Assessing the Effectiveness of YARA Rules for Signature-Based Malware Detection and Classification
恶意软件通常使用混淆技术或稍微修改以逃避防病毒软件和恶意软件分析工具的签名检测。传统上，为了确定文件是否是恶意的并且识别样本是什么类型的恶意软件，计算文件的加密散列。YARA是一种更新、更灵活的恶意软件检测解决方案，它可以创建规则，根据文件的二进制模式对恶意软件进行识别和分类。在本文中，作者将批判性地评估YARA规则的有效性，基于签名的检测和分类的恶意软件相比，替代方法，其中包括加密和模糊哈希。
2021-11-27 cs.CR
Beyond Labeling: Using Clustering to Build Network Behavioral Profiles of Malware Families
已知恶意软件系列标签不一致。它们也是黑盒，因为它们不代表恶意软件的功能。当前最先进的恶意软件能力评估主要包括手动方法，由于发现的恶意软件样本的数量不断增加，这些方法是不可行的。我们提出了一种新的无监督的机器学习为基础的方法称为MalPaCA，它自动化的能力评估，通过聚类的时间行为恶意软件的网络痕迹。MalPaCA仅使用20个数据包报头提供有意义的行为集群。行为配置文件是基于恶意软件的网络跟踪的集群成员关系生成的。有向无环图根据恶意软件的重叠行为显示它们之间的关系。行为配置文件与DAG一起提供了比当前系列名称更有洞察力的恶意软件特征。我们还提出了一个可视化的评价方法，所获得的集群，以帮助从业者在理解聚类结果。我们将MalPaCA应用于在野外收集的金融恶意软件数据集，该数据集包含1.1k恶意软件样本，产生3.6M数据包。我们的实验表明，（i）MalPaCA成功地识别功能，如端口扫描和重用的命令和控制服务器;（ii）它揭示了行为集群和恶意软件家族标签之间的多个差异;（iii）它证明了使用时间特征的聚类跟踪的有效性，产生的出错率为8.3%，相比之下，从统计特征获得的57.5%。
2020-11-13 cs.CR
Adversarial Malware Binaries: Evading Deep Learning for Malware Detection in Executables
机器学习方法已经被用作检测恶意可执行文件的有用工具。它们利用从恶意软件样本中检索到的数据，例如头字段、指令序列甚至原始字节，来学习区分良性软件和恶意软件的模型。然而，也已经表明，机器学习和深度神经网络可以被逃避攻击（也称为对抗性示例）所欺骗，即，对输入数据的小的改变导致测试时的误分类。在这项工作中，我们研究了使用深度网络从原始字节中学习的恶意软件检测方法的漏洞。我们提出了一种基于梯度的攻击，它能够通过在每个恶意软件样本的末尾仅更改几个特定字节来规避最近提出的适合此目的的深度网络，同时保留其侵入性功能。有希望的结果表明，我们的对抗性恶意软件二进制文件以很高的概率逃避目标网络，即使它们的字节只有不到1%被修改。
2018-03-12 cs.CR
Deciphering Malware's use of TLS (without Decryption)
恶意软件使用TLS对网络威胁检测提出了新的挑战，因为传统的模式匹配技术不再适用于其消息。然而，TLS还引入了一组复杂的可观察数据特征，允许对客户端和服务器进行许多推断。我们表明，这些功能可用于检测和理解恶意软件通信，同时保护加密的良性使用的隐私。这些数据特征还允许网络通信的准确恶意软件家族归属，即使仅限于单个加密流。为了证明这一点，我们对TLS如何被恶意软件和企业应用程序使用进行了详细的研究。我们提供了对数百万TLS加密流的一般分析，以及对18个恶意软件家族的有针对性的研究，这些恶意软件家族由数千个独特的恶意软件样本和数万个恶意TLS流组成。重要的是，我们识别并适应使用恶意软件沙箱所带来的偏见。恶意软件分类器的性能与恶意软件家族对TLS的使用相关，即，积极发展其密码学使用的恶意软件家族更难以分类。我们的结论是，恶意软件的TLS的使用是不同的良性使用在企业环境中，这些差异可以有效地用于规则和机器学习分类器。
2016-07-06 cs.CR
Revisiting Concept Drift in Windows Malware Detection: Adaptation to Real Drifted Malware with Minimal Samples
针对Windows恶意软件检测中的概念漂移问题，提出利用图神经网络与对抗性域适应学习漂移不变特征的新方法，显著提升了在少量样本下对真实漂移恶意软件的检测与分类性能。
2024-12-19 cs.CR
Addressing malware family concept drift with triplet autoencoder
本文提出一种结合三元组损失的有监督自编码器和DBSCAN算法的方法，通过构建清晰稳健的聚类来有效识别新出现的恶意软件家族，从而解决恶意软件检测中的概念漂移问题，并在Android和Windows数据集上验证了其显著提升效果。
2025-07-01 cs.CR
Eight Years of Rider Measurement in the Android Malware Ecosystem: Evolution and Lessons Learned
尽管Android恶意软件构成的威胁越来越大，但研究社区仍然缺乏对平台上活跃的恶意软件家族暴露的常见行为和趋势的全面了解。如果没有这样的观点，研究人员就有可能开发出只检测过时威胁的系统，而忽略了最新的威胁。在本文中，我们对Android恶意软件行为进行了迄今为止最大规模的测量，分析了八年内（从2010年到2017年）属于1.2K系列的120多万个恶意软件样本。我们的目标是了解Android恶意软件的行为如何随着时间的推移而演变，重点是重新包装恶意软件。在这种类型的威胁中，不同的无害应用程序都带有恶意负载（骑手），允许廉价的恶意软件制造。研究重新打包的恶意软件时面临的主要挑战之一是将应用程序切片，将良性组件与恶意组件分开。为了解决这个问题，我们使用差异分析来隔离与活动无关的软件组件，并单独研究恶意骑手的行为。我们的分析框架依赖于集体知识库和从多个反病毒供应商提取的情报系统化的最新进展。我们发现，自2010年起步以来，Android恶意软件生态系统已经发生了显着变化，无论是恶意样本执行的恶意活动类型，还是恶意软件为避免检测而使用的混淆级别。然后，我们表明，我们的框架可以帮助分析师谁试图研究未知的恶意软件家族。最后，我们讨论了我们的研究结果对Android恶意软件检测研究的意义，强调了研究社区需要进一步关注的领域。
