Automated Behavioral Analysis of Malware A Case Study of WannaCry Ransomware
勒索软件是一种自我传播的恶意软件，它使用加密来保持受害者的数据赎金，近年来已成为最危险的网络威胁之一，具有广泛的破坏;例如，零日勒索软件WannaCry已经造成了全球性的灾难，从敲英国国民健康服务医院离线关闭本田汽车公司在日本[1]。我们与大型企业安全运营部门的密切合作表明，针对勒索软件的防御依赖于对前几次感染的大量系统日志进行繁琐的分析。对新捕获的恶意软件进行沙盒分析在操作中也很常见。我们介绍了一种方法来识别和排名最有区别的勒索软件功能，从一组环境（非攻击）系统日志和至少一个日志流包含环境和勒索软件的行为。这些排名的功能揭示了一组从系统日志中自动生成的恶意软件操作，并可以帮助自动化繁琐的手动分析。我们使用WannaCry和两个多态样本测试我们的方法，通过在环境和环境加上勒索软件执行期间使用Cuckoo Sandbox生成日志。我们的目标是在只知道恶意软件存在的情况下，从日志中提取恶意软件的特征。我们将输出与WannaCry的详细分析进行了比较，从而验证了算法的特征提取，并分析了该方法对输入数据\textemdash变化的鲁棒性，改变了环境数据的质量/数量，并测试了多态勒索软件。最值得注意的是，当从多态WannaCry副本生成时，我们的模式是准确和坚定不移的，其中63个（63个测试）反病毒（AV）产品失败。
2017-09-25 cs.CR
MASCOT-Android: A Curated Dataset and Automated Collection Pipeline for Android Malware Source Code Specimens
University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
提出MASCOT-Android数据集和自动收集框架，利用仓库级文档（README）训练LinearSVC分类器，以96.28%准确率和1.06%假阳性率从GitHub发现恶意软件源代码。
2026-06-17 cs.AI cs.CR
Automated Malware Family Classification using Weighted Hierarchical Ensembles of Large Language Models
Canadian Institute for Cybersecurity, Faculty of Computer Science, University of New Brunswick（加拿大网络安全研究所，新不伦瑞克大学计算机科学学院）
本文提出基于预训练大语言模型加权层次集成的零标签恶意软件家族分类框架，通过聚合多个互补推理能力的语言模型决策预测，提升分类鲁棒性和分析员推理一致性。
2026-04-02 cs.AI cs.CR
Towards an Automated Pipeline for Detecting and Classifying Malware through Machine Learning
Università degli Studi di Torino（都灵大学）；aizoOn Technology Consulting（aizoOn技术咨询公司）
恶意软件-对计算机和信息网络可能有害的软件或代码片段-数量的不断增长以及复杂的规避和混淆技术的使用严重阻碍了传统的基于签名的方法。另一方面，基于机器学习技术的恶意软件检测系统开始为标准方法提供有前途的替代方案，大大减少了分析时间，并对规避和混淆技术更加强大。在本文中，我们提出了一个恶意软件分类分类管道能够分类Windows便携式可执行文件（PE）。给定一个输入PE样本，它首先被分类为恶意或良性。如果是恶意的，管道会进一步分析它，以确定其威胁类型、家族和行为。我们在开源数据集EMBER上测试了所提出的管道，该数据集包含大约100万个PE样本，通过静态分析进行分析。所获得的恶意软件检测结果与当前最先进的其他学术著作相当，此外，我们还提供了对恶意样本的深入分类。管道中使用的模型提供了可解释的结果，可以帮助安全分析师更好地理解自动化管道所做的决策。
2021-06-10 cs.CR cs.LG
Towards interpreting ML-based automated malware detection models: a survey
