Federated Cyber Defense: Privacy-Preserving Ransomware Detection Across Distributed Systems
针对跨组织数据共享的隐私限制与勒索软件检测难题，本文基于 Sherpa.ai FL 平台和 RanSAP 数据集评估了联邦学习，证明其能在保护本地数据隐私的同时，将检测准确率相对提升 9%，实现与集中式训练相当的跨系统防御性能。
2025-11-03 cs.AI cs.CR cs.DC
Learning the Language of NVMe Streams for Ransomware Detection
Samsung Semiconductor Israel Research and Development Center（三星半导体以色列研发中心）
本文提出两种基于 Transformer 的模型 CLT 和 PLT，通过学习 NVMe 命令序列语言特征检测勒索软件，在漏检率、数据丢失防护和数据访问识别上显著优于现有表格方法。
2025-02-07 cs.CR cs.LG
Hierarchical Pattern Decryption Methodology for Ransomware Detection Using Probabilistic Cryptographic Footprints
本文提出一种基于概率加密足迹的分层检测框架，结合聚类与机器学习，以高准确率和低误报率识别勒索软件异常，并具备实时响应与可扩展性。
2025-08-08 cs.AI cs.CR
Toward A Network-Assisted Approach for Effective Ransomware Detection
勒索软件是一种使用加密机制阻止受害者正常使用计算机的恶意软件。因此，受害者无法访问他们的文件和桌面，除非他们向攻击者支付赎金。截至2019年底，勒索软件攻击已给企业和个人造成超过100亿美元的经济损失。在这项工作中，我们提出了网络辅助方法（NAA），它包含有效的本地检测和网络级检测机制，以帮助用户确定机器是否已被勒索软件感染。为了评估它的性能，我们在Docker中构建了100个容器来模拟网络场景。一个接近真实勒索软件的混合勒索软件样本被部署在刺激性感染的机器上。实验结果表明，我们的网络级检测机制分别适用于WAN和LAN环境的勒索软件检测。
2020-11-19 cs.CR
On the Generalizability of Machine Learning-based Ransomware Detection in Block Storage
EPFL（洛桑联邦理工学院）；IBM Research - Zurich（IBM苏黎世研究院）
本文提出基于内核的轻量级块IO特征提取框架，利用决策树模型在存储系统中检测勒索软件，并通过大规模实验证明其泛化性优于现有方法，F1分数最高提升12.8%，假阳性率最高降低17.1%。
2024-12-30 cs.CR cs.LG
Ransomware Detection Using Machine Learning in the Linux Kernel
Orange Polska（波兰Orange公司）；Orange（Orange公司）
针对Linux云环境面临的高速勒索软件攻击威胁，提出基于eBPF在内核层收集系统调用信息并部署决策树、多层感知器两种ML模型的检测方案，基准测试表明该方法在延迟和准确率上优于用户空间模型。
2024-09-10 cs.CR cs.LG
Leveraging Machine Learning Techniques for Windows Ransomware Network Traffic Detection
勒索软件已成为一个重大的全球威胁，其勒索软件即服务模式使其易于获得和部署，并具有创造可行的犯罪商业模式的高收入潜力。个人、私营公司或公共服务提供商（如医疗保健或公用事业公司）都可能成为勒索软件攻击的受害者，从而遭受严重的破坏和经济损失。虽然机器学习算法已经被用于检测勒索软件，但正在开发变体，以在使用动态机器学习技术时专门逃避检测。在本文中，我们介绍了NetConverse，这是一种对Windows勒索软件网络流量进行机器学习分析的方法，可以实现高、一致的检测率。使用基于会话的网络流量特征创建的数据集，我们使用决策树（J48）分类器实现了97.1%的真阳性检测率。
2018-07-27 cs.CR
Towards a Resilient Machine Learning Classifier -- a Case Study of Ransomware Detection
Intel Labs（英特尔实验室）
