员正在采用机器学习和深度学习来开发基于行为的恶意软件检测机制。虽然我们有一些混合机制，可以对可执行文件执行静态和动态分析以进行检测，但我们没有任何完整的检测概念证明，可用于开发特定于勒索软件的完整证明产品。在这项工作中，我们已经开发了一个使用机器学习模型的勒索软件检测的概念证明。对决策树、随机森林、KNN、SVM、XGBoost和Logistic回归等几种机器学习模型进行了详细的分析和效率比较。我们获得了98.21%的准确率，并评估了各种指标，如精确度，召回率，TP，TN，FP和FN。
2022-06-04 cs.CR
Data-Centric Machine Learning Approach for Early Ransomware Detection and Attribution
本文提出了一个以数据为中心的机器学习框架，利用极简勒索软件数据集和PE文件静态分析，实现了针对最新威胁的早期勒索软件检测与归因，在准确率和零日威胁检测上表现优异。
2023-05-22 cs.CR
Cryptographic ransomware encryption detection: Survey
本综述提出一种描述现代加密勒索软件攻击的网络杀伤链，聚焦加密阶段，总结API/系统调用、I/O监控和文件系统活动监控三种检测方法，并指出学术研究与商业应用间的差距。
2023-06-21 cs.CR
Ransomware Classification and Detection With Machine Learning Algorithms
恶意攻击、恶意软件和勒索软件家族给网络安全带来了严重的安全问题，并且可能对各个行业和企业的计算机系统、数据中心、Web和移动应用程序造成灾难性损害。传统的反勒索软件系统难以抵御新创建的复杂攻击。因此，最先进的技术，如传统和基于神经网络的架构，可以在开发创新的勒索软件解决方案中得到极大的利用。在本文中，我们提出了一个基于特征选择的框架，采用不同的机器学习算法，包括基于神经网络的架构，对勒索软件检测和预防的安全级别进行分类。我们应用了多种机器学习算法：决策树（DT）、随机森林（RF）、朴素贝叶斯（NB）、逻辑回归（LR）以及基于神经网络（NN）的分类器，对选定数量的特征进行勒索软件分类。我们在一个勒索软件数据集上进行了所有实验，以评估我们提出的框架。实验结果表明，RF分类器优于其他方法的准确性，F-beta和精度分数。
2022-07-02 cs.CR
Hierarchical Polysemantic Feature Embedding for Autonomous Ransomware Detection
针对传统勒索软件检测方法泛化性不足、难适配演化攻击的问题，提出分层多义特征嵌入框架，通过双曲空间特征嵌入实现鲁棒检测，准确率更高、误报率更低，兼顾效率，适配现实安全应用。
2025-03-25 cs.CR
Majority Voting Approach to Ransomware Detection
本文提出一种基于多数投票和累积评分的勒索软件检测方法，通过23个候选测试和9个Windows API测试进行算法化计算，以提升检测的鲁棒性并增加勒索软件规避检测的难度。
2023-05-30 cs.CR
Leveraging Support Vector Machine for Opcode Density Based Detection of Crypto-Ransomware
勒索软件是一个重大的全球威胁，由于普遍的勒索软件即服务模式，易于部署。结合使用操作码特征和支持向量机的机器学习算法已被证明是用于一般恶意软件检测的成功方法。这项研究的重点是加密勒索软件，并使用恶意和良性可移植可执行文件的静态分析来提取所有样本中的443个操作码，将它们表示为数据集中的密度直方图。在WEKA机器学习工具集中使用SMO分类器和PUK内核，证明该方法在区分勒索软件和好软件时可以达到100%的准确率，并且在区分5个加密勒索软件家族和好软件时可以达到96.5%。此外，8种不同的属性选择方法进行评估，以实现显着的特征约简。使用CorrelationAttributeEval方法可以保持接近100%的精度，特征减少59.5%。CFSSubset过滤器实现了97.7%的最高特征减少，但精度略低，为94.2%。
2018-07-27 cs.CR
ROFBS$α$: Real Time Backup System Decoupled from ML Based Ransomware Detection
ROFBS$α$通过eBPF异步解耦备份与检测，提升勒索软件防御的备份成功率和检测速度，但应对极速加密仍具挑战。
2025-04-19 cs.CR
Decentralized Entropy-Driven Ransomware Detection Using Autonomous Neural Graph Embeddings
本文提出去中心化熵驱动检测（DED）框架，结合自主神经图嵌入与熵异常评分，在分布式节点上实现超95%准确率、低于2%误报率，可快速检测勒索软件攻击，优于现有方法。
