《Cyber Security and Applications》：RIFO: A file-operation–induced dataset for advanced ransomware behavioral analysis
编辑推荐：
加密勒索软件（crypto ransomware）仍然是当今组织面临的最危险且普遍存在的威胁之一。它通过加密技术对用户的数据和文件进行加密，拒绝访问直到支付赎金，并采用高级勒索策略。勒索软件在数量和复杂性方面均显著进化，利用间歇性加密（intermittent
加密勒索软件（crypto ransomware）仍然是当今组织面临的最危险且普遍存在的威胁之一。它通过加密技术对用户的数据和文件进行加密，拒绝访问直到支付赎金，并采用高级勒索策略。勒索软件在数量和复杂性方面均显著进化，利用间歇性加密（intermittent-encryption）、多线程（multi-threaded）和异步文件操作（asynchronous file operation）等高级策略。虽然勒索软件可以通过网络杀伤链（cyber kill-chain）的不同阶段进行分析，但文件操作为分析勒索软件行为提供了极好的观察视角，因为文件操作是其攻击中的统一因素。本文提出了RIFO，一个通过事件跟踪（Event Tracing for Windows, ETW）采集的勒索软件诱导文件操作数据集，该ETW提供了一种与存储硬件无关的高性能日志记录系统，能够记录详细的文件操作。RIFO在受控攻击场景下捕获了十个勒索软件样本生成的文件操作，并在一系列目标文件类型上执行，以反映真实的受害条件。利用多种数据分析技术，研究人员考察并可视化了勒索软件攻击的行为和功能方面。研究人员的方法结合了进程树重构（process tree reconstruction）、类间和类内特征相关性（inter- and intra-class feature correlation）以及勒索软件行为模式的时序分析（temporal analysis）。所提出的方法为勒索软件取证画像（forensic profiling）、归因（attribution）以及增强事件响应和恢复工作流提供了有价值的改进。
加密勒索软件是当今组织面临的最危险且普遍存在的威胁之一，其通过加密技术对用户数据和文件实施加密，拒绝访问直至支付赎金。根据《The State of Ransomware 2025》报告，勒索软件攻击在2025年急剧升级，1月、2月和4月的事件同比分别增加21%、35%和46%。2025 Black Kite Report进一步揭示勒索软件涉及67%的已知第三方网络攻击，横跨供应链。Elastio的勒索软件报告指出2025年全球损失达570亿美元，每两秒即发生一次新攻击，预计2031年每年损失将达2750亿美元。2024年勒索软件趋势报告显示，21%的组织成功防御，49%经历1至3次事件，26%面临4次或更多次，且43%的受害者无法恢复受损数据。现有研究在数据捕获方面面临部署障碍：内核过滤器（kernel filters）与系统调用跟踪（syscall tracing）需要微软签名驱动程序，现代安全功能如安全启动（Secure Boot）和基于虚拟化的代码完整性（HVCI）会阻止未签名驱动；API钩子（API hooks）易被使用原生系统调用的复杂勒索软件绕过。这些因素导致捕获文件系统操作的可用数据集稀缺，限制了勒索软件行为的深入研究。因此，研究人员假设勒索软件行为可通过其与文件系统的交互系统化表征，其中文件输入/输出（I/O）操作构成跨不同勒索软件家族的基础且不变的执行层。该研究发表于《Cyber Security and Applications》。
研究人员主要依赖以下关键技术方法：第一，采用Windows事件跟踪（Event Tracing for Windows, ETW）作为日志系统，利用其'Microsoft-Windows-Kernel-File'提供器实现硬件无关的高性能文件操作记录，避免拦截输入/输出请求包（IRP）操作带来的性能下降；第二，构建自动化数据集生成流水线，在Windows 11 Sandbox隔离环境中执行勒索软件样本，结合NapierOne数据集与人工合成文件构建包含155,052个文件、42种文件类型的目标文件库，生成285个去重攻击场景；第三，实施自适应停止准则，基于目标文件扩展名转换、主进程终止及勒索信生成等可观察行为判定执行完成；第四，采用固定微秒间隔标准化时序粒度，并应用每窗口256微秒的滑动窗口机制进行分段，将异构日志转换为结构化机器可读输入。
数据集生成方面，研究团队在隔离环境中对10个代表性勒索软件样本执行285个去重场景，共产生2,850次独立执行，构建完成65.4 GB的RIFO数据集。
定性分析：
进程与线程频率（Process and thread frequencies）：通过绘制执行周期内各微秒时间步的活跃进程与线程计数，研究人员观察到不同家族的策略差异。Ryuk在整个执行期间维持相对稳定的进程与线程数，并在末期生成大量短命线程以实施系统破坏；LockBit 3.0生成大量相对持续的线程，后期启动三个进程处理系统破坏和证据清理；BlackMatter则从初期同时启动父子进程，并出现短暂而尖锐的线程峰值；Phobos在初期仅有小幅线程增长，而将破坏性活动推迟至后期；Akira、Monti和Maze表现出相似的波动模式，其中Monti因采用现代异步多线程产生最高线程数。