加密勒索软件由于加密而造成的损害难以恢复并导致数据丢失。本文构建了一个机器学习（ML）分类器来早期检测通过程序行为使用密码学的勒索软件（称为加密勒索软件）。如果错过了基于签名的检测，则基于行为的检测器可以成为检测和遏制损害的最后一道防线。我们发现勒索软件的输入/输出活动和文件内容熵是检测加密勒索软件的独特特征。深度学习（DL）分类器可以以高准确率和低误报率检测勒索软件。我们对生成的模型进行对抗性研究。我们使用模拟的勒索软件程序来启动灰盒分析，以探测ML分类器的弱点并提高模型的鲁棒性。除了准确性和弹性，可信度是质量检测器的另一个关键标准。确保使用正确的信息进行推理对于安全应用程序非常重要。集成梯度方法用于解释深度学习模型，并揭示为什么假阴性逃避检测。演示和讨论了构建和评估真实世界探测器的方法。
2020-03-13 cs.CR cs.LG stat.ML
On the Effectiveness of System API-Related Information for Android Ransomware Detection
University of Cagliari（卡利亚里大学）；National Research of Council（国家研究委员会）；University of Sannio（桑尼奥大学）
勒索软件对Android操作系统构成重大威胁。它可以锁定或加密目标设备，受害者被迫支付赎金来恢复数据。因此，与其他恶意威胁相比，及时检测此类攻击具有优先级。以前关于Android恶意软件检测的工作主要集中在面向机器学习的方法上，这些方法专为识别恶意软件家族而量身定制，而没有明确关注勒索软件。更具体地说，这些方法采用了复杂的信息类型，如权限、用户实现的API调用和本机调用。然而，这导致了关于复杂性、对混淆的弹性和可解释性的重大缺点。为了克服这些问题，在本文中，我们提出并讨论了依赖于系统API信息的基于学习的检测策略。这些技术利用勒索软件攻击严重依赖系统API来执行其操作的事实，并允许区分一般恶意软件，勒索软件和好软件。我们测试了使用系统API信息的三种不同方式，即，通过包、类和方法，我们将它们的性能与其他更复杂的最先进的方法进行了比较。所获得的结果表明，基于System API的系统可以非常准确地检测勒索软件和通用恶意软件，与采用更复杂信息的系统相当。此外，所提出的系统可以准确地检测野生环境中的新样本，并显示出对静态混淆尝试的弹性。最后，为了保证早期的设备检测，我们在Android平台上开发并发布了一个完整的勒索软件和恶意软件检测器（R-PackDroid），该检测器采用本文提出的方法之一。
2019-06-26 cs.CR cs.LG
RansomTrack: A Hybrid Behavioral Analysis Framework for Ransomware Detection
Istanbul Technical University（伊斯坦布尔理工大学）；Turkish Naval Forces（土耳其海军）
本文提出RansomTrack框架，结合静态与动态分析方法，通过Radare2和Frida工具提取特征，实现高准确率的勒索软件检测，实验显示XGBoost等模型达到96%准确率和0.99 ROC-AUC分数。
2026-04-09 cs.CR cs.LG
MLRan: A Behavioural Dataset for Ransomware Analysis and Detection
School of Computer Science, University College Dublin（都柏林大学计算机科学学院）；SFI Center for Research Training in Machine Learning（SFI机器学习研究培训中心）；Lero, Research Ireland Centre for Software（爱尔兰软件研究中心）；University of Ibadan（伊巴丹大学）
本文提出MLRan行为数据集，含64个勒索软件家族4800余样本，并基于指南构建，利用特征选择与ML模型实现高达98.7%的检测准确率，识别关键恶意行为指标，公开资源以促进研究。
2025-05-24 cs.CR cs.LG
Evaluation of Live Forensic Techniques in Ransomware Attack Mitigation
内存是从被勒索软件感染的系统中捕获的，其内容使用实时取证工具进行检查，目的是识别所使用的对称加密密钥。NotPetya，Bad Rabbit和Phobos混合勒索软件样本在调查期间进行了测试。如果发现了密钥，则还执行以下两个步骤。首先，通过组合来自多个来源的数据手动创建了一个时间轴，以说明勒索软件的行为，并显示加密密钥何时存在于内存中以及它们在内存中保留了多长时间。其次，尝试使用找到的密钥解密由勒索软件加密的文件。在所有案件中，调查都能够确认有可能确定所使用的加密密钥。还描述了如何使用这些找到的密钥成功解密在勒索软件执行期间加密的文件。由此生成的时间线提供了一种很好的方式来可视化勒索软件的行为及其采用的加密密钥管理实践，并从法医调查和可能的缓解角度来看，当加密密钥在内存中时。
2020-12-19 cs.CR
Automated Dynamic Analysis of Ransomware: Benefits, Limitations and use for Detection
