A Hybrid Approach For Malware Classification Using Secondary Features Fusion
Mid Sweden University（中瑞典大学）；Arbisoft (Pvt.) Ltd.（Arbisoft私人有限公司）；Chalmers University of Technology（查尔姆斯理工大学）
提出一种通过融合API调用和n-gram特征，并采用投票集成算法进行恶意软件检测与家族分类的方法，在Microsoft数据集上达到99.72%准确率和0.989 AUC。
2026-06-02 cs.AI cs.CR cs.LG
Assessing the Impact of Packing on Machine Learning-Based Malware Detection and Classification Systems
CeADAR, University College Dublin（CeADAR，都柏林大学学院）；University of Piraeus（比雷埃克斯大学）；Athena Research Center（雅典研究所）；IBM Research Europe（IBM欧洲研究院）
本研究评估加壳对基于静态机器学习的恶意软件检测与分类系统的影响，重点分析可视化技术，揭示其局限性并强调主动防御的必要性。
2024-10-31 cs.AI cs.CR
Understanding the efficacy, reliability and resiliency of computer vision techniques for malware detection and future research directions
Intel Labs（英特尔研究院）
我的研究领域是安全和机器学习的交叉点。本概述总结了我的研究的一个组成部分：将计算机视觉与恶意软件利用检测相结合，以增强安全解决方案。我将提出有效性、可靠性和弹性的观点，将威胁检测制定为计算机视觉问题，并开发最先进的基于图像的恶意软件分类。将恶意软件二进制表示为图像提供了数据样本的直接可视化，减少了特征提取的工作量，并且消耗了整个二进制用于整体结构分析。将对大规模图像分类有效的深度神经网络的迁移学习应用于恶意软件分类，与经典的机器学习算法相比，展示了优越的分类效率。为了增强这些基于视觉的恶意软件检测器的可靠性，可以在恶意软件视觉表示上构建解释框架，并且该解释框架对于提取忠实的解释是有用的，使得安全从业者在部署之前对模型有信心。在网络安全应用程序中，我们应该始终假设恶意软件编写者不断修改代码以绕过检测。解决恶意软件检测器的弹性与功效和可靠性同等重要。通过了解用于恶意软件检测的机器学习模型的攻击面，我们可以大大提高算法的鲁棒性，以打击野生恶意软件对手。最后，我将讨论未来的研究方向值得追求在这个研究社区。
2019-04-03 cs.CR cs.CV cs.LG
An investigation of a deep learning based malware detection system
Birla Institute of Technology and Science（贝拉理工学院）
我们研究了一个基于深度学习的恶意软件检测系统。在调查中，我们对深度学习架构的不同组合进行了实验，包括自动编码器，以及在Malicia恶意软件数据集上具有不同层的深度神经网络，早期的研究已经获得了98%的准确性和可接受的误报率（1.07%）。但是这些结果是使用大量的人工定制领域特征并投入相应的特征工程和设计工作来完成的。在我们提出的方法中，除了提高以前的最佳结果（99.21%的准确率和0.19%的误报率）外，还表明基于深度学习的系统可以有效地防御恶意软件。由于它善于从数据中自动提取更高概念的特征，因此基于深度学习的系统可以为检测现有和未知的恶意软件提供有效，通用和可扩展的机制。
2018-09-16 cs.AI cs.CR cs.LG
Echelon: Two-Tier Malware Detection for Raw Executables to Reduce False Alarms
Simon Fraser University（西蒙弗雷泽大学）