2020-03-19 cs.CR
MalDICT: Benchmark Datasets on Malware Behaviors, Platforms, Exploitation, and Packers
本文针对恶意软件行为、平台、漏洞利用和加壳工具四项分类任务，利用ClarAVy工具构建并发布了总计近550万个恶意文件的基准数据集。
2023-10-18 cs.CR
Android Malware Family Classification Based on Resource Consumption over Time
当今绝大多数移动恶意软件都针对Android设备。这推动了过去几年Android恶意软件分析的研究工作。恶意软件分析的一个重要任务是将恶意软件样本分类到已知的家族中。已知静态恶意软件分析不足以对抗改变恶意软件的静态特性（例如，代码混淆）的技术，而动态分析已被证明对抗此类技术是有效的。据我们所知，纯粹基于动态分析的Android恶意软件家族分类最值得注意的工作是DroidScribe。对于DroidScribe，我们的方法更容易复制。我们的方法只使用公开可用的工具，不需要对模拟环境或Android操作系统进行任何修改，并且可以从物理设备收集数据。后者是一个关键因素，因为现代移动恶意软件可以检测模拟环境并隐藏其恶意行为。我们的方法依赖于proc文件系统提供的资源消耗度量。通过去趋势波动分析和相关性提取特征。最后，一个SVM分类恶意软件到家庭。我们对Drebin数据集的恶意软件样本进行了实验评估，获得了82%的分类准确率，证明我们的方法达到了与DroidScribe相当的准确率。此外，我们公开了我们开发的软件，以便于我们结果的重现性。
2017-09-04 cs.CR
FamDroid: Learning-Based Android Malware Family Classification Using Static Analysis
Android是目前世界上使用最广泛的智能手机平台。由于其流行性和开源性，Android恶意软件近年来增长迅速，给用户的隐私带来了极大的风险。恶意软件家族中的恶意软件应用可以具有共同的特征和类似的行为，这对于恶意软件检测和检查是有益的。因此，将Android恶意软件分类到其相应的家族中是恶意软件分析中的重要任务。目前，现有Android恶意软件家族分类研究工作存在的主要问题在于，提取的特征不足以代表恶意软件家族中恶意软件的共同行为特征，且利用单一分类器或静态集成分类器进一步提高分类精度受到限制。在本文中，我们提出了FamDroid，一个基于学习的Android恶意软件家族分类方案，使用静态分析技术。在FamDroid中，从恶意软件应用程序的apk文件中提取显式功能，包括权限、硬件组件、应用程序组件、意图过滤器。此外，从提取的API中生成的隐藏特征用于表示应用程序中的API调用关系。然后，我们设计了一个自适应加权集成分类器，它考虑了样本对每个基分类器的适应性，进行准确的恶意软件家族分类。我们在包含5560个Android恶意应用程序的Drebin数据集上进行了实验。通过与5种传统的机器学习模型和4种最先进的参考方案的比较，证明了FamDroid的优越性。FamDroid可以正确地将98.92%的恶意软件样本分类到它们的家族中，并达到99.12%的F1分数。
2021-01-29 cs.CR
Contrastive Learning for Robust Android Malware Familial Classification
Android操作系统由于其开放源代码的特性，一直是攻击者利用的主要目标。恶意软件创建者总是在他们的应用程序上执行不同的代码混淆来隐藏恶意活动。通过程序分析从这些混淆样本中提取的特征包含许多无用和伪装的特征，这导致了许多假阴性。为了解决这个问题，在本文中，我们证明了混淆弹性恶意软件家族分析可以通过对比学习来实现。我们的分析背后的关键见解是，对比学习可以用来减少混淆所引入的差异，同时放大恶意软件和其他类型的恶意软件之间的差异。基于所提出的分析，我们设计了一个系统，可以实现强大的和可解释的Android恶意软件分类。为了实现鲁棒的分类，我们对恶意软件样本执行对比学习，以学习可以从恶意软件样本中自动提取鲁棒特征的编码器。为了实现可解释的分类，我们通过中心性分析将样本的函数调用图转化为图像。然后，可以通过可视化技术获得相应的热图。这些热图可以帮助用户理解为什么恶意软件被归类为这个家族。我们实现了\emph{IFDroid}，并在两个数据集上进行了广泛的评估。实验结果表明，\emph{IFDroid}优于最先进的Android恶意软件家族分类系统。此外，\emph{IFDroid}能够在分类69，421个混淆恶意软件样本时保持98.4\%的F1。
2022-11-01 cs.CR
Analyzing, Comparing, and Detecting Emerging Malware: A Graph-based Approach
随着Android和物联网（IoT）设备数量的增长，恶意软件（恶意软件）的数量也随之增加，这就需要新的分析方法。我们使用控制流图（CFG）结构的图形属性表示二进制文件，并对从Android和IoT恶意软件中提取的恶意图形进行深入分析，以了解它们的差异。使用对应于物联网和Android样本的2，874和2，891个恶意软件二进制文件，我们分析了一般特征和图形算法属性。使用CFG作为抽象结构，我们强调了各种有趣的发现，例如Android恶意软件中不可访问代码的流行，通过其CFG中的多个组件以及Android恶意软件中的更多节点来指出，与物联网恶意软件相比，突出了更高的复杂性。我们实现了一个基于机器学习的分类器来检测物联网恶意软件和良性恶意软件，并使用随机森林（RF）实现了97.9%的准确率。
2019-02-11 cs.CR
Detecting and Explaining Malware Family Evolution Using Rule-Based Drift Analysis
Faculty of Information Technology, Czech Technical University in Prague（布拉格捷克理工大学信息技术学院）
本文提出基于规则的漂移分析方法，用于检测和解释恶意软件家族演变，通过比较规则集识别特征变化，提供可操作的恶意软件行为洞察。
2026-02-03 cs.CR
DroidAnalytics: A Signature Based Analytic System to Collect, Extract, Analyze and Associate Android Malware