最近的统计数据显示，2015年发现了超过1.4亿个新的恶意软件样本，其中很大一部分是勒索软件，这类恶意软件的特定目标是使受害者的系统无法使用，特别是通过加密重要文件，然后要求用户支付赎金来恢复损坏。一些勒索软件包括复杂的打包技术，因此难以进行静态分析。我们提出了EldeRan，一种用于动态分析和分类勒索软件的机器学习方法。EldeRan监控应用程序在安装的第一阶段执行的一系列操作，检查勒索软件的特征标志。我们对属于11个家族的582个勒索软件和942个好软件应用程序的数据集进行了测试，结果显示EldeRan的ROC曲线下面积为0.995。此外，EldeRan的工作不需要事先提供整个勒索软件家族。这些结果表明，动态分析可以支持勒索软件检测，因为勒索软件样本在运行时表现出一组跨家族常见的特征，这有助于早期检测新的变体。我们还概述了勒索软件动态分析的一些局限性，并提出了可能的解决方案。
2016-09-10 cs.CR
Towards Low-Latency and Adaptive Ransomware Detection Using Contrastive Learning
College of Engineering Florida State University（工程学院佛罗里达州立大学）；Department of Radiation Oncology Stony Brook University（放射肿瘤科石溪大学）
本文提出融合自监督对比学习与神经架构搜索的勒索软件检测框架，利用硬件性能计数器分析运行时行为，定制损失函数降低延迟，自动构建自适应架构，在准确率上提升最高16.1%，响应时间提升最高6倍。
2025-10-24 cs.AI cs.CR
Ransomware Detection and Classification Strategies
本文综述了勒索软件检测与分类策略，指出多数方法利用机器学习技术分析二进制文件和操作序列，并将现有方案分为基于网络、基于主机、取证特征及作者归属等类别，同时介绍了关键分析工具与开放性挑战。
2023-04-10 cs.CR
BitcoinHeist: Topological Data Analysis for Ransomware Detection on the Bitcoin Blockchain
加密货币的扩散（例如，比特币）允许伪匿名交易，这使得勒索软件开发者更容易通过加密敏感的用户数据来索要赎金。最近披露的勒索软件攻击已经在从地方政府到医疗保健的不同部门造成了重大的经济损失和社会危害。大多数现代勒索软件使用比特币进行支付。然而，尽管比特币交易被永久记录并公开可用，但当前用于检测勒索软件的方法仅依赖于几个搜索和/或繁琐的信息收集步骤（例如，运行勒索软件以收集勒索软件相关的比特币地址）。据我们所知，以前的方法都没有采用先进的数据分析技术来自动检测与勒索软件相关的交易和恶意比特币地址。通过利用拓扑数据分析的最新进展，我们提出了一个高效且易于处理的数据分析框架，可以在仅提供有限的先前交易记录的情况下自动检测勒索软件家族中的新恶意地址。此外，我们提出的技术具有很高的实用性，以检测新的勒索软件家族的出现，即勒索软件没有以前的交易记录。使用现有的已知勒索软件数据集，我们表明，与现有的基于启发式的方法相比，我们提出的方法在勒索软件交易检测的精确度和召回率方面有显着提高，并且可以用于自动化勒索软件检测。
2019-06-19 cs.CR cs.DC
Ransomware Detection and Classification Using Random Forest: A Case Study with the UGRansome2024 Dataset
本研究提出UGRansome2024数据集，结合随机森林算法实现96%准确率的勒索软件检测，并识别出高财务影响的变种，凸显机器学习在网络安全中的关键作用。
2024-04-19 cs.CR
FedDICE: A ransomware spread detection in a distributed integrated clinical environment using federated learning and SDN based mitigation
CSIRO Data61（澳大利亚联邦科学与工业研究组织数据61）；The University of Newcastle（纽卡斯尔大学）；University of Zurich（苏黎世大学）；Cyber Security Cooperative Research Centre（网络安全合作研究中心）