现有的恶意软件检测方法由于单层分类方法而遭受假阳性率（FPR）和真阳性率（TPR）之间的简单化权衡，其中这两种测量彼此不利地影响。恶意软件检测的实际含义是FPR必须保持在可接受的低水平，而TPR保持在高水平。为此，我们提出了一个两层的学习，称为“梯队”，从原始字节数据，不需要手工制作的功能。第一层将FPR锁定在指定的目标水平，而第二层在保持锁定的FPR的同时提高TPR。Echelon算法的核心在于提取第一层模型中隐藏层的激活信息，以构建更强的第二层模型。Echelon是一个框架，因为它允许任何现有的基于CNN的模型在两个层中进行调整。我们目前的实验结果评估Echelon适应国家的最先进的恶意软件检测模型"Malconv”在第一和第二层。
2021-01-04 cs.CR cs.LG
A multi-task learning model for malware classification with useful file access pattern from API call sequence
The University of Hong Kong（香港大学）
基于API调用序列，可以构建基于语义感知和机器学习（ML）的恶意软件分类器以用于恶意软件检测或分类。以前的工作集中于通过静态或动态分析从恶意软件二进制文件、反汇编二进制文件或API调用中制作和提取各种特征，并诉诸ML来构建分类器。然而，它们往往涉及太多的特征工程，无法提供可解释性。我们通过深度学习的最新进展解决了这两个问题：1）基于RNN的自动编码器（RNN-AE）可以从原始API调用序列中自动学习恶意软件的低维表示。2)多个解码器可以在不同的监督下进行训练，以提供更多的信息，而不是恶意软件的类别或家族标签。受文档分类和自动句子摘要工作的启发，每个API调用序列都可以被视为一个句子。在本文中，我们首次尝试建立一个基于API调用序列的多任务恶意软件学习模型。该模型由两个解码器组成，一个用于恶意软件分类，另一个用于给定恶意软件的API调用序列的$\emph{file access pattern}$（FAP）生成。我们的模型基于一般的seq 2seq框架。实验表明，我们的模型可以提供有竞争力的分类结果，以及有见地的FAP信息。
2016-10-19 cs.CR cs.LG cs.SD
EMBER: An Open Dataset for Training Static PE Malware Machine Learning Models
本文介绍了EMBER：用于训练机器学习模型以静态检测恶意Windows可移植可执行文件的标记基准数据集。该数据集包含从110万个二进制文件中提取的特征：90万个训练样本（30万个恶意，30万个良性，30万个未标记）和20万个测试样本（10万个恶意，10万个良性）。为了配合数据集，我们还发布了用于从其他二进制文件中提取特征的开源代码，以便可以将其他示例特征附加到数据集。这个数据集填补了信息安全机器学习社区的一个空白：一个良性/恶意的数据集，它足够大、开放和通用，可以覆盖几个有趣的用例。我们列举了我们在构建数据集时考虑的几个用例。此外，我们还演示了一个用例，其中我们将使用LightGBM训练的基线梯度提升决策树模型与MalConv进行了比较，MalConv是最近发布的用于恶意软件检测的端到端（无特征）深度学习模型。结果表明，即使没有超参数优化，基线EMBER模型优于MalConv。作者希望EMBER提供的数据集、代码和基线模型将有助于推动恶意软件检测的机器学习研究，就像基准数据集推动计算机视觉研究一样。
2018-04-16 cs.CR
Android Malware Detection Based on RGB Images and Multi-feature Fusion
Beijing Electronic Science and Technology Institute（北京电子科技学院）
本文提出一种基于RGB图像和多特征融合的Android恶意软件端到端检测方法，通过提取DEX、AndroidManifest.xml和API调用并组合为RGB图像，准确率达97.25%，优于现有方法。
2024-08-29 cs.CR cs.LG
A Natural Language Processing Approach to Malware Classification
San Jose State University（圣何塞州立大学）；Czech Technical University in Prague（布拉格捷克技术大学）
本研究提出一种结合隐马尔可夫模型与分类器的混合恶意软件分类方法，将HMM隐状态作为NLP风格特征，在恶意软件数据集上优于现有主流技术，其中HMM-随机森林效果最佳。
2023-07-07 cs.CR cs.LG
Survey of Malware Analysis through Control Flow Graph using Machine Learning