2025-03-26 cs.CR
A Sysmon Incremental Learning System for Ransomware Analysis and Detection
本文提出 SILRAD 系统，利用 Sysmon 监控与在线增量学习实现勒索软件持续检测，结合 PCC 特征选择和 ADWIN 概念漂移检测，取得 98.89% 准确率和 94.11% MCC。
2025-01-02 cs.CR
Peeler: Profiling Kernel-Level Events to Detect Ransomware
勒索软件是一种日益增长的威胁，通常通过加密受害者的文件或锁定受害者的计算机来操作，直到受害者支付赎金。然而，利用现有的传统恶意软件检测技术来及时检测此类恶意软件仍然具有挑战性。在本文中，我们提出了一种新的勒索软件检测系统，称为“Peeler”（分析kernEl级事件以检测勒索软件）。Peeler偏离了单个勒索软件样本的签名，并依赖于在内核级别描述的勒索软件的常见和通用特征。分析不同的勒索软件家族，我们观察到勒索软件的固有行为特征，如攻击前执行的隐身操作，文件I/O请求模式，进程生成以及内核级事件之间的相关性。基于这些特征，我们开发了Peeler，它可以持续监控目标系统的内核事件，并检测系统上的勒索软件攻击。我们的实验结果表明，Peeler对43个不同的勒索软件家族实现了超过99%的检测率和0. 58%的假阳性率，其中包含来自加密和屏幕锁类型的勒索软件的样本。对于加密勒索软件，Peeler在只有一个文件丢失后立即检测到它们（平均在115毫秒内）。在正常工作负载条件下，Peeler仅使用9.8MB内存，占用约4.9%的CPU时间。我们的分析表明，Peeler可以通过监控内核级事件来有效地检测各种恶意软件家族。
2021-01-29 cs.CR
Ransomware Detection Using Federated Learning with Imbalanced Datasets
针对联邦学习检测勒索软件时数据不平衡导致性能下降的问题，提出加权交叉熵损失函数的改进方案，实验证明其提升分类器性能。
2023-11-13 cs.CR
RAPPER: Ransomware Prevention via Performance Counters
勒索软件能够造成直接的、可控的经济损失，是网络安全中最突出的威胁之一。根据最新的统计数据，2017年第一季度报告的恶意软件中有一半以上是勒索软件，并且新手网络犯罪分子访问rasomware即服务的威胁很大。基于公钥的数据绑架和随后的勒索的概念于1996年提出。从那时起，勒索软件的变体出现了不同的密码系统和更大的密钥大小，但底层技术保持不变。虽然在文献中有作品提出了一个通用的框架来检测加密勒索软件，但我们提出了一个两步无监督检测工具，当怀疑进程活动是恶意的时，发出警报以进行进一步的分析，并在第二步中以最小的痕迹检测它。两步检测框架- RAPPER使用人工神经网络和快速傅立叶变换开发了一种高度准确、快速和可靠的解决方案，使用最少的跟踪点进行勒索软件检测。
2018-02-12 cs.CR
Intermittent File Encryption in Ransomware: Measurement, Modeling, and Detection
Texas Tech University（德克萨斯理工大学）
本文研究了勒索软件中间歇性加密对检测技术的影响，提出基于CNN的局部分析方法，证明其在检测效果上的优越性。
2026-08-18 cs.CR
Cross-temporal Detection of Novel Ransomware Campaigns: A Multi-Modal Alert Approach
提出一种基于多模态告警图的新方法，用于跨时间检测勒索软件活动，有效表示攻击时间线并适应不同攻击模式。
2023-09-01 cs.CR
Machine Learning-based Ransomware Detection Using Low-level Memory Access Patterns Obtained From Live-forensic Hypervisor
由于现代反病毒软件主要依赖于基于签名的静态分析，因此它们不适合应对恶意软件变体的快速增加。而且，更糟糕的是，操作系统的许多漏洞使攻击者能够逃避这样的保护机制。因此，我们开发了一款轻薄的实时取证虚拟机管理程序，以在操作系统的传统保护层下创建额外的保护层，并使用动态行为功能支持勒索软件检测。开发的实时取证管理程序收集低级内存访问模式，而不是现代虚拟机内省技术所采用的高级信息，如进程ID和API调用。然后，我们创建了三个勒索软件样本，一个雨刷恶意软件样本和四个良性应用程序的低级内存访问模式数据集。我们确认，我们最好的机器学习分类器仅使用低级内存访问模式，在检测勒索软件和雨刮器恶意软件方面取得了0.95的$F_1$分数。
2022-08-18 cs.CR
Federated Learning Approach for Distributed Ransomware Analysis