集成临床环境（ICE）能够围绕医院患者的护理实现医疗物联网的连接和协调。然而，勒索软件攻击及其在包括ICE在内的医院基础设施上的传播正在增加。通常，攻击者会用相同的勒索软件攻击多个医院。通过使用机器学习算法检测这些攻击。但挑战在于在以下条件下设计反勒索软件学习机制和服务：（1）如果其中一家医院受到攻击，则为其他医院提供免疫力，（2）医院通常分布在不同的地理位置，以及（3）由于隐私问题，避免直接数据共享。在这方面，本文提出了一个联邦分布式集成临床环境，又名。FedDICE。FedDICE将联邦学习（FL）（隐私保护学习）集成到面向SDN的安全架构中，以实现协同学习、检测和缓解勒索软件攻击。我们展示了FedDICE在协作环境中的重要性，其中包括多达四家医院和四个流行的勒索软件家族，即WannaCry，Petya，BadRabbit和PowerGhost。我们的研究结果发现，在IID和非IID数据设置，FedDICE实现了集中的基线性能，需要直接数据共享检测。然而，作为对数据隐私的权衡，FedDICE在反勒索软件模型训练中观察到开销，例如，逻辑回归模型的28倍。此外，FedDICE利用SDN的动态网络可编程功能来删除ICE中受感染的设备。
2021-06-09 cs.AI cs.CR
Towards resilient machine learning for ransomware detection
Intel Labs（英特尔研究院）
人们对使用机器学习（ML）通过动态行为自动检测恶意软件的兴趣激增。与传统的恶意软件分析方法相比，这些方法在大规模的检测率和更低的误报率方面取得了显着的提高。威胁检测中的ML已被证明是保护平台安全的好警察。然而，必须评估-ML驱动的安全性是否足够弹性？在本文中，我们通过一个案例研究，通过生成对抗网络（GAN）评估勒索软件检测的弹性，将ML算法的弹性和可信度并列起来。在本案例研究中，我们建议使用GAN自动生成动态特征，这些特征表现出广义的恶意行为，可以降低黑盒勒索软件分类器的功效。我们通过比较这些样本与真实勒索软件和良性软件的统计相似性来检查GAN生成的样本的质量。此外，我们还研究了GAN生成的样本所在的潜在子空间，并探讨了这些样本导致某类勒索软件分类器性能下降的原因。我们的重点是强调在部署到野外之前，对基于ML的勒索软件检测方法进行必要的防御改进。我们的研究结果和发现应该为捍卫者提出相关问题，例如如何使ML模型更具弹性，以实现安全目标的强大执行。
2019-05-16 cs.CR cs.LG stat.ML
A Hybrid Framework For Crypto-Ransomware Detection In Enterprise Shared Storage
Department of Computer Science and Information Technology, La Trobe University（拉特罗布大学计算机科学与信息技术系）
提出一种混合检测框架，通过感兴趣区域（RoI）技术分析网络流量提取入侵指标（IoC），结合机器学习模型检测高规避性勒索软件变种，在共享存储环境中实现99.64%精度和0%漏报率。
2026-06-29 cs.CR cs.LG
Discovering Encrypted Bot and Ransomware Payloads Through Memory Inspection Without A Priori Knowledge
恶意软件编写者经常试图在隧道流量中隐藏其代理的活动。在Kill Chain模型中，感染时间通常以秒为单位，如果感染没有被检测到并被阻止，恶意软件代理（如机器人）通常会建立一个秘密通道与其控制器通信。在勒索软件的情况下，通信的有效载荷可以包括用于受感染主机注册其感染的加密密钥。由于恶意软件感染可以在几秒钟内在网络中传播，因此检测其在空中，内存和静态中的活动通常很重要。恶意软件越来越多地使用加密通道与控制器通信。本文提出了一种新的方法来发现真正的恶意软件客户端，使用加密库的Microsoft Windows操作系统的加密文物。这使得恶意软件秘密通信能够在没有任何先前恶意软件知识的情况下被发现。
2019-07-27 cs.CR
Multimodal Multi-Agent Ransomware Analysis Using AutoGen
PIEAS（巴基斯坦工程与应用科学学院）；AIR University（航空航天大学）
本文提出基于AutoGen的多模态多智能体框架，通过融合静态、动态和网络信息，提升勒索软件分类的准确性和稳定性。
2026-03-03 cs.AI cs.CR cs.LG
RanStop: A Hardware-assisted Runtime Crypto-Ransomware Detection Technique
在许多流行的恶意软件中，加密勒索软件构成了重大威胁，因为它通过未经授权的加密文件来拒绝访问，并将其文件作为人质并在经济上勒索受影响的用户。这导致全世界每年损失数百万美元。勒索软件的多种变体的数量正在增长，具有逃避许多反病毒和依赖于静态执行签名的纯软件恶意软件检测方案的能力。在本文中，我们提出了一个硬件辅助的计划，称为RanStop，早期检测加密勒索软件感染的商品处理器。RanStop利用嵌入在现代处理器性能监控单元中的硬件性能计数器的信息来观察微架构事件集，并检测已知和未知的加密勒索软件变体。在本文中，我们使用长短期记忆（LSTM）模型训练一个基于递归神经网络的机器学习架构，用于在执行多个勒索软件变体以及良性程序时分析硬件域中的微架构事件。我们使用相关HPC的信息创建时间序列来开发内在的统计特征，并通过LSTM和全局平均池化来提高RanStop的检测精度并降低噪声。作为一种早期检测方案，RanStop可以通过分析每隔100 us收集的20个时间戳的HPC信息，在程序执行开始后的2 ms内准确快速地识别勒索软件。对于勒索软件来说，这个检测时间太早，无法造成任何重大损害。此外，对与加密勒索软件具有行为（以子例程为中心）相似性的良性程序的验证表明，RanStop可以在50次随机试验中以平均97%的准确率检测勒索软件。
