DEFEAT 框架通过重组碎片化文件 I/O 上下文实现早期勒索软件检测

该论文提出 DEFEAT 框架，旨在解决勒索软件通过分散临时和中间文件操作来破坏语义上下文的问题，使依赖孤立文件流或统计证据的现有检测器失效。DEFEAT 将因果相关的文件事件分组为“文件事件小工具”（FEGs），这些是捕获跨越多个动态创建文件的完整意图的语义连贯单元，并在单个用户资产的文件操作上下文中进行轻量级分析，无需全系统仪器化。

评估显示，在包含 67 个勒索软件家族的 97,816,471 个文件 I/O 事件语料库上，DEFEAT 实现了 99.2% 的检测准确率，比 UNVEIL、RWGuard 和 Peeler 等最先进方法高出 6.57% 至 7.56%。其核心机制是将每个 FEG 建模为属性控制流图（ACFG）并通过图神经网络进行无监督聚类，使得分析师只需标记整个行为簇而非单个样本，从而将标注工作量减少了 94%。由于每个 ACFG 代表一个 FEG，一旦第一个文件操作完成即可分配簇标签，从而实现首个加密文件时的检测。

事实层面，该方法基于 2026 年 9 月提交的 arXiv 论文，已接受 ACSAC 2026 会议。推断层面，这种从“多文件统计证据”转向“单文件上下文重构”的思路可能改变端侧安全产品的架构设计，使其不再依赖长窗口历史数据。猜测层面，该框架在实际生产环境中的计算开销与部署复杂度仍需验证，且针对非标准文件操作模式的泛化能力未在文中详述。