本文提出一种基于联邦学习的机器学习框架，利用极简PE文件数据集进行静态分析，实现早期勒索软件检测与归因，并在多个分类器上验证了高准确率和零日威胁检测能力。
2023-06-25 cs.CR
Hypervisor-based Double Extortion Ransomware Detection Method Using Kitsune Network Features
本文针对双重勒索勒索软件攻击，提出基于轻量级虚拟机监控程序的低层存储、内存行为特征与Kitsune网络特征相结合的检测方法，用于识别数据窃取阶段，实验显示宏观F分数提升0.166。
2025-08-12 cs.CR
Zero Day Ransomware Detection with Pulse: Function Classification with Transformer Models and Assembly Language
本研究提出基于Transformer模型与汇编语言的零日勒索软件检测框架Pulse，借助动态二进制插桩工具Peekaboo捕获真实恶意软件行为，通过消除训练与测试样本的相似功能，使模型仅靠上下文和新指令组合高精度识别新型勒索软件。
2024-08-15 cs.CR
Zero-day attack and ransomware detection
本文利用UGRansome数据集训练多种机器学习模型检测零日攻击和勒索软件，发现随机森林、XGBoost和集成方法表现最佳，并指出未来应结合SMOTE和多样化数据集提升实时识别能力。
2024-08-08 cs.CR
Decentralized Entropy-Based Ransomware Detection Using Autonomous Feature Resonance
本文提出自主特征共振方法，通过分析系统进程的熵特征交互，实现去中心化勒索软件检测，准确率达97.3%，优于现有技术，并具备低延迟、高可扩展性和抗混淆能力。
2025-03-26 cs.CR
Blockchain security for ransomware detection
针对区块链网络中利用零日漏洞的勒索软件攻击检测难题，本研究基于UGRansome数据集利用Lazy Predict库自动化比较机器学习模型，发现DecisionTreeClassifier和ExtraTreeClassifier因高效低耗时最适合实时威胁检测。
2024-07-23 cs.CR
iCNN-LSTM: A batch-based incremental ransomware detection system using Sysmon
本文提出iCNN-LSTM系统，通过Sysmon日志和批处理增量学习实现终端实时勒索软件检测，在高度不平衡数据上取得99.61%的平均F2分数，兼具高准确率与低延迟。
2025-01-02 cs.CR
A Computational Model for Ransomware Detection Using Cross-Domain Entropy Signatures
本文提出一种基于跨域熵签名的计算模型，通过分析文件、内存和网络熵偏差检测勒索软件，实现高准确率与低误报，并具备实时部署潜力。
2025-03-26 cs.CR
CanCal: Towards Real-time and Lightweight Ransomware Detection and Response in Industrial Environments
本文提出实时轻量级勒索软件检测系统CanCal，通过监控层过滤可疑进程并进行深入行为分析，有效降低系统开销与告警疲劳，在大规模工业环境中实现毫秒级推理与秒级响应，已成功部署并阻止多起真实攻击。
2024-08-29 cs.CR
Ransomware Analysis using Feature Engineering and Deep Neural Networks
检测和分析用于勒索的潜在恶意软件是一项具有挑战性的任务。最近，入侵者正在利用先进的加密技术来获取数字资产，然后要求赎金。一般认为，文件包括可以由机器学习技术识别的一些属性、状态和模式。因此，这项工作的重点是通过执行特征工程来检测勒索软件，这有助于分析恶意软件的重要属性和行为。这项工作的主要贡献是识别勒索软件的重要和独特的特征，可以帮助检测它们。最后，基于选定的特征，传统的机器学习技术和基于迁移学习的深度卷积神经网络都被用来检测勒索软件。为了执行特征工程和分析，生成了两个单独的数据集（静态和动态）。静态数据集有3646个样本（1700个勒索软件和1946个好软件）。另一方面，动态数据集由3444个样本组成（1455个勒索软件和1989个Goodware）。通过各种实验，观察到注册表更改，API调用和DLL是Ransomware检测的最重要功能。此外，在N-Gram技术的帮助下发现了重要的序列。还观察到，在注册表删除操作的情况下，如果恶意文件试图删除注册表，则它遵循特定的重复序列。然而，对于良性文件，它不遵循任何特定的顺序或重复。同样，通过这项研究得出的一个有趣的观察结果是，恶意和良性文件之间没有共同的注册表删除序列。因此，这一明显的事实可以很容易地用于勒索软件检测。