智能手机和移动设备正迅速成为许多用户不可或缺的设备。不幸的是，它们也成为黑客部署恶意软件和传播病毒的肥沃土壤。有一个迫切需要有一个“安全分析和取证系统”，可以方便分析师检查，解剖，关联和关联大量的移动应用程序。一个有效的分析系统需要解决以下问题：如何自动收集和管理大量的移动恶意软件？如何分析零日可疑应用程序，并将其与数据库中现有的恶意软件家族进行比较或关联？如何执行信息检索以揭示与现有恶意软件相似的恶意逻辑，并快速识别新的恶意代码段？在本文中，我们提出了DroidAnalytics的设计和实现，基于签名的分析系统，自动收集，管理，分析和提取Android恶意软件。该系统便于分析人员在“操作码级别”检索、关联和揭示恶意逻辑。我们使用150，368个Android应用程序证明了DroidAnalytics的有效性，并成功确定了来自102个不同家族的2，494个Android恶意软件，其中342个是来自6个不同家族的零日恶意软件样本。据我们所知，这是第一个报告的案例，显示了如此大的Android恶意软件分析/检测。评估表明DroidAnalytics是一个有价值的工具，在分析恶意软件重新包装和突变方面非常有效。
2013-09-23 cs.CR
Catch'em all: Classification of Rare, Prominent, and Novel Malware Families
针对现有机器学习方法在类别不平衡下难检测新型恶意软件、分类效果不佳的问题，提出降维与特征提取框架MalwareDNA，可在不平衡场景下稳定完成两类任务，仅伴随弃权率上升的权衡。
2024-03-04 cs.CR
MALITE: Lightweight Malware Detection and Classification for Constrained Devices
本文提出轻量级恶意软件分析系统MALITE，通过将二进制文件转换为图像并设计MALITE-MN神经网络与MALITE-HRF随机森林架构，在六个数据集上实现高精度分类且大幅降低资源消耗，适用于资源受限设备。
2023-09-06 cs.CR
MALIGN: Explainable Static Raw-byte Based Malware Family Classification using Sequence Alignment
提出受基因组序列比对启发的 MAlign，通过核苷酸编码原始字节并提取保守代码片段特征，实现可解释、鲁棒的静态恶意软件家族分类。
2024-01-12 cs.CR
Malware Resistant Data Protection in Hyper-connected Networks: A survey
该综述针对现有研究未同时涵盖恶意软件攻击模式与防御策略的空白，整合了现代复杂恶意软件的攻击模式分类与基于机器学习的检测方法，梳理了分析技术并指出未来研究方向。
2023-07-24 cs.CR
Malytics: A Malware Detection Scheme
网络安全的一个重要问题是恶意软件分析。除了良好的精度和识别率，恶意软件检测方案还需要能够很好地概括新型恶意软件家族（即零日攻击）。重要的是，系统不需要过多的计算，特别是对于在移动设备上的部署。在本文中，我们提出了一种新的方案来检测恶意软件，我们称之为Malytics。它不依赖于任何特定的工具或操作系统。它提取任何给定二进制文件的静态特征，以区分恶意软件和良性软件。Malytics包括三个阶段：特征提取，相似性度量和分类。这三个阶段由一个具有两个隐层和一个输出层的神经网络实现。我们表明，特征提取，这是由tf -simhashing执行，是等价于一个特定的神经网络的第一层。我们评估了Malytics在Android和Windows平台上的性能。Malytics在这两个平台上的表现优于各种基于学习的技术以及个别最先进的模型。我们还表明，Malytics在解决零日恶意软件样本方面具有弹性和强大性。在应用的数据集中，Malytics在Android dex文件和Windows PE文件上的F1得分分别为97.21%和99.45%。还评估了Malytics的速度和效率。
2018-06-18 cs.CR
MalDetConv: Automated Behaviour-based Malware Detection Framework Based on Natural Language Processing and Deep Learning Techniques
Windows的普及吸引了黑客/网络攻击者的注意，使Windows设备成为近年来恶意软件攻击的主要目标。几种复杂的恶意软件变体和反检测方法已得到显著增强，因此，传统的恶意软件检测技术已变得不那么有效。这项工作提出了MalBehavD-V1，一个新的行为数据集的Windows应用程序编程接口（API）调用提取良性和恶意软件的可执行文件使用的动态分析方法。此外，我们提出了MalDetConV，一个新的自动化的基于行为的框架，用于检测现有的和零日恶意软件攻击。MalDetConv使用基于文本处理的编码器将API调用的特征转换为深度学习模型支持的合适格式。然后，它使用卷积神经网络（CNN）和双向门控递归单元（CNN-BiGRU）自动特征提取器的混合来选择API调用的高级特征，然后将其馈送到完全连接的神经网络模块进行恶意软件分类。MalDetConv还使用了一个可解释的组件，该组件揭示了有助于最终分类结果的功能，有助于安全分析师的决策过程。使用我们的MalBehavD-V1数据集和其他基准数据集评估所提出的框架的性能。检测结果证明了MalDetConv在检测MalBehavD-V1、Allan和John、Brazilian和Ki-D数据集中的不可见恶意软件时，检测准确率分别为96.10%、95.73%、98.18%和99.93%。实验结果表明，MalDetConv在检测Windows设备上的…
2022-09-08 cs.CR
DaDiDroid: An Obfuscation Resilient Tool for Detecting Android Malware via Weighted Directed Call Graph Modelling
