연구진이 랜섬웨어가 파일 작업을 임시·중간 파일로 잘게 쪼개 탐지를 회피하는 문제를 해결하는 조기 탐지 프레임워크 'DEFEAT'를 arXiv에 공개했다. 기존 탐지기는 고정된 이벤트 패턴을 대조하거나 여러 파일에 걸친 통계적 증거를 축적해야 하는 방식이어서, 랜섬웨어가 암호화 작업을 여러 파일에 걸쳐 분산시키면 개별 파일 스트림만 보는 탐지기가 무력화된다는 한계가 있었다. DEFEAT는 인과적으로 연관된 파일 이벤트들을 '파일 이벤트 가젯(FEG)'이라는 의미론적으로 일관된 단위로 재구성하며, 시스템 전체를 아우르는 프로버넌스 그래프와 달리 단일 사용자 자산의 파일 작업 맥락에만 범위를 한정해 전체 시스템 계측 없이 가볍고 표적화된 분석이 가능하다. 각 FEG는 그래프신경망으로 임베딩·비지도 군집화돼 주석 작업량을 94% 줄인다. 67개 랜섬웨어 패밀리, 9781만 건의 파일 입출력 이벤트 평가에서 DEFEAT는 99.2%의 탐지 정확도를 기록하며 기존 최고 성능 기법들을 6.57~7.56%포인트 앞섰다.

• •랜섬웨어가 파일 작업을 여러 파일에 분산시켜 탐지를 회피하는 문제 해결하는 'DEFEAT' 프레임워크 제안
• •인과관계로 연결된 파일 이벤트를 '파일 이벤트 가젯(FEG)' 단위로 재구성, 단일 자산 맥락에 한정해 경량 분석
• •그래프신경망 기반 비지도 군집화로 행동 단위 라벨링, 주석 작업량 94% 절감
• •67개 랜섬웨어 패밀리·9781만 건 이벤트 평가에서 탐지정확도 99.2%, 기존 최고기법 대비 6.57~7.56%p 향상
• •첫 암호화 파일 발생 즉시 탐지 가능한 구조로 실시간 대응력 확보