2020-06-04 cs.CR
Hierarchical Entropy Disruption for Ransomware Detection: A Computationally-Driven Framework
该框架通过分析分层系统熵扰动来检测勒索软件异常，在保持低计算开销和高实时效率的同时，实现了高检测精度，并对混淆技术具有韧性。
2025-08-08 cs.CR
Hierarchical Manifold Projection for Ransomware Detection: A Novel Geometric Approach to Identifying Malicious Encryption Patterns
本文提出基于分层流形投影的勒索软件检测框架，通过几何特征分离恶意加密模式，在变体多样性和混淆下保持高准确率与实时可扩展性。
2025-03-25 cs.CR
A Comparative Performance Analysis of Explainable Machine Learning Models With And Without RFECV Feature Selection Technique Towards Ransomware Classification
勒索软件已成为最近几天的主要全球威胁之一。勒索软件攻击和新的勒索软件变体的惊人增长率促使该领域的研究人员不断研究勒索软件的显著特征，并改进其检测或分类策略。在广泛的不同行为特征中，应用程序编程接口（API）调用和网络行为的特征已被广泛用作勒索软件检测或分类的区分因素。虽然许多现有方法在利用这些特征而不应用任何特征选择技术来检测和分类勒索软件家族方面已经显示出有希望的结果，但是，特征选择是朝向高效检测或分类机器学习模型的潜在步骤之一，因为它通过去除冗余数据来降低过拟合的概率，通过去除不相关的特征来提高模型的准确性，因此减少了训练时间。到目前为止，已经有大量的特征选择技术被用于不同的安全场景，以优化机器学习模型的性能。因此，本研究的目的是提供广泛使用的监督机器学习模型的比较性能分析，使用和不使用RFECV特征选择技术，利用API调用和网络流量特征进行勒索软件分类。因此，这项研究提供了深入了解的效率的RFECV特征选择技术的勒索软件分类的情况下，可以使用同行作为参考，为今后的工作中选择的特征选择技术在这个领域。
2022-12-09 cs.CR
Interpretable Ransomware Detection Using Hybrid Large Language Models: A Comparative Analysis of BERT, RoBERTa, and DeBERTa Through LIME and SHAP
University of Pretoria（比勒陀利亚大学）；Burdur Mehmet Akif Ersoy University（布尔杜尔·穆罕默德·阿基夫·埃尔索伊大学）
本文通过LIME和SHAP分析BERT、RoBERTa和DeBERTa在勒索软件检测中的表现，发现RoBERTa在F1分数上表现最佳，而BERT在ROC-AUC上表现最优，展示了LLM与XAI结合的透明检测框架。
2025-11-17 cs.CR
AI-based Malware and Ransomware Detection Models
Orange Innovation（Orange创新中心）；University of Caen Normandy（卡昂诺曼底大学）
网络犯罪是本世纪主要的数字威胁之一。特别是勒索软件攻击显著增加，导致全球损失成本达数百亿美元。在本文中，我们对不同的机器学习和深度学习模型进行了训练和测试，用于恶意软件检测、恶意软件分类和勒索软件检测。我们介绍了一种新颖灵活的解决方案，该解决方案结合了两种针对恶意软件和勒索软件检测的优化模型。我们的研究结果表明，无论是在检测性能和灵活性方面的一些改进。特别是，我们的组合模型为未来使用专门的可互换检测模块进行更轻松的增强铺平了道路。
2022-11-28 cs.AI cs.CR
BitcoinHeist: Topological Data Analysis for Ransomware Detection on the Bitcoin Blockchain
加密货币的扩散（例如，比特币）允许伪匿名交易，这使得勒索软件开发者更容易通过加密敏感的用户数据来索要赎金。最近披露的勒索软件攻击已经在从地方政府到医疗保健的不同部门造成了重大的经济损失和社会危害。大多数现代勒索软件使用比特币进行支付。然而，尽管比特币交易被永久记录并公开可用，但当前用于检测勒索软件的方法仅依赖于几个搜索和/或繁琐的信息收集步骤（例如，运行勒索软件以收集勒索软件相关的比特币地址）。据我们所知，以前的方法都没有采用先进的数据分析技术来自动检测与勒索软件相关的交易和恶意比特币地址。通过利用拓扑数据分析的最新进展，我们提出了一个高效且易于处理的数据分析框架，可以在仅提供有限的先前交易记录的情况下自动检测勒索软件家族中的新恶意地址。此外，我们提出的技术具有很高的实用性，以检测新的勒索软件家族的出现，即勒索软件没有以前的交易记录。使用现有的已知勒索软件数据集，我们表明，与现有的基于启发式的方法相比，我们提出的方法在勒索软件交易检测的精确度和召回率方面有显着提高，并且可以用于自动化勒索软件检测。