自2012年以来，新的移动恶意软件实例的数量每年增长超过50%，移动应用程序中嵌入的恶意软件可以说是移动平台面临的最严重的安全问题之一。虽然混淆技术成功地用于保护应用程序开发人员的知识产权，但不幸的是，它们也经常被网络犯罪分子用来隐藏移动应用程序中的恶意内容并欺骗恶意软件检测工具。因此，大多数移动恶意软件检测方法无法区分良性和混淆的恶意应用程序。我们通过构建API调用的加权有向图来检查移动应用程序代码的图形特征，并验证恶意应用程序通常具有可用于将其与良性应用程序区分开的结构相似性，即使在严重“污染”的训练集下，其中大多数应用程序都被混淆。我们提出DaDiDroid的Android恶意软件应用程序检测工具，利用API调用的加权有向图的功能来检测（混淆）Android应用程序中的恶意软件代码的存在。我们发现DaDiDroid明显优于MaMaDroid [23]，MaMaDroid是最近提出的恶意软件检测工具，已被证明在干净的非混淆环境中检测恶意软件非常有效。我们评估DaDiDroid的准确性和鲁棒性对几个规避技术使用各种数据集，共43，262良性和20，431恶意软件应用程序。我们发现，DaDiDroid正确标记了高达96%的Android恶意软件样本，同时通过独家使用混淆应用程序的训练集实现了91%的准确率。
2019-08-21 cs.CR
Detecting and Classifying Android Malware using Static Analysis along with Creator Information
每天都有数以千计的恶意应用程序针对移动设备，包括流行的Android平台。这些应用程序中有很大一部分是由少数专业的地下行为者创建的，但是以前的研究忽略了这些信息作为检测和分类恶意软件以及将恶意软件归因于创建者的特征。在此基础上，我们提出了一种方法，通过将创建者的信息作为一个特征，并将恶意应用程序分类到类似的组中，来提高Android恶意软件检测的性能。我们开发了一个在实践中实现这种方法的系统。我们的系统可以通过使用创建者的信息，如证书的序列号快速检测恶意软件。此外，它还分析恶意行为者和权限，以提高检测准确性。该系统还可以基于相似性评分对恶意软件进行分类。最后，我们分别以98%和90%的准确率展示了检测和分类性能。
2019-03-02 cs.CR
Malware Analysis using Multiple API Sequence Mining Control Flow Graph
恶意软件通过创建相同或不同系列的全边缘变体而变得持久。属于同一家族的恶意软件在将感染传播到受害者计算机的功能方面具有相同的特征。恶意软件家族之间的这些相似特征可以被视为用于创建可以帮助检测属于特定家族的恶意软件的解决方案的措施。在我们的方法中，我们通过以API序列的n-gram的形式创建这些特征的数据库来检测这些恶意软件家族。我们使用各种相似性评分方法，并提取多个API序列，以有效地分析恶意软件。
2017-07-10 cs.CR
HilEnT: Hilbert, Entropy Transformed Image Based Malware Detection
Cybersecurity Strategic Technology Centre, ST Engineering（网络安全战略技术中心，新加坡科技工程有限公司）
提出基于希尔伯特曲线变换与熵特征比较的恶意软件二进制到图像转换技术HilEnT，用机器学习检测，进行多分类评估，研究特征降维技术，在四个数据集上获最优结果。
2026-07-07 cs.CR
An Analysis of Malware Trends in Enterprise Networks
我们对2017年至2018年初从两家不同企业捕获的恶意软件样本进行了实证和大规模分析。特别是，我们对我们的数据集进行威胁向量，社会工程，漏洞和时间序列分析。与现有的恶意软件研究不同，我们的分析特别关注最近的企业恶意软件样本。首先，根据我们对两家企业的综合数据集的分析，我们的结果证实了普遍的共识，即仅AV解决方案不足以在企业设置中进行实时防御，因为平均40%的恶意软件样本在首次出现时，不会被VirusTotal上的大多数AV检测到，或者根本不会上传到VT（即，在野外从未见过）。此外，我们的分析还表明，企业用户传输的文档多于可执行文件和其他类型的文件。因此，攻击者将恶意代码嵌入到文档中以下载和安装实际的恶意负载，而不是直接发送恶意负载或使用漏洞利用。此外，我们还发现，财务事项（例如，采购订单和发票）仍然是旨在欺骗员工的商业电子邮件妥协（BEC）诈骗中最常见的主题。最后，根据我们对捕获的恶意软件样本的时间戳的分析，我们发现93%的恶意软件样本是在工作日交付的。我们的进一步分析还表明，虽然需要用户交互的恶意软件样本（如基于宏的恶意软件样本）是在员工的工作时间捕获的，但大规模的恶意软件攻击是在员工的下班时间触发的，以便能够在网络上悄悄传播。
2019-10-01 cs.CR
Relation-aware based Siamese Denoising Autoencoder for Malware Few-shot Classification
本文提出一种基于关系感知嵌入的孪生神经网络，结合熵图像输入，用于在少样本和混淆技术条件下提升恶意软件分类的准确性与鲁棒性。
2024-11-21 cs.CR
HomDroid: Detecting Android Covert Malware by Social-Network Homophily Analysis
Android已经成为最流行的移动操作系统。与此相对应，越来越多的Android恶意软件被开发和传播，以窃取用户的私人信息。存在一种类型的恶意软件，其良性行为被开发来伪装恶意行为。恶意组件只占应用程序（简称app）整个代码的一小部分，并且恶意部分与良性部分强耦合。在这种情况下，当恶意软件检测器从整个应用程序中提取特征以进行分类时，恶意软件可能导致误报，因为这些应用程序的恶意特征可能隐藏在良性特征中。此外，以前的一些工作旨在将整个应用程序划分为几个部分以发现恶意部分。然而，这些方法开始应用程序分区的前提是正常部分和恶意部分之间的连接是弱的。在本文中，我们将这种类型的恶意软件称为Android隐蔽恶意软件，并生成隐蔽恶意软件的第一个数据集。为了检测它们，我们首先进行静态分析以提取调用图。通过对图的深入分析，我们发现虽然这些图中正常部分和恶意部分之间的相关性很高，但这些相关性的程度具有分布性。在此基础上，我们设计了HomDroid，通过分析调用图的同质性来检测隐藏的恶意软件。我们根据4，840个良性应用程序和3，385个隐蔽恶意应用程序的数据集的评估结果确定了区分正常部分和恶意部分的理想相关性阈值。根据我们的评估结果，HomDroid能够检测96.8%的隐蔽恶意软件，而另外四个最先进的系统（即，PerDroid、Drebin、MaMaDroid和IntDroid）分别为30.7%、16.…
2021-07-10 cs.CR