Beijing Key Laboratory of Security and Privacy in Intelligent Transportation, Beijing Jiaotong University（北京交通大学智能交通信息安全与隐私保护北京市重点实验室）
恶意软件的威胁越来越大，基于传统签名分析的恶意软件检测器不再适合当前的恶意软件检测。近年来，基于机器学习（ML）的模型被开发用于预测未知的恶意软件变体并节省人力。然而，大多数现有的ML模型是黑箱的，这使得它们的预测结果不可靠，因此需要进一步解释才能有效地部署在野外。本文旨在检查和分类现有的研究基于ML的恶意软件检测器的可解释性。本文首先介绍了通用机器学习可解释性的原则、属性、评价指标和分类，并对已有的通用机器学习模型可解释性进行了分组比较。然后，我们研究了对恶意软件检测的解释方法，通过解决解释恶意软件检测器的重要性，这一领域所面临的挑战，解决这些挑战的解决方案，以及近年来对所有最先进的恶意软件检测可解释性工作进行分类的新分类法。我们的调查的重点是提供一个新的分类对恶意软件检测解释方法的基础上，共同的分类总结了以前的研究领域。此外，我们是第一个通过解释方法属性来评估最先进的方法，以生成最终得分，从而为量化可解释性提供洞察力。通过总结近年来的研究成果，希望本文的工作能为对基于ML的恶意软件检测模型的可解释性感兴趣的研究者提供建议。
2021-01-15 cs.CR cs.LG
IMCDCF: An Incremental Malware Detection Approach Using Hidden Markov Models
本文提出增量式恶意软件检测与分类框架IMDCF，利用隐马尔可夫模型在动态分析环境中实现通用恶意软件检测，准确率达96.49%，架构简单。
2023-08-09 cs.CR
DynaLog: An automated dynamic analysis framework for characterizing Android applications
Android正在变得无处不在，目前拥有移动操作系统市场的最大份额，从官方应用程序市场下载数十亿应用程序。它也已成为移动恶意软件最有针对性的平台，这些恶意软件变得越来越复杂，以逃避最先进的检测方法。许多Android恶意软件家族采用混淆技术来避免检测，这可能会击败基于静态分析的方法。另一方面，可以使用动态分析来克服这种限制。因此，在本文中，我们提出了DynaLog，一个动态分析为基础的框架，用于表征Android应用程序。该框架提供了基于大量动态特征分析应用程序行为的能力。它提供了一个自动化平台，用于对应用程序进行大规模分析和表征，这对于快速识别和隔离恶意应用程序非常有用。DynaLog框架利用现有的开源工具来提取和记录可用于探索应用程序特征的高级行为、API调用和关键事件，从而为检测Android恶意软件提供可扩展的动态分析平台。DynaLog使用真实的恶意软件样本和干净的应用程序进行评估，证明其有效分析和检测恶意应用程序的能力。
2016-07-27 cs.CR
LLMalMorph: On The Feasibility of Generating Variant Malware using Large-Language-Models
本文提出 LLMalMorph 半自动化框架，通过函数级信息提取、定制提示和代码转换引导 LLM 生成恶意软件变体，并证明其可显著规避杀毒引擎和 ML 检测器。
2025-10-04 cs.CR
Honeypot-powered Malware Reverse Engineering
针对现有蜜罐无法专业分析恶意软件自动化攻击行为的问题，本文提出为高交互蜜罐添加特定功能以增强其逆向工程能力，助力有效分析捕获的恶意实体。
2016-01-13 cs.CR
Malware Traffic Classification: Evaluation of Algorithms and an Automated Ground-truth Generation Pipeline
识别加密的网络流量中的威胁是一项独特的挑战。一方面，由于现代加密算法，简单地解密流量是极其困难的。另一方面，通过模式匹配算法传递这样的加密流是无用的，因为加密确保了没有任何模式匹配。此外，由于缺乏标记的良性和恶意软件数据集，评估此类模型也很困难。其他方法试图通过采用从流收集的可观察元数据来解决这个问题。我们试图通过使用这些可观察的元数据将其扩展到半监督恶意软件分类管道来增强这种方法。为此，我们探索和测试不同类型的聚类方法，利用独特的和不同的一组特征，从这个可观察到的元数据。我们还提出了一个自动化的数据包数据标记管道来生成真值数据，这些数据可以作为评估上述分类器的基线，或者一般来说是任何其他检测模型。