2019-06-19 cs.CR cs.DC
Privacy-Aware Machine Unlearning with SISA for Reinforcement Learning-Based Ransomware Detection
Charles Sturt University（查尔斯史都华大学）
本文提出基于SISA训练的隐私感知机器无学习框架，用于强化学习勒索软件检测，通过仅重新训练受影响的模型分片实现高效数据删除，减少训练成本并保持检测性能。
2026-04-18 cs.CR
DDQN-MLP: An Explainable and Adversarially Robust DRL-Guided Adaptive Learning Framework for Ransomware Detection
Charles Sturt University（查尔斯史都华大学）；University of New South Wales（新南威尔士大学）
提出DDQN-MLP框架，利用双深度Q网络自适应加权指导MLP进行勒索软件检测，在2000样本数据集上达到99.30%准确率，兼具可解释性与对抗鲁棒性。
2026-09-18 cs.CR
SA-DRL: Security-Aware Deep Reinforcement Learning for Ransomware Detection with Asymmetric Reward Design
School of Computing, Mathematics and Engineering, Charles Sturt University（查尔斯史都华大学计算、数学与工程学院）；AI and Cyber Futures Center, Charles Sturt University（查尔斯史都华大学人工智能与网络未来中心）
研究针对勒索软件检测中误报和漏报后果不同的问题，提出SA-DRL框架，通过非对称奖励设计及SOMS标准等，利用深度强化学习智能体进行检测，实验表明该方法能提升检测性能，凸显奖励函数设计的重要性。
2026-07-09 cs.CR
Detection of ransomware attacks using federated learning based on the CNN model
Gachon University（嘉泉大学）；National Institute of Informatics（信息学研究所）；SitinCloud（思汀云）
本文针对数字变电站面临的勒索软件威胁，提出将二进制数据转为图像并利用联邦学习训练CNN模型进行检测，实验证明该方法具有较高准确率。
2024-05-01 cs.AI cs.CR
Crypto-Ransomware and Their Defenses: In-depth Behavioral Characterization, Discussion of Deployability, and New Insights
本研究回顾了117篇勒索软件防御文献并按实现层级分类探讨其可部署性，通过定量分析真实样本的运行时行为，提出基于API对比优化的未来检测方向，并评估商业防御方案以识别安全缺口。
2024-11-18 cs.CR
Semantic Entanglement-Based Ransomware Detection via Probabilistic Latent Encryption Mapping
针对传统勒索软件检测依赖静态特征、难应对多态攻击的问题，提出基于概率潜在加密映射的检测框架，通过熵偏差统计与概率推理识别加密异常，在多环境下准确率高、误报低，对未知攻击与混淆策略适应性强，适用于实时安全场景。
2025-03-25 cs.CR
A Comprehensive Analysis of Machine Learning Based File Trap Selection Methods to Detect Crypto Ransomware
针对勒索软件快速加密导致的文件损失问题，论文评估多种非参数聚类陷阱选择方法，并提出 APFO，在18种现代勒索软件上实现0.32%文件损失和1.03秒检测延迟。
2024-09-13 cs.CR
GuardFS: a File System for Integrated Detection and Mitigation of Linux-based Ransomware
针对现有勒索软件检测方法难以落地防护、Linux平台缓解方案多止步于告警的问题，提出基于定制覆盖文件系统的GuardFS，集成检测与三种混淆、延迟、追踪式防御配置，可显著减少数据丢失，且防御效果与资源、可用性影响相关。
