分散したファイル操作をつなぎランサムウェアを早期検知
DEFEAT: Stitching Fragmented File I/O Contexts for Early Ransomware Detection
この論文をやさしく読む
ひとことで言うと
一つのファイルが暗号化されるまでに生じる、複数の一時ファイルにまたがった操作をつなぎ直し、ランサムウェアの動作を見分ける研究です。
何に役立つ？
被害が多数のファイルに広がる前の検知と、分析者によるラベル付けの負担軽減に役立つ方法です。評価では検知精度99.2%、注釈付けの労力94%削減が報告されています。
この研究の面白いところ
監視対象をシステム全体の因果関係まで広げず、一つのユーザー資産に関係する操作だけをグラフ化しています。ファイルを個別に見ると失われる関連性を、分析範囲を絞ったまま回復する点が特徴です。
どこまで分かった？
結果は67ファミリのイベントコーパスによる評価です。要旨には未知のファミリに対する性能、誤検知率の内訳、実運用時の負荷は記載されていません。最初の暗号化ファイルでの検知であり、暗号化被害が一切発生しないという結果ではありません。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
ランサムウェアは、一時ファイルや中間ファイルにまたがってファイル操作を分散させる傾向を強めており、個々の入出力イベントを一連の暗号化活動と結び付ける意味的な文脈が散逸している。この分断は、固定的なイベント列に照合するパターン型手法であれ、多数のファイルから統計的な証拠を蓄積する学習型手法であれ、個別のファイルのイベント列を推論対象とする既存の検知器を機能しにくくする。 本研究では、因果的に関連するファイルイベントをFile Event Gadget（FEG）にまとめ、分断・散逸した文脈を再構成するフレームワークDEFEATを提案する。FEGは、動的に作成される複数のファイルにまたがる一連の操作の意図全体を捉える、意味的に一貫した単位である。プロセス、ファイル、ソケット、レジストリキーなど、システム全体のあらゆるOS実体間の関係を記録する因果グラフである来歴グラフとは異なり、FEGの範囲は一つのユーザー資産のファイル操作に限定される。このため、システム全体に計測機構を組み込まずに、軽量で対象を絞った解析が可能になる。 各FEGを属性付き制御フローグラフ（ACFG）としてモデル化し、グラフニューラルネットワークで埋め込み表現に変換して教師なしクラスタリングを行う。これにより、分析者は個別のサンプルではなく動作のクラスタ全体にラベルを付けられ、注釈付けの労力を94%削減できる。67種類のランサムウェアファミリにわたる97,816,471件のファイル入出力イベントからなるコーパスで評価したところ、DEFEATの検知精度は99.2%に達し、UNVEIL、RWGuard、Peelerを含む最先端手法を6.57〜7.56%上回った。 このフレームワークは単一ファイルの暗号化を単位として動作する。各ACFGはちょうど一つのFEG、すなわち一つのユーザー資産の文脈を表すため、最初のファイル操作が完了するとクラスタのラベルを割り当てられ、最初に暗号化されたファイルの段階で検知できる。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-18（UTC）
- 最新改訂
- 2026-09-18 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-18 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
Ransomware increasingly fragments its file operations across temporary and intermediate files, scattering the semantic context that links individual I/O events to an overarching encryption campaign. This fragmentation defeats existing detectors that reason over isolated file streams -- whether pattern-based methods that match rigid event sequences or learning-based methods that require accumulating statistical evidence across many files. We present DEFEAT, a framework that reconstructs this fragmented, scattered context by grouping causally related file events into File Event Gadgets (FEGs), semantically coherent units that capture the full intent behind sequences of file operations spanning multiple dynamically created files. Unlike provenance graphs (system-wide causal graphs that record relationships among all OS entities, such as processes, files, sockets, and registry keys, across the entire system), FEGs are scoped to the file-operation context of a single user asset, enabling lightweight, targeted analysis without whole-system instrumentation. Each FEG is modelled as an attributed control flow graph (ACFG) and embedded via a graph neural network for unsupervised clustering, enabling analysts to label entire behavioural clusters rather than individual samples, reducing annotation effort by 94%. Evaluated on a corpus of 97,816,471 file I/O events spanning 67 ransomware families, DEFEAT achieves 99.2% detection accuracy and outperforms state-of-the-art methods including UNVEIL, RWGuard, and Peeler by 6.57 to 7.56%. The framework operates at the granularity of a single file encryption: because each ACFG represents exactly one FEG (one user asset context), a cluster label can be assigned as soon as the first file operation completes, enabling detection at the first encrypted file.
著者のコメント
13 pages. Accepted to the 42nd Annual Computer Security Applications Conference (ACSAC 2026)
arXiv ID: 2609.21426 ／ 要約の誤りについて