MalwareDNA: Simultaneous Classification of Malware, Malware Families, and Novel Malware
Los Alamos National Laboratory（洛斯阿拉莫斯国家实验室）；University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
本文提出一种新方法，可同时精确识别新型恶意软件家族，并统一恶意软件/良性软件分类与家族分类于单一框架，应对现有机器学习方法忽视现实挑战的问题。
2023-09-04 cs.CR cs.LG
A Novel Malware Detection Mechanism based on Features Extracted from Converted Malware Binary Images
George Mason University（乔治梅森大学）
几十年来，我们的计算机系统一直受到各种类型的硬件和软件攻击的威胁，恶意软件就是其中之一。这种恶意软件有能力窃取，破坏，污染，获得意外访问，甚至破坏整个系统。已经有通过执行恶意软件文件的静态和动态分析来检测恶意软件的技术，但是，隐形恶意软件已经绕过了静态分析方法，并且对于动态分析，已经有提出不同方法来检测恶意软件的先前工作，但是，在这项工作中，我们提出了一种新的技术来检测恶意软件。我们使用恶意软件的二进制图像，然后从相同的提取不同的功能，然后采用不同的ML分类器的数据集，从而获得。我们表明，这种技术是成功的，在区分类别的恶意软件提取的特征的基础上。
2021-04-14 cs.CR cs.LG
Behavioral Malware Classification using Convolutional Recurrent Neural Networks
Drexel University（德雷塞尔大学）
行为恶意软件检测旨在提高防病毒系统使用的基于静态签名的技术的性能，这些技术对现代多态和变形恶意软件的效果较差。行为恶意软件分类的目的不仅仅是检测恶意软件，还根据命名方案（如反病毒供应商使用的命名方案）识别恶意软件家族。行为恶意软件分类技术使用运行时特征（诸如文件系统或网络活动）来捕获正在运行的进程的行为特征。恶意软件样本量的增加、恶意软件家族的多样性以及由反病毒供应商给予恶意软件样本的各种命名方案对行为恶意软件分类器提出了挑战。我们描述了一个行为分类器，它使用卷积递归神经网络和来自Microsoft Windows预取文件的数据。我们展示了该模型的改进，国家的最先进的使用大型数据集的恶意软件家族和四个主要的反病毒供应商命名方案。该模型在分类属于常见和罕见恶意软件家族的恶意软件样本方面是有效的，并且可以逐渐适应新恶意软件样本和家族的引入。
2018-11-19 cs.CR cs.LG
Random Forest for Malware Classification
Ateneo de Manila University（马尼拉雅典耀大学）
参与恶意软件活动的挑战包括正确识别和分类不同的恶意软件变体。各种恶意软件结合了代码混淆方法，这些方法可以改变其代码签名，有效地对抗利用静态方法和签名数据库的反恶意软件检测技术。在这项研究中，我们利用了一种将恶意软件二进制转换为图像的方法，并使用随机森林来分类各种恶意软件家族。结果准确率为0.9562，表明该方法在检测恶意软件方面是有效的
2016-09-25 cs.CR cs.LG
Using Static and Dynamic Malware features to perform Malware Ascription
Thapar Institute of Engineering and Technology（塔帕尔工程技术学院）；Savitribai Phule Pune University（萨维特里拜·普勒浦那大学）
恶意软件的归属是一个相对未开发的领域，它是相当困难的属性恶意软件和检测作者。在本文中，我们采用各种静态和动态的恶意可执行文件的功能来分类恶意软件的基础上，他们的家庭。我们利用Cuckoo Sandbox和机器学习在这项研究中取得进展。分析后，使用各种深度学习和机器学习算法执行分类。使用从VirusTotal（静态）和Cuckoo（动态）报告中收集的功能，我们使用决策树作为基本估计器，针对多项式朴素贝叶斯、支持向量机和Bagging运行向量化数据。对于每个分类器，我们使用穷举搜索方法调整超参数。我们的报告在恶意软件归属方面非常有用。
2021-12-05 cs.CR cs.LG
Review of Deep Learning-based Malware Detection for Android and Windows System
Chosun University（朝鲜大学）
本文综述了分别针对Windows和Android系统的两种AI赋能恶意软件检测技术，二者在检测多种恶意软件家族时均达到完美准确率，证明AI方法能有效对抗具备混淆能力的现代恶意软件。
2023-07-04 cs.CR cs.LG
Cluster Analysis of Malware Family Relationships
San Jose State University（圣何塞州立大学）
在本文中，我们使用$K$ -均值聚类分析恶意软件样本之间的各种关系。我们考虑一个数据集，包括~20个恶意软件家族，每个家族约1000个样本。这些家族可以分为七种不同类型的恶意软件。我们根据家庭对进行聚类，并使用结果来确定家庭之间的关系。我们根据恶意软件类型执行类似的聚类分析。我们的研究结果表明，$K$ -均值聚类可以是一个强大的工具，用于恶意软件家族关系的数据探索。
2021-03-07 cs.CR cs.LG
New Era of Deeplearning-Based Malware Intrusion Detection: The Malware Detection and Prediction Based On Deep Learning
随着以深度学习模型为代表的人工智能算法的发展以及在不同领域的成功应用，深度学习技术在网络安全领域也有了进一步的探索。无论是在学术安全研究中，还是在行业实践中，通过深度学习方法处理部分网络安全问题时，与传统规则相比，都表现出了较好的性能。特别是对于恶意软件检测和分类任务，它节省了大量的时间成本，并提高了恶意软件检测系统总流水线的准确性。在本文中，我们构建了特殊的深度神经网络，即MalDeepNet（TB-Malnet和IB-Malnet），用于恶意软件动态行为分类任务。然后构建了基于深度学习的家族聚类算法并进行了相关测试。此外，我们还设计了一个新的恶意软件预测模型，可以检测恶意软件未来通过Mal生成对抗网络（Mal-GAN）的实现。这些算法在以后的相关数据集上具有相当大的应用价值。