进程-线程树（Process-thread trees）：通过构建以初始父进程为根节点、派生进程为子节点、关联线程为叶节点的映射树，研究人员揭示了执行层级关系。Ryuk的子进程承担加密、终止进程与服务、写入勒索信等破坏活动；LockBit 3.0与BlackMatter均利用I/O完成端口（IOCP）和间歇性加密，其父进程通过进程镂空（process hollowing）劫持svchost.exe以隐藏恶意线程活动，LockBit 3.0还额外启动三个进程分别负责勒索信分发、可执行文件自删除及备份系统破坏；Phobos实施全文件加密并刻意避开异常大小文件，采用动态扩展的线程池；Abyss将工作负载分布式至多个进程与线程以优化速度、避免单点故障并增强可扩展性；REvil的主进程编排攻击流程并管理规避活动，子进程分别负责系统破坏和并行多线程文件加密。
文件访问模式（File access patterns）：通过单一20 GB目标文件的读写操作时序分析，研究人员发现LockBit 3.0仅间歇性加密每个目标文件的前4KB，并在文件末尾追加加密密钥；Akira加密约30%的目标文件，以渐进式分布式数据块覆盖；Monti、Maze和REvil先将文件特定密钥追加至文件末尾，再逐段加密内容，其中REvil还会重新访问文件顶部片段；Abyss采用跨文件各片段的间歇性加密，形成阶梯状字节偏移访问模式；Ryuk则采用文件到文件加密方式，将原文件读入内存加密后写入新文件并删除原文件，密钥附加于新文件末尾。
定量分析：
勒索软件文件目标矩阵（Ransomware file targeting matrix）：通过构建二进制矩阵映射勒索软件样本与目标文件类型，研究人员发现除LockBit 3.0针对.mp3、.mp4、.mkv和.epub等媒体格式外，各家族均一致针对文档、办公、文本、配置及数据存储文件，而.APK和.OXPS未被任何家族针对，Abyss、Ryuk、Phobos和Mallox则跳过PowerShell脚本。
事件生成矩阵（Event generation matrix）：分析显示勒索软件家族共享核心文件操作行为，包括NameDelete、Create、Cleanup、Close、Read、Write、Rename、RenamePath、Flush、QueryInformation、FSCTL、OperationEnd和QuerySecurity；较少见操作则反映文件处理与加密策略差异，分为内存到文件先覆写、内存到文件后覆写、内存到文件带删除以及文件到文件带重命名和删除四种机制。
点二列相关矩阵（Point-biserial correlation matrix）：通过计算连续特征与二元类标签的相关性，研究人员发现多数特征与类标签的线性相关较弱，但深入分析显示LockBit、Maze、Monti、Mallox和Abyss等样本在特定时间范围内呈现模式化的强正相关特征，表明不同家族在不同执行阶段激活不同特征。
Kruskal-Wallis类分离热力图（Kruskal-Wallis class separation heatmap）：该分析量化特征的类间分离度与类内一致性，结果显示Phobos在所有勒索软件家族中表现出强烈且一致的通用区分特征；Mallox呈现家族特定的区分模式；LockBit、REvil、Monti和Akira显示一致的黄色条纹块但密度较低；Maze、BlackMatter和Abyss则主要由非区分性特征组成；Ryuk的区分特征最少。
研究人员总结认为，由于捕获文件系统操作的可用数据集有限，勒索软件行为的深入研究存在空白。RIFO数据集涵盖十个勒索软件样本、285个去重攻击场景、42种文件类型和超过155,000个不同大小的文件，通过时序分析和探索性数据分析（EDA）增强了对勒索软件系统操作行为的可见性。文件系统操作使研究人员能够检查勒索软件技术，支持将新兴变体与先前样本关联的归因框架构建，并促进可告知事件响应和数据恢复策略的行为画像开发。
从定性分析观察到了勒索软件样本间的行为差异。频率分析显示，Maze、Monti、Akira和Ryuk等家族主要依赖多线程，产生较少或没有子进程，这种方法虽然高效但可能使异常系统活动更易被检测。相反，LockBit、Phobos、Abyss、Mallox和REvil利用多个进程，使每个进程能独立处理特定任务。文件访问模式分析可视化并分析了勒索软件样本间的行为差异，例如LockBit 3.0和BlackMatter使用的间歇性加密，以及Akira和Phobos采用的不同方式，同时突出了Abyss勒索软件样本执行中的增量阶梯状步骤。
在定量分析中，点二列相关矩阵说明尽管多数事件弱相关，但深入检查使研究人员能够观察到LockBit、Maze、Monti、Mallox和Abyss等勒索软件样本中的模式化相关。此外，Kruskal-Wallis类分离热力图突出了类间特征区分，其中Phobos在所有勒索软件家族中表现出强烈的通用区分特征，其次是Mallox。
该研究证明了RIFO数据集和ETW可观察遥测在剖析勒索软件系统操作中的效用，通过先进的统计和时序方法，为勒索软件分析、画像和归因建立了方法论基础，从而提供了可指向有效事件响应和灾难恢复的宝贵见解。