Mississippi State University（密西西比州立大学）
本综述系统梳理了基于控制流图与机器学习进行恶意软件检测的方法，涵盖特征提取、表示与分类技术，并分析了挑战与未来方向。
2023-06-20 cs.CR cs.LG
Wavelet decomposition of software entropy reveals symptoms of malicious code
复杂的恶意软件作者可以将隐藏的恶意代码潜入可移植的可执行文件中，并且这些代码很难被检测到，特别是如果加密或压缩。然而，当可执行文件在代码体系（例如，原生、加密、压缩、文本和填充）之间切换时，在文件的表示中存在作为熵信号的对应移位。在本文中，我们开发了一种方法，用于自动量化文件熵信号中的模式化变化使其“可疑”的程度。“在实验1中，我们使用小波变换来定义可疑结构熵变化分数（SSECS），这是一种标量特征，它根据文件在多个空间分辨率水平上的熵能分布来量化文件的可疑性。基于这一单一特征，可以将恶意软件检测任务的预测准确率从50.0%提高到68.7%，即使该单一特征被应用于“在野外”发现的恶意软件的异构语料库。在实验2中，我们描述了如何将基于小波的软件熵分解应用于涉及大量样本和特征的寄生恶意软件检测任务。通过从软件样本中提取字符串和熵特征（小波分解），我们能够获得几乎99%的寄生恶意软件检测，而好文件的误报率低于1%。此外，基于小波的特征的添加均匀地提高了跨合理假阳性率的检测性能，无论是在仅字符串模型（例如，从80.90%到82.97%）和弦加熵模型（例如从92.10%到94.74%，以及从98.63%到98.90%）。总的来说，软件熵的小波分解可以用于机器学习模型，用于基于从可执行文件中提取数百万个特征来检测恶意软件。
2018-02-02 cs.CR stat.AP
Dynamic Malware Classification of Windows PE Files using CNNs and Greyscale Images Derived from Runtime API Call Argument Conversion
NIT Rourkela（鲁尔克拉国家理工学院）
本文提出一种动态恶意软件分类框架，通过提取Windows PE文件运行时的API调用参数并转换为时间模式，再利用magma色图生成灰度图像训练CNN模型，实现98.36%的平均准确率并对典型逃避策略具有显著韧性。
2025-05-30 cs.AI cs.CR cs.LG
Open Image Content Disarm And Reconstruction
Ariel University（阿里埃勒大学）
本文提出一种新颖的图像内容解除与重建（ICDR）系统，采用零信任方法，通过提取图像数据、分离文件并处理图像像素，在保持高图像质量的同时禁用或移除隐藏在图像文件中的恶意软件。
2023-07-26 cs.AI cs.CR
RawMal-TF: Raw Malware Dataset Labeled by Type and Family
本研究开发了名为RawMal-TF的新型恶意软件数据集，提供类型和家族双重标签，并基于静态分析提取特征，通过评估多项分类任务验证了其在有限数据条件下的高准确性与细粒度分析能力。
2025-06-30 cs.CR cs.LG
Name2Pkg: Lightweight One-Class Android Malware Screening via Name-Package Correspondence Modeling
School of Cybersecurity Korea University（韩国大学网络安全学院）；IT Planning Department Hana Bank（韩亚银行IT规划部）
Name2Pkg利用应用名与包名的弱对应关系，通过字符级序列模型进行单类异常检测，实现轻量级恶意软件筛查，ROC-AUC达0.982，为大规模系统提供高效预过滤信号。
2026-09-22 cs.CR
Malware Detection Module using Machine Learning Algorithms to Assist in Centralized Security in Enterprise Networks
Sardar Patel Institute of Technology（萨达尔·帕特尔技术学院）；University of Mumbai（孟买大学）