2020-11-24 cs.CR
Ransomware detection using stacked autoencoder for feature selection
University of Pretoria（比勒陀利亚大学）；Mehmet Akif Ersoy University（穆罕默德·阿基夫·埃尔索伊大学）
本研究提出一种结合堆叠自编码器（SAE）进行特征选择与LSTM分类器的勒索软件检测方法，在UGRansome数据集上实现99%的分类准确率，优于XGBoost算法。
2024-02-17 cs.CR cs.LG
Software-Defined Networking-based Crypto Ransomware Detection Using HTTP Traffic Characteristics
勒索软件目前是个人和企业互联网用户的主要威胁。尤其危险的是加密勒索软件，它会加密重要的用户数据，只有在支付赎金后才有可能恢复。因此，制定有效的对策是一个日益必要的。在本文中，我们提出了一种新的基于软件定义网络（SDN）的检测方法，利用勒索软件通信的特点。基于对两个加密勒索软件家族（即CryptoWall和Locky）的网络通信的观察，我们得出结论，分析HTTP消息的序列及其各自的内容大小足以检测此类威胁。我们通过设计和评估基于SDN的概念验证检测系统来展示我们方法的可行性。实验结果证明了该方法的可行性和有效性。
2016-11-24 cs.CR
Leveraging Machine Learning for Ransomware Detection
目前的疫情使世界各地的网络攻击急剧增加。攻击者正在大量使用特洛伊木马、间谍软件、rootkit、蠕虫、勒索软件等恶意软件。勒索软件是最臭名昭著的恶意软件，但我们没有任何防御机制来防止或检测零日攻击。行业中的大多数防御性产品依赖于基于签名的机制或基于流量的异常检测。因此，研究人员正在采用机器学习和深度学习来开发基于行为的恶意软件检测机制。虽然我们有一些混合机制，可以对可执行文件执行静态和动态分析以进行检测，但我们没有任何完整的检测概念证明，可用于开发特定于勒索软件的完整证明产品。在这项工作中，我们已经开发了一个使用机器学习模型的勒索软件检测的概念证明。对决策树、随机森林、KNN、SVM、XGBoost和Logistic回归等几种机器学习模型进行了详细的分析和效率比较。我们获得了98.21%的准确率，并评估了各种指标，如精确度，召回率，TP，TN，FP和FN。
2022-06-04 cs.CR
Data-Centric Machine Learning Approach for Early Ransomware Detection and Attribution
本文提出了一个以数据为中心的机器学习框架，利用极简勒索软件数据集和PE文件静态分析，实现了针对最新威胁的早期勒索软件检测与归因，在准确率和零日威胁检测上表现优异。
2023-05-22 cs.CR
Cryptographic ransomware encryption detection: Survey
本综述提出一种描述现代加密勒索软件攻击的网络杀伤链，聚焦加密阶段，总结API/系统调用、I/O监控和文件系统活动监控三种检测方法，并指出学术研究与商业应用间的差距。
2023-06-21 cs.CR
Ransomware Classification and Detection With Machine Learning Algorithms
恶意攻击、恶意软件和勒索软件家族给网络安全带来了严重的安全问题，并且可能对各个行业和企业的计算机系统、数据中心、Web和移动应用程序造成灾难性损害。传统的反勒索软件系统难以抵御新创建的复杂攻击。因此，最先进的技术，如传统和基于神经网络的架构，可以在开发创新的勒索软件解决方案中得到极大的利用。在本文中，我们提出了一个基于特征选择的框架，采用不同的机器学习算法，包括基于神经网络的架构，对勒索软件检测和预防的安全级别进行分类。我们应用了多种机器学习算法：决策树（DT）、随机森林（RF）、朴素贝叶斯（NB）、逻辑回归（LR）以及基于神经网络（NN）的分类器，对选定数量的特征进行勒索软件分类。我们在一个勒索软件数据集上进行了所有实验，以评估我们提出的框架。实验结果表明，RF分类器优于其他方法的准确性，F-beta和精度分数。
2022-07-02 cs.CR