2021-10-15 cs.CR cs.LG
Mal2GCN: A Robust Malware Detection Approach Using Deep Graph Convolutional Networks With Non-Negative Weights
Sharif University of Technology（谢里夫理工大学）
随着使用深度学习（DL）解决各种问题的步伐越来越快，保护这些模型免受攻击已成为研究人员的主要关注点之一。最近的研究表明，基于DL的恶意软件检测器容易受到对抗性示例的攻击。攻击者可以创建精心制作的对抗性示例，以逃避基于DL的恶意软件检测器。在本文中，我们提出了Mal2GCN，一个强大的恶意软件检测模型，使用函数调用图（FCG）表示的可执行文件结合图卷积网络（GCN）来检测Windows恶意软件。由于可执行文件的FCG表示比原始字节序列表示更鲁棒，因此许多提出的对抗性示例生成方法在规避Mal2GCN方面是无效的。此外，我们使用非负训练方法将Mal2GCN转换为单调非减函数，从而在理论上对附加攻击具有鲁棒性。然后，我们提出了一个黑盒源代码为基础的对抗性恶意软件生成方法，可用于评估恶意软件检测模型对现实世界的对手的鲁棒性。所提出的方法将对抗代码注入恶意软件源代码的各个位置，以逃避恶意软件检测模型。实验表明，非负权值的Mal2GCN在检测Windows恶意软件时具有较高的准确率，并且对恶意软件源代码中添加良性特征的对抗攻击具有较强的鲁棒性。
2022-03-12 cs.CR cs.LG
MalMixer: Few-Shot Malware Classification with Retrieval-Augmented Semi-Supervised Learning
Vanderbilt University（范德堡大学）；Stanford University（斯坦福大学）
针对现有恶意软件分类器依赖大量人工分析样本的问题，提出MalMixer，通过领域知识感知数据增强的检索增强半监督学习，在稀疏训练数据下实现少样本恶意软件家族分类的最先进性能。
2025-04-17 cs.CR cs.LG
Novel Feature Extraction, Selection and Fusion for Effective Malware Family Classification
University of Cagliari（卡利亚里大学）；Skolkovo Institute of Science and Technology（斯科尔科沃科学技术研究院）；National Research University Higher School of Economics（国立研究型大学高等经济学院）；Moscow Institute of Physics and Technology（莫斯科物理技术学院）
现代恶意软件的设计具有突变特征，即多态性和变质，这导致恶意软件样本的变体数量大幅增长。基于恶意软件行为的恶意软件样本分类对于计算机安全社区至关重要，因为他们每天都会收到大量的恶意软件，并且签名提取过程通常基于表征恶意软件家族的恶意部分。微软在2015年发布了一个恶意软件分类挑战，其中包含近0.5 TB的数据，包含超过20K的恶意软件样本。对该数据集的分析启发了一种新范式的开发，该范式可有效地将恶意软件变体分类到其实际的家族组中。本论文提出并讨论了这种模式，重点是与提取相关的阶段，并选择了一组新的功能，用于恶意软件样本的有效表示。特征可以根据恶意软件行为的不同特征进行分组，并且根据每类加权范例执行它们的融合。所提出的方法实现了非常高的准确性（$\approx$ 0.998）的Microsoft恶意软件挑战数据集。
2016-03-10 cs.AI cs.CR
Malware Squid: A Novel IoT Malware Traffic Analysis Framework using Convolutional Neural Network and Binary Visualisation
近年来，物联网设备迅速增长和普及，越来越多的普通设备获得了网络能力，并成为不断增长的物联网网络的一部分。随着这种指数级增长和资源的限制，由于恶意软件的发展速度超过了防御机制的处理速度，因此越来越难以防范恶意软件等安全威胁。传统的安全系统无法检测未知的恶意软件，因为它们使用基于签名的方法。在本文中，我们的目标是通过引入一种新的物联网恶意软件流量分析方法，使用神经网络和二进制可视化来解决这个问题。所提出的方法的主要动机是更快地检测和分类新的恶意软件（零日恶意软件）。实验结果表明，该方法能够满足实际应用的精度要求。
2021-09-08 cs.AI cs.CR
On deceiving malware classification with section injection
Federal University of Bahia（巴伊亚联邦大学）；University of South Florida（南佛罗里达大学）
我们研究如何修改可执行文件来欺骗恶意软件分类系统。这项工作的主要贡献是一种方法，在恶意软件文件中随机注入字节，并将其用作攻击以降低分类准确性，同时也用作防御方法，增加可用于训练的数据。它尊重操作系统文件格式，以确保恶意软件在我们注入后仍将执行，并且不会改变其行为。我们复制了五种最先进的恶意软件分类方法来评估我们的注入方案：一种基于GIST+KNN，三种CNN变体和一种门控CNN。我们在一个公共数据集上进行了实验，该数据集包含来自25个不同家族的9，339个恶意软件样本。我们的研究结果表明，恶意软件大小仅增加7%，就会导致恶意软件家族分类的准确性下降25%至40%。他们表明，自动恶意软件分类系统可能不像文献中最初报道的那样值得信赖。我们还评估了使用修改后的恶意软件和原始恶意软件来增加网络对上述攻击的鲁棒性。结果表明，重新排序恶意软件部分和注入随机数据的组合可以提高分类的整体性能。代码可在https://github.com/adeilsonsilva/malware-injection获得。
2022-08-12 cs.CR cs.LG
Binary Black-box Evasion Attacks Against Deep Learning-based Static Malware Detectors with Adversarial Byte-Level Language Model