恶意软件在无数计算机用户的世界中非常丰富，他们不断面临来自互联网，本地网络和便携式驱动器等各种来源的威胁。恶意软件的风险可能从低到高，可能导致系统功能不正常，窃取数据甚至崩溃。恶意软件可以是病毒、蠕虫、木马形式的可执行文件或系统库文件，所有这些都旨在破坏系统的安全性并损害用户隐私。通常，防病毒软件基于签名定义系统，该系统从互联网上不断更新，从而跟踪已知的病毒。虽然这对于家庭用户可能足够了，但是来自新病毒的安全风险可能威胁整个企业网。本文提出了一种新的，更复杂的防病毒引擎，不仅可以扫描文件，但也建立知识和检测文件作为潜在的病毒。这是通过提取由各种正常和有害的可执行文件进行的系统API调用，并使用机器学习算法对文件进行分类，从而根据安全风险等级对文件进行排名来完成的。虽然这样的系统处理器很重，但是当集中使用来保护可能更容易受到这种威胁的企业网时，它非常有效。
2012-02-08 cs.CR cs.LG
Op2Vec: An Opcode Embedding Technique and Dataset Design for End-to-End Detection of Android Malware
就市场份额和使用情况而言，Android是智能手机的领先操作系统之一。不幸的是，它也是攻击者通过恶意应用程序危及其安全性的一个有吸引力的目标。为了解决这个问题，领域专家和研究人员正在尝试不同的技术来阻止此类攻击。所有的Android平台安全的尝试都取得了一定的成功。然而，现有的检测技术有严重的缺点，包括繁琐的过程中的特征工程。设计代表性特征需要专业领域知识。需要通过规避手工特征工程来最小化人类专家的干预。深度学习可以通过自动提取深度特征来利用。先前的工作已经表明，可执行文件的操作代码（opcode）提供了与用于恶意应用程序的检测过程的深度学习模型一起使用的关键信息。唯一的挑战是将操作码信息提供给深度学习模型。现有的技术使用独热编码来应对挑战。然而，独热编码方案具有严重的局限性。在本文中，我们介绍;（1）一种新的操作码嵌入技术，我们将其命名为Op2Vec，（2）基于学习的Op2Vec，我们开发了一个用于端到端检测Android恶意软件的数据集。引入端到端Android恶意软件检测技术，避免了专家密集型手工特征提取，并确保自动化。最近的一些基于深度学习的技术在使用所提出的方法进行测试时显示出显着改善的结果，并实现了97.47%的平均检测准确率，0.976的精度和0.979的F1得分。
2022-03-01 cs.CR
Assessing Cyclostationary Malware Detection via Feature Selection and Classification
University of Pretoria（比勒陀利亚大学）
本研究通过 Boruta 和 PCA 提取循环平稳特征，结合 RF 和 SVM 算法评估恶意软件检测，发现 PCA 更优，UGRansome 数据集检测准确率达 98%-99%。
2023-08-29 cs.CR cs.LG
Living off the Analyst: Harvesting Features from Yara Rules for Malware Detection
University of Maryland, Baltimore County（马里兰大学巴尔的摩分校）；Booz Allen Hamilton（博思艾伦汉密尔顿公司）；Laboratory of Physical Sciences（物理科学实验室）
本研究探讨反病毒开发者能否像攻击者“活在陆地上”那样复用现有工作，通过从公开YARA规则提取子签名构建特征，在EMBER 2018数据集上表现优于传统特征，还发现双重用途或通用子签名及特征组合的幂律行为。
2024-11-27 cs.CR cs.LG
PotentRegion4MalDetect: Advanced Features from Potential Malicious Regions for Malware Detection
针对恶意代码注入良性二进制的混淆攻击，提出PotentRegion4MalDetect模型，从潜在恶意区域提取高级特征，提高检测精度并降低误报率，实验显示准确率超99%。
2025-07-09 cs.CR
Don't Trust Us: A privacy-by-design android malware detection pipeline
University of Cagliari（卡利亚里大学）；Consorzio Interuniversitario Nazionale per l’Informatica (CINI)（意大利国家大学信息联合体）