Algorithmic Segmentation and Behavioral Profiling for Ransomware Detection Using Temporal-Correlation Graphs
本文提出一种基于时间相关图的勒索软件检测框架，通过动态行为异常捕获与算法分割，在多种勒索软件上实现高精度检测，优于传统方法，并兼顾可扩展性与资源效率。
2025-08-08 cs.AI cs.CR
Hierarchical Polysemantic Feature Embedding for Autonomous Ransomware Detection
针对传统勒索软件检测方法泛化性不足、难适配演化攻击的问题，提出分层多义特征嵌入框架，通过双曲空间特征嵌入实现鲁棒检测，准确率更高、误报率更低，兼顾效率，适配现实安全应用。
2025-03-25 cs.CR
Entropy-Synchronized Neural Hashing for Unsupervised Ransomware Detection
提出熵同步神经哈希（ESNH）框架，利用熵驱动的哈希表示和神经网络同步，实现对勒索软件的无监督检测，在识别新型威胁、降低误报和抵抗混淆规避方面优于传统方法。
2025-03-25 cs.AI cs.CR
Majority Voting Approach to Ransomware Detection
本文提出一种基于多数投票和累积评分的勒索软件检测方法，通过23个候选测试和9个Windows API测试进行算法化计算，以提升检测的鲁棒性并增加勒索软件规避检测的难度。
2023-05-30 cs.CR
Ransomware Detection Dynamics: Insights and Implications
本研究提出基于基尼不纯度和互信息的特征选择算法（RFSA），利用UGRansome数据集区分勒索软件相关交易，实验显示约68%事件涉及1.46至2.56 BTC，有助于早期检测。
2024-02-07 cs.CR cs.CY
WannaLaugh: A Configurable Ransomware Emulator -- Learning to Mimic Malicious Storage Traces
IBM Research Europe（IBM欧洲研究院）；Texas A&M University（德克萨斯农工大学）
本文提出可配置勒索软件模拟器WannaLaugh，通过安全模仿勒索软件攻击生成存储I/O痕迹以训练机器学习检测模型，并可模拟现有勒索软件行为实现安全痕迹收集，推动机器学习驱动的勒索软件检测发展。
2024-06-12 cs.AI cs.CR
Intelligent Code Embedding Framework for High-Precision Ransomware Detection via Multimodal Execution Path Analysis
该研究提出一种基于多模态执行路径分析的智能代码嵌入框架，通过高维嵌入与动态启发式机制，实现高精度、低延迟的勒索软件检测，并具备良好适应性与能效。
2025-03-26 cs.AI cs.CR
Minerva: A File-Based Ransomware Detector
Sapienza University of Rome（罗马萨皮恩扎大学）；University of Calgary（卡尔加里大学）
本文提出Minerva，一种基于文件且通过设计抵御规避攻击的鲁棒勒索软件检测方法，能准确识别未知威胁并抵御规避攻击，且99%以上在0.52秒内检出。
2025-07-11 cs.CR cs.CY cs.LG
Leveraging Support Vector Machine for Opcode Density Based Detection of Crypto-Ransomware
勒索软件是一个重大的全球威胁，由于普遍的勒索软件即服务模式，易于部署。结合使用操作码特征和支持向量机的机器学习算法已被证明是用于一般恶意软件检测的成功方法。这项研究的重点是加密勒索软件，并使用恶意和良性可移植可执行文件的静态分析来提取所有样本中的443个操作码，将它们表示为数据集中的密度直方图。在WEKA机器学习工具集中使用SMO分类器和PUK内核，证明该方法在区分勒索软件和好软件时可以达到100%的准确率，并且在区分5个加密勒索软件家族和好软件时可以达到96.5%。此外，8种不同的属性选择方法进行评估，以实现显着的特征约简。使用CorrelationAttributeEval方法可以保持接近100%的精度，特征减少59.5%。CFSSubset过滤器实现了97.7%的最高特征减少，但精度略低，为94.2%。
2018-07-27 cs.CR
ROFBS$α$: Real Time Backup System Decoupled from ML Based Ransomware Detection
ROFBS$α$通过eBPF异步解耦备份与检测，提升勒索软件防御的备份成功率和检测速度，但应对极速加密仍具挑战。
2025-04-19 cs.CR