The University of Arizona（亚利桑那大学）；Covax Data Inc.（Covax Data公司）
反恶意软件引擎是防御恶意软件的第一道防线。虽然被广泛使用，但基于功能工程的反恶意软件引擎容易受到看不见的（零日）攻击。最近，基于深度学习的静态反恶意软件检测器在识别看不见的攻击方面取得了成功，而无需特征工程和动态分析。然而，这些检测器容易受到具有轻微扰动的恶意软件变体的影响，称为对抗性示例。生成有效的对抗性示例有助于揭示此类系统的脆弱性。用于发起这种攻击的当前方法需要访问目标反恶意软件模型的规范、反恶意软件响应的置信度分数或动态恶意软件分析，这要么是不现实的要么是昂贵的。我们提出了MalRNN，这是一种基于深度学习的新方法，可以自动生成规避恶意软件变体，而无需任何这些限制。我们的方法具有对抗性示例生成过程，该过程通过生成序列到序列递归神经网络来学习语言模型以增强恶意软件二进制文件。MalRNN有效地避开了三种最近基于深度学习的恶意软件检测器，并优于当前的基准方法。讨论了将我们的MalRNN应用于具有八个恶意软件类别的真实数据集的结果。
2020-12-14 cs.CR cs.LG
Integration of Static and Dynamic Analysis for Malware Family Classification with Composite Neural Network
Institute of Information Science, Academia Sinica（中央研究院资讯科学研究所）
深度学习已经被用于恶意软件分析的研究中。大多数分类方法使用静态分析特征或动态分析特征来进行恶意软件家族分类，并且很少将它们组合为分类特征，并且也没有花费额外的努力来集成这两种类型的特征。在本文中，我们将静态和动态分析特征与深度神经网络相结合，用于Windows恶意软件分类。我们开发了几种方法来生成静态和动态分析功能，以不同的方式分类恶意软件。鉴于这些功能，我们进行实验与复合神经网络，表明所提出的方法执行最好的准确率为83.17%，共80个恶意软件家族4519恶意软件样本。此外，我们表明，使用集成功能的恶意软件家族分类优于单独使用静态功能或动态功能。我们展示了静态和动态特征如何相互补充，以进行恶意软件分类。
2019-12-24 cs.CR cs.LG
Domainator: Detecting and Identifying DNS-Tunneling Malware Using Metadata Sequences
Worms University of Applied Sciences（沃尔姆斯应用科技大学）；Ulm University（乌尔姆大学）
针对现有DNS隧道恶意软件检测的不足，提出Domainator方法，基于元数据序列模式分析，不依赖易篡改特征即可检测识别恶意软件、推断其行为，经7类样本验证有效并完成同类方法对比。
2025-05-28 cs.CR cs.NI
Classifying Malware Images with Convolutional Neural Network Models
University of Colorado Colorado Springs（科罗拉多斯普林斯分校科罗拉多大学）
由于来自恶意软件（malware）的威胁在数量和复杂性上都在增加，研究人员已经开发出自动检测和分类恶意软件的方法，而不是耗时费力地手动分析恶意软件文件的方法。与此同时，恶意软件作者已经开发了一些技术来规避防病毒公司使用的基于签名的检测技术。最近，深度学习被用于恶意软件分类来解决这个问题。在本文中，我们使用几个卷积神经网络（CNN）模型的静态恶意软件分类。特别是，我们使用了六个深度学习模型，其中三个是ImageNet大规模视觉识别挑战赛的获奖者。其他三种模型是CNN-SVM，GRU-SVM和MLP-SVM，它们用支持向量机（SVM）增强神经模型。我们使用Malimg数据集进行实验，该数据集具有从可移植可执行恶意软件二进制文件转换的恶意软件图像。该数据集分为25个恶意软件家族。比较显示，Inception V3模型的测试准确率达到99.24%，优于目前最先进的系统M-CNN模型所达到的98.52%的准确率。
2020-10-30 cs.CR cs.CV
TUANDROMD-X: Advanced Entropy and Visual Analytics Dataset for Enhanced Malware Detection and Classification
Department of Computer Science and Engineering, Tezpur University（计算机科学与工程系，泰浦大学）；Computer Science, College of Engineering and Applied Science, University of Colorado（计算机科学，工程与应用科学学院，科罗拉多大学）
本文提出TUANDROMD-X数据集，通过熵和可视化特征区分恶意软件与良性软件，提升恶意软件检测效率。
2026-05-07 cs.CR cs.LG
Task-Aware Meta Learning-based Siamese Neural Network for Classifying Obfuscated Malware
Massey University（梅西大学）；Cyberstronomy Pty Ltd（Cyberstronomy私人有限公司）；CSIRO Data61（澳大利亚联邦科学与工业研究组织Data61研究所）
针对混淆恶意软件导致现有孪生神经网络检测误报率高的问题，提出融合图像与平均熵特征、结合预训练网络特征的任务感知小样本孪生神经网络，在N-way N-shot测试中分类准确率超91%，优于同类方法。
2023-06-15 cs.AI cs.CR
Malware Classification Using Long Short-Term Memory Models
基于签名和异常的技术是恶意软件检测的典型方法。然而，这些技术已经变得越来越无效，因为恶意软件已经变得越来越复杂和复杂。因此，研究人员转向深度学习来构建性能更好的模型。在本文中，我们创建了四种不同的基于长短期记忆（LSTM）的模型，并对每个模型进行训练，以对来自20个家族的恶意软件样本进行分类。我们的功能包括从恶意软件可执行文件中提取的操作码。我们采用自然语言处理（NLP）中使用的技术，包括词嵌入和双向LSTM（biLSTM），我们还使用卷积神经网络（CNN）。我们发现，由词嵌入，biLSTM和CNN层组成的模型在我们的恶意软件分类实验中表现最好。
2021-03-03 cs.CR cs.LG