提出一种隐私设计安卓恶意软件检测流水线，通过静态分析结合双拒绝阈值规则，仅对不确定样本进行沙箱动态分析，避免收集敏感数据，在2024-2025年数据集上F1达0.87，仅6.7%样本需二次分析。
2026-06-02 cs.CR
Cloak and Detonate: Scanner Evasion and Dynamic Detection of Agent Skill Malware
Hong Kong University of Science and Technology（香港科技大学）；Guangzhou HKUST Fok Ying Tung Research Institute, China（广州HKUST福耀高等研究院）
针对LLM编码代理技能市场中的恶意技能，提出两种规避静态扫描的方法（结构混淆和自提取技能打包），并设计基于沙箱运行时行为审计的检测系统SkillDetonate，实现97%检测率与2%误报率。
2026-07-03 cs.CR cs.SE
Learning Joint Embeddings of Function and Process Call Graphs for Malware Detection
University of Wisconsin-Madison（威斯康星大学麦迪逊分校）；Virginia Tech（弗吉尼亚理工学院）
本文提出 GeminiNet，一种通过学习函数调用图（FCGs）和进程调用图（PCGs）联合嵌入的统一神经网络方法，利用双图卷积分支和自适应门控机制融合静态与动态视图，在 635 个样本数据集上证明联合嵌入优于单图模型的恶意软件检测。
2025-10-11 cs.CR cs.LG
Multi-features based Semantic Augmentation Networks for Named Entity Recognition in Threat Intelligence
University of Chinese Academy of Sciences（中国科学院大学）；Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）
从非结构化网络文本中提取攻击者和漏洞等网络安全实体是安全分析的重要组成部分。然而，由于网络安全实体名称的高频变化和随机性导致情报数据的稀疏性，使得现有方法难以很好地提取安全相关概念和实体。为此，我们提出了一种语义增强方法，该方法结合了不同的语言特征来丰富输入令牌的表示，以检测和分类非结构化文本上的网络安全名称。特别是，我们编码和聚合的组成特征，形态特征和部分语音特征为每个输入令牌，以提高该方法的鲁棒性。更重要的是，令牌从网络安全领域语料库中最相似的K个词中获得增强的语义信息，其中注意模块被用来衡量词的差异，以及基于大规模一般领域语料库的上下文线索。在网络安全数据集DNRTI和MalwareTextDB上进行了实验，结果表明了该方法的有效性。
2022-07-01 cs.CL cs.CR cs.IR
Detection of Information leakage in cloud
最近的研究表明，共享单个物理主机的不同VM中的串通恶意软件可能会使用资源作为泄漏关键信息的通道。隐蔽通道利用时间或存储特性将机密信息传递给攻击者，不留任何痕迹。这些通道不用于通信，因此不存在控制机制。这意味着网络中防火墙等采用的传统安全措施仍然无法检测到这些漏洞。针对这一问题的全面调查强调，在云中进行快速检测的准确方法在存储和处理方面非常昂贵。该框架通过提取特征来构建签名，这些特征可以准确地将云计算中的常规流量与隐蔽流量进行分类，并通过分数来估计分析数据的分布差异。然后，它将上下文添加到签名中，最后使用机器学习（支持向量机），构建并训练模型以在云中部署。结果表明，该框架具有较高的准确性，同时具有较低的成本和鲁棒性，因为它是在添加了公共云环境中可能存在的噪声后进行测试的。
2015-11-06 cs.CR cs.DC
Ransomware Detection and Classification using Machine Learning
Wilfrid Laurier University（威尔弗里德·劳雷尔大学）；North Carolina A&T State University（北卡罗来纳农工州立大学）
本文利用 XGBoost 和随机森林算法分析勒索软件行为并提取特征，实现高准确率的勒索软件检测与分类，为增强网络安全提供有效工具。
2023-11-05 cs.AI cs.CR cs.CV