Decentralized Entropy-Driven Ransomware Detection Using Autonomous Neural Graph Embeddings
本文提出去中心化熵驱动检测（DED）框架，结合自主神经图嵌入与熵异常评分，在分布式节点上实现超95%准确率、低于2%误报率，可快速检测勒索软件攻击，优于现有方法。
2025-03-26 cs.CR
A Sysmon Incremental Learning System for Ransomware Analysis and Detection
本文提出 SILRAD 系统，利用 Sysmon 监控与在线增量学习实现勒索软件持续检测，结合 PCC 特征选择和 ADWIN 概念漂移检测，取得 98.89% 准确率和 94.11% MCC。
2025-01-02 cs.CR
Crypto-ransomware detection using machine learning models in file-sharing network scenario with encrypted traffic
自过去几年以来，勒索软件被认为是大多数企业的重大威胁。在用户可以访问共享服务器上的所有文件的情况下，一个受感染的主机可以锁定对所有共享文件的访问。我们提出了一种基于文件共享流量分析来检测勒索软件感染的工具。该工具监控客户端和文件服务器之间交换的流量，并使用机器学习技术搜索流量中的模式，这些模式在读取和删除文件时泄露了勒索软件的操作。该提案旨在为明文和加密文件共享协议工作。我们比较了三种机器学习模型，并选择最佳模型进行验证。我们使用来自26种不同病毒株的70多个勒索软件二进制文件和来自真实用户的超过2500小时的未感染流量来训练和测试检测模型。结果表明，该工具可以检测所有勒索软件二进制文件，包括那些没有在训练阶段使用（看不见）。本文通过研究误报率和勒索软件在被检测到之前可以加密的用户文件信息量来验证该算法。
2022-02-15 cs.CR cs.NI
Ransomware Detection Using Federated Learning with Imbalanced Datasets
针对联邦学习检测勒索软件时数据不平衡导致性能下降的问题，提出加权交叉熵损失函数的改进方案，实验证明其提升分类器性能。
2023-11-13 cs.CR
RAPPER: Ransomware Prevention via Performance Counters
勒索软件能够造成直接的、可控的经济损失，是网络安全中最突出的威胁之一。根据最新的统计数据，2017年第一季度报告的恶意软件中有一半以上是勒索软件，并且新手网络犯罪分子访问rasomware即服务的威胁很大。基于公钥的数据绑架和随后的勒索的概念于1996年提出。从那时起，勒索软件的变体出现了不同的密码系统和更大的密钥大小，但底层技术保持不变。虽然在文献中有作品提出了一个通用的框架来检测加密勒索软件，但我们提出了一个两步无监督检测工具，当怀疑进程活动是恶意的时，发出警报以进行进一步的分析，并在第二步中以最小的痕迹检测它。两步检测框架- RAPPER使用人工神经网络和快速傅立叶变换开发了一种高度准确、快速和可靠的解决方案，使用最少的跟踪点进行勒索软件检测。
2018-02-12 cs.CR
Hands Off my Database: Ransomware Detection in Databases through Dynamic Analysis of Query Sequences
勒索软件是一种新兴的威胁，2017年造成了50亿美元的损失，预计2019年将达到115亿美元。虽然最初针对PC（客户端）平台，但勒索软件最近向服务器端数据库飞跃-从2017年1月的MongoDB Apocalypse攻击开始，随后是针对MongoDB，MySQL，ElasticSearch，Cassandra，Hadoop和CouchDB等各种数据库类型的其他攻击浪潮。虽然先前的研究已经开发了针对客户端勒索软件的对策（例如，CryptoDrop和ShieldFS），服务器端勒索软件的问题到目前为止还没有受到任何关注。在我们的工作中，我们的目标是弥合这一差距，并提出DIMAQS（恶意查询序列的动态识别），这是一种新型的数据库反勒索软件解决方案。DIMAQS对传入查询执行运行时监控，并使用有色Petri网（CPN）进行模式匹配以进行攻击检测。我们的系统设计展示了几种新颖的技术，以实现对恶意查询序列的全局有效检测（即，而不将检测限于不同的用户连接）。我们的概念验证实现目标是MySQL服务器。评估结果表明，效率高，没有误报和漏报，性能开销非常适中，低于5%。我们将发布我们的数据集和实现，允许社区复制我们的测试并与我们的结果进行比较。
2019-07-15 cs.CR cs.DB
Ransomware in Windows and Android Platforms