2024-01-31 cs.CR
Ransomware Detection Dynamics: Insights and Implications
本研究提出基于基尼不纯度和互信息的特征选择算法（RFSA），利用UGRansome数据集区分勒索软件相关交易，实验显示约68%事件涉及1.46至2.56 BTC，有助于早期检测。
2024-02-07 cs.CR cs.CY
Spectral Entanglement Fingerprinting: A Novel Framework for Ransomware Detection Using Cross-Frequency Anomalous Waveform Signatures
针对传统勒索软件检测易被规避的问题，提出基于频域分析的谱纠缠指纹（SEF）框架，通过提取加密活动的谱特征实现检测，在准确率、误报率、延迟和可扩展性上均表现优异，支持高吞吐量环境下的主动防御。
2025-03-25 cs.CR
Detecting Avalanche Effect in Adversarial Settings: Spotting the Encryption Loops in Ransomware
Pennsylvania State University（宾夕法尼亚州立大学）；Vector 35 Inc.（Vector 35公司）；Agricultural Bank of China（中国农业银行）；University of Chinese Academy of Sciences（中国科学院大学）
本文提出了一种在对抗性环境中检测雪崩效应的新方法，用于识别勒索软件中的加密循环，通过统计保证的Shapiro-Wilk正态性检验提高鲁棒性，实验结果显示高准确率。
2026-04-27 cs.CR
Enhanced Cyber Threat Intelligence by Network Forensic Analysis for Ransomware as a Service(RaaS) Malwares
Indian Institute of Technology Indore（印多尔印度理工学院）；Siddaganga Institute of Technology（西达甘加理工学院）；Assam Science and Technology University（阿萨姆科学技术大学）
通过网络取证分析RaaS恶意软件数据包，生成签名以提升对勒索软件即服务的早期检测与防御能力。
2026-01-20 cs.CR
Crypto-ransomware detection using machine learning models in file-sharing network scenario with encrypted traffic
自过去几年以来，勒索软件被认为是大多数企业的重大威胁。在用户可以访问共享服务器上的所有文件的情况下，一个受感染的主机可以锁定对所有共享文件的访问。我们提出了一种基于文件共享流量分析来检测勒索软件感染的工具。该工具监控客户端和文件服务器之间交换的流量，并使用机器学习技术搜索流量中的模式，这些模式在读取和删除文件时泄露了勒索软件的操作。该提案旨在为明文和加密文件共享协议工作。我们比较了三种机器学习模型，并选择最佳模型进行验证。我们使用来自26种不同病毒株的70多个勒索软件二进制文件和来自真实用户的超过2500小时的未感染流量来训练和测试检测模型。结果表明，该工具可以检测所有勒索软件二进制文件，包括那些没有在训练阶段使用（看不见）。本文通过研究误报率和勒索软件在被检测到之前可以加密的用户文件信息量来验证该算法。
2022-02-15 cs.CR cs.NI
Learning the Language of NVMe Streams for Ransomware Detection
Samsung Semiconductor Israel Research and Development Center（三星半导体以色列研发中心）
本文提出两种基于 Transformer 的模型 CLT 和 PLT，通过学习 NVMe 命令序列语言特征检测勒索软件，在漏检率、数据丢失防护和数据访问识别上显著优于现有表格方法。
2025-02-07 cs.CR cs.LG
Differential Area Analysis for Ransomware Attack Detection within Mixed File Datasets
勒索软件的威胁在受影响的受害者人数以及受成功攻击影响的个人和组织所产生的成本方面都在继续增长。在大多数情况下，一旦受害者受到攻击，他们只有两种行动方案：要么支付赎金，要么丢失数据。所有加密勒索软件菌株之间共享的一个共同行为是，在执行过程中的某个时候，它们会尝试加密用户的文件。Penrose et al.（2013）; Zhao et al.（2011）之前的研究强调了使用香农熵区分压缩和加密文件的困难，因为两种文件类型表现出相似的值。本文描述的实验之一显示了加密文件头片段的香农熵的独特特性。这个特性被用来区分加密文件和其他高熵文件，如档案。这一发现在文件分类模型的开发中得到了利用，该模型使用了正在分析的文件的熵曲线与从随机数据生成的熵曲线之间的差异区域。当将被分析的文件的熵曲线值与由包含纯随机数的文件生成的熵曲线值进行比较时，曲线的相关性越大，被分析的文件包含加密数据的置信度就越高。