Malware Detection using Artificial Bee Colony Algorithm
University of Georgia（佐治亚大学）；Florida International University（佛罗里达国际大学）
由于恶意软件家族数量的增加，恶意软件检测已经成为一项具有挑战性的任务。需要能够检测所有恶意软件家族的通用恶意软件检测算法，以使整个过程可行。然而，一个算法越是通用，它需要处理的特征维数就越多，这不可避免地导致了新出现的Curse of Exclusionality（CoD）问题。此外，由于恶意软件分析的实时行为，也很难使该解决方案工作。在本文中，我们解决这个问题，并旨在提出一个基于特征选择的恶意软件检测算法，使用进化算法，被称为人工蜂群（ABC）。该算法使研究人员能够降低特征维数，从而提高恶意软件检测的过程。实验结果表明，该方法优于国家的最先进的。
2020-12-01 cs.AI cs.CR
CNS-Net: Conservative Novelty Synthesizing Network for Malware Recognition in an Open-set Scenario
The Hong Kong Polytechnic University（香港理工大学）；Shanghai Jiao Tong University（上海交通大学）；Jinan University（暨南大学）；University of Electronic Science and Technology of China（电子科技大学）
针对开放集场景下恶意软件识别的挑战，提出保守合成未知家族样本的CNS-Net模型以提升分类鲁棒性，同时构建大规模基准数据集MAL-100，实验验证其效果优于现有代表性方法。
2023-05-02 cs.CR cs.LG
Analysis of Bayesian Classification based Approaches for Android Malware Detection
移动恶意软件的规模和复杂性一直在增长，这是由全球智能手机的持续增长所推动的。Android正在迅速成为最受欢迎的移动平台，导致针对该平台的恶意软件急剧增加。此外，Android恶意软件正在迅速发展，以逃避传统的基于签名的扫描检测。尽管目前的检测措施到位，及时发现新的恶意软件仍然是一个关键问题。这就需要新的方法来缓解零日Android恶意软件日益增长的威胁。因此，在本文中，我们开发和分析基于贝叶斯分类的主动机器学习方法，旨在通过静态分析发现未知的Android恶意软件。该研究基于大多数现有系列的大型恶意软件样本集，展示了高准确性的检测能力。实证结果和比较分析提供了有用的洞察力，有效的静态分析贝叶斯分类为基础的解决方案，用于检测未知的Android恶意软件的发展。
2016-08-20 cs.CR cs.LG
Detection of Advanced Malware by Machine Learning Techniques
National Institute of Technical Teachers Training and Research（国家技术教师培训与研究所）；BITS（比尔拉科学技术学院）
在当今的数字世界中，大多数反恶意软件工具都是基于签名的，这对于检测高级未知恶意软件即变形恶意软件是无效的。在本文中，我们研究的频率的操作码出现，以检测未知的恶意软件，通过使用机器学习技术。为此，我们使用了Kaggle Microsoft恶意软件分类挑战数据集。比较了Fisher评分、信息增益、增益比、卡方和对称不确定性特征选择方法得到的前20个特征。我们还研究了基于WEKA GUI的机器学习工具中的多个分类器，发现其中五个（随机森林，LMT，NBT，J48 Graft和REPTree）检测恶意软件的准确率几乎为100%。
2019-03-07 cs.CR cs.LG
From Malware Samples to Fractal Images: A New Paradigm for Classification. (Version 2.0, Previous version paper name: Have you ever seen malware?)
Institute for Problems in Mechanical Engineering RAS（俄罗斯科学院机械工程问题研究所）
本文提出基于恶意软件动态行为分析生成分形图像的新可视化范式，并利用 ESET 千万级样本库验证其用于区分恶意软件、PUA 与良性软件的潜力。
2023-06-01 cs.CR cs.CV
Online Clustering of Known and Emerging Malware Families
Faculty of Information Technology, Czech Technical University in Prague（布拉格捷克技术大学信息技术学院）；San Jose State University（圣何塞州立大学）
本文提出一种基于机器学习的在线聚类模型，利用加权 k 近邻和在线 k 均值对恶意软件流式样本进行已知家族分类与新兴家族聚类，在 Windows PE 静态分析上实现 90.20% 至 93.34% 的簇纯度，以加速恶意软件分析。
2024-05-06 cs.CR cs.LG
Adaptive and Scalable Android Malware Detection through Online Learning
Nanyang Technological University（南洋理工大学）
众所周知，恶意软件不断进化以逃避检测，这导致整个恶意软件群体是不稳定的。与此事实相反，基于机器学习的Android恶意软件检测的现有工作已经假设所观察到的恶意软件特征（即，特征）不随时间改变。在这项工作中，我们解决了恶意软件人口漂移的问题，并提出了一种新的在线机器学习为基础的框架，命名为DroidOL来处理它，并有效地检测恶意软件。为了执行准确的检测，安全敏感行为是使用最先进的图形内核以过程间控制流子图特征的形式从应用程序中捕获的。为了执行可扩展的检测，并适应在恶意软件种群的漂移和演变，一个在线的被动攻击分类器。在对87，000多个应用程序的大规模比较分析中，DroidOL实现了84.29%的准确率，在典型的批处理学习设置中比两种最先进的恶意软件技术高出20%以上，在持续重新训练时高出3%以上。我们的实验结果强烈表明，在线学习为基础的方法是非常适合现实世界的恶意软件检测。
2016-09-26 cs.CR cs.LG