恶意软件的扩散和复杂性急剧增加，并不断发展。最近不分青红皂白的勒索软件受害者迫切需要有效的检测技术来防止损害。因此，勒索软件引起了网络空间研究人员的关注。本文全面概述了勒索软件攻击，并总结了Windows和Android平台上现有的检测和预防技术。此外，它突出了这些技术的优点和缺点，并提供了它们之间的比较。此外，它还向用户和系统管理员提供建议。
2020-05-12 cs.CR cs.CY
Explainable Attention-Based LSTM Framework for Early Detection of AI-Assisted Ransomware via File System Behavioral Analysis
Institute of Management and Information Technology（管理与信息技术学院）；Cisco Systems Inc.（思科系统公司）；Dell Inc.（戴尔公司）；LTM Limited（LTM有限公司）
本文提出一种可解释的注意力机制LSTM框架，通过分析文件系统行为模式，实现对AI辅助勒索软件的早期检测，具有高检测性能和低误报率。
2026-04-19 cs.CR
Intermittent File Encryption in Ransomware: Measurement, Modeling, and Detection
Texas Tech University（德克萨斯理工大学）
本文研究了勒索软件中间歇性加密对检测技术的影响，提出基于CNN的局部分析方法，证明其在检测效果上的优越性。
2026-08-18 cs.CR
Cross-temporal Detection of Novel Ransomware Campaigns: A Multi-Modal Alert Approach
提出一种基于多模态告警图的新方法，用于跨时间检测勒索软件活动，有效表示攻击时间线并适应不同攻击模式。
2023-09-01 cs.CR
Unveiling Zero-Space Detection: A Novel Framework for Autonomous Ransomware Identification in High-Velocity Environments
提出 Zero-Space Detection 框架，利用无监督聚类、深度学习、多阶段过滤和集成学习，在高速度环境中精准识别勒索软件，实验证明其具有高检测率、低误报率、低延迟和强抗对抗性，并能无缝集成现有基础设施。
2025-08-08 cs.AI cs.CR
Federated Learning Approach for Distributed Ransomware Analysis
本文提出一种基于联邦学习的机器学习框架，利用极简PE文件数据集进行静态分析，实现早期勒索软件检测与归因，并在多个分类器上验证了高准确率和零日威胁检测能力。
2023-06-25 cs.CR
Hypervisor-based Double Extortion Ransomware Detection Method Using Kitsune Network Features
本文针对双重勒索勒索软件攻击，提出基于轻量级虚拟机监控程序的低层存储、内存行为特征与Kitsune网络特征相结合的检测方法，用于识别数据窃取阶段，实验显示宏观F分数提升0.166。
2025-08-12 cs.CR
Zero Day Ransomware Detection with Pulse: Function Classification with Transformer Models and Assembly Language
本研究提出基于Transformer模型与汇编语言的零日勒索软件检测框架Pulse，借助动态二进制插桩工具Peekaboo捕获真实恶意软件行为，通过消除训练与测试样本的相似功能，使模型仅靠上下文和新指令组合高精度识别新型勒索软件。
2024-08-15 cs.CR
RAPPER: Ransomware Prevention via Performance Counters
勒索软件能够造成直接的、可控的经济损失，是网络安全中最突出的威胁之一。根据最新的统计数据，2017年第一季度报告的恶意软件中有一半以上是勒索软件，并且新手网络犯罪分子访问勒索软件即服务的威胁很大。基于公钥的数据绑架和随后的勒索的概念于1996年提出。从那时起，勒索软件的变种出现了不同的密码系统和更大的密钥大小，底层技术保持不变。虽然在文献中有作品提出了一个通用的框架来检测加密勒索软件，但我们提出了一个两步无监督检测工具，当怀疑进程活动是恶意的时，发出警报以进行进一步的分析，并在第二步中以最小的痕迹检测它。两步检测框架- RAPPER使用人工神经网络和快速傅立叶变换开发了一种高度准确、快速和可靠的解决方案，使用最少的跟踪点进行勒索软件检测。我们还引入了一个特殊的检测模块，用于成功识别磁盘加密过程和潜在的勒索软件操作，两者具有相似的特征，但目标不同。我们提供了一个全面的解决方案，以解决几乎所有的情况下（标准基准，磁盘加密和定期高计算过程）有关的加密勒索软件在软件安全。
2020-04-03 cs.AR cs.CR
