Анализ угрозы вредоносного ПО, воздействующей на финансовые организации, с использованием машинного обучения

С 2014 года Emotet использует атаки типа «человек в браузере» (man-in-the-browser, MITB) для воздействия на компании финансовой отрасли и их клиентов. Основная цель вредоносной программы — хищение записей о банковских операциях жертв в интернете и критически важных учетных данных при посещении ими веб-сайтов банков. В настоящей работе авторы используют модели машинного обучения (ML) для обнаружения заражений вредоносной программой Emotet и выявления перегруженных потоков трафика, связанных с Emotet, без анализа содержимого полезной нагрузки сетевых пакетов, меток IP-адресов, трасс портов или сведений о протоколах. Для классификации потоков, связанных с Emotet, и обнаружения заражений Emotet результаты сопоставляются для четырех широко распространенных алгоритмов машинного обучения: RF (случайный лес), MLP (многослойный перцептрон), SMO (метод последовательной минимальной оптимизации) и LRM (модель логистической регрессии). Затем предложенный классификатор оптимизируется путем выбора подходящих гиперпараметров и диапазонов наборов признаков. С использованием вычислительных идентификаторов сетевых пакетов классификатор на основе случайного леса обнаруживает потоки, связанные с Emotet, с точностью 99,9726% и истинно положительной долей 92,3%.