2021-06-28 cs.CR
Ransomware Detection using Process Memory
University of Pretoria（比勒陀利亚大学）；Community College Qatar（卡塔尔社区学院）
勒索软件攻击近年来显著增加，对关键系统和业务运营造成了巨大的破坏和损害。攻击者总是在寻找创新的方法来绕过检测机制，这鼓励了人工智能的采用。然而，大多数研究总结了人工智能的一般特征，并导致许多误报，因为勒索软件的行为与绕过检测的行为不断不同。关注勒索软件的关键指示特征变得至关重要，因为这将引导调查人员了解勒索软件本身的内部工作原理和主要功能。通过利用进程内存中的访问权限，可以更容易和准确地检测勒索软件的主要功能。此外，可以识别勒索软件家族的新签名和指纹，以正确分类新型勒索软件攻击。目前的研究使用进程内存访问权限的不同内存区域的行为的可执行文件，以快速确定其意图之前，严重的伤害可能会发生。为了实现这一目标，探索了几种知名的机器学习算法，其精度范围为81.38到96.28个百分点。因此，该研究证实了利用进程内存作为勒索软件检测机制的可行性。
2022-03-31 cs.AI cs.CR cs.LG
Auditable Machine Unlearning for Privacy-Compliant Ransomware Detection Using Multi-Shard SISA and Deep Reinforcement Learning
School of Computing, Mathematics and Engineering, Charles Sturt University（查尔斯斯特大学计算、数学与工程学院）；AI and Cyber Futures Centre, Charles Sturt University（查尔斯斯特大学人工智能与网络未来中心）
针对勒索软件逃避检测及现有检测方法与隐私法规冲突的问题，提出将深度强化学习与多分片SISA再训练相结合的框架，经多标准评估，该框架在勒索软件检测中能兼顾高检测性能、可审计删除验证及高效样本删除。
2026-07-09 cs.CR
Hands Off my Database: Ransomware Detection in Databases through Dynamic Analysis of Query Sequences
勒索软件是一种新兴的威胁，2017年造成了50亿美元的损失，预计2019年将达到115亿美元。虽然最初针对PC（客户端）平台，但勒索软件最近向服务器端数据库飞跃-从2017年1月的MongoDB Apocalypse攻击开始，随后是针对MongoDB，MySQL，ElasticSearch，Cassandra，Hadoop和CouchDB等各种数据库类型的其他攻击浪潮。虽然先前的研究已经开发了针对客户端勒索软件的对策（例如，CryptoDrop和ShieldFS），服务器端勒索软件的问题到目前为止还没有受到任何关注。在我们的工作中，我们的目标是弥合这一差距，并提出DIMAQS（恶意查询序列的动态识别），这是一种新型的数据库反勒索软件解决方案。DIMAQS对传入查询执行运行时监控，并使用有色Petri网（CPN）进行模式匹配以进行攻击检测。我们的系统设计展示了几种新颖的技术，以实现对恶意查询序列的全局有效检测（即，而不将检测限于不同的用户连接）。我们的概念验证实现目标是MySQL服务器。评估结果表明，效率高，没有误报和漏报，性能开销非常适中，低于5%。我们将发布我们的数据集和实现，允许社区复制我们的测试并与我们的结果进行比较。
2019-07-15 cs.CR cs.DB
Ransomware in Windows and Android Platforms
恶意软件的扩散和复杂性急剧增加，并不断发展。最近不分青红皂白的勒索软件受害者迫切需要有效的检测技术来防止损害。因此，勒索软件引起了网络空间研究人员的关注。本文全面概述了勒索软件攻击，并总结了Windows和Android平台上现有的检测和预防技术。此外，它突出了这些技术的优点和缺点，并提供了它们之间的比较。此外，它还向用户和系统管理员提供建议。
2020-05-12 cs.CR cs.CY
Hierarchical Pattern Decryption Methodology for Ransomware Detection Using Probabilistic Cryptographic Footprints
本文提出一种基于概率加密足迹的分层检测框架，结合聚类与机器学习，以高准确率和低误报率识别勒索软件异常，并具备实时响应与可扩展性。
2025-08-08 cs.AI cs.CR