2020-11-07 cs.CR cs.LG
Packed Malware Detection Using Grayscale Binary-to-Image Representations
Canadian Institute for Cybersecurity (CIC)（加拿大网络安全研究所）；University of New Brunswick（新不伦瑞克大学）；Behaviour-Centric Cybersecurity Center (BCCC)（以行为为中心的网络安全中心）；York University（约克大学）
本研究利用灰度字节图和深度学习方法，有效检测打包恶意软件，提升恶意软件分析效率。
2025-12-17 cs.CR
Automated detection and classification of cryptographic algorithms in binary programs through machine learning
来自互联网的威胁，特别是恶意软件（即，恶意软件）经常使用加密算法来伪装其行为，甚至控制受害者的系统（如勒索软件）。恶意软件和其他威胁扩散得太快，以至于耗时的传统二进制分析方法无法发挥作用。通过自动检测和分类加密算法，我们可以加快程序分析，更有效地打击恶意软件。本论文将提出几种利用机器学习来自动发现和分类编译二进制程序中的密码算法的方法。虽然进一步的工作是必要的，以充分评估这些方法在现实世界中的二进制程序，本文的结果表明，机器学习可以成功地用于检测和识别编译代码中的密码原语。目前，这些技术成功地检测和分类的密码算法在小型单一用途的程序，并提出了进一步的工作，将它们应用到现实世界的例子。
2015-03-04 cs.CR
Memory Forensics Techniques for Automated Detection and Analysis of Go Malware
Virginia Commonwealth University（弗吉尼亚联邦大学）；Volatility Foundation（Volatility基金会）
本文提出首个针对Go二进制的内存取证框架，通过解析内部结构恢复类型和函数元数据，分析goroutine堆栈以识别运行中的函数及参数，成功恢复关键运行时 artifacts。
2026-05-13 cs.CR
From Cracks to Crooks: YouTube as a Vector for Malware Distribution
本文研究网络犯罪分子利用 YouTube 推广免费软件和游戏作弊器来分发恶意软件的方式，并提出一种滥用多语言元数据以规避自动检测的新技术，发现该方法正被越来越多地用于逃避检测和删除。
2025-07-22 cs.CR
MIMOSA: Reducing Malware Analysis Overhead with Coverings
越来越多的恶意软件样本可以逃避自动分析和检测工具。恶意软件可以测量底层分析工具或环境的指纹（“伪像”），并在检测到伪像时改变它们的行为。虽然分析工具可以减轻伪影以减少暴露，但这种隐藏是昂贵的。然而，并不是每个样本检查每种类型的伪影分析效率都可以通过仅减轻那些最有可能被样本使用的伪影来提高。利用这一洞察力，我们提出MIMOSA，一个系统，确定了一个小的“覆盖”工具配置，共同击败大多数恶意软件样本的效率提高。MIMOSA确定了一组工具配置，可最大限度地提高分析吞吐量和检测准确性，同时最大限度地减少手动工作，从而实现可扩展的自动化来分析隐形恶意软件。我们评估我们的方法对基准的1535标记隐形恶意软件样本。我们的方法在95%以上的样品上提高了分析吞吐量。我们还调查了成功分析的样本的比例和所需的计算资源之间的成本效益权衡。MIMOSA提供了一种实用的、可调的方法来有效地部署分析资源。
2021-01-18 cs.CR
WebEye - Automated Collection of Malicious HTTP Traffic
Fraunhofer Institute AISEC（弗劳恩霍夫应用安全研究所以色列分所）
随着恶意软件检测技术越来越多地采用机器学习方法，创建精确的训练集变得越来越重要。需要真实网络流量的大数据集，正确分类为良性或恶意，不仅要训练经典和深度学习算法，还要作为现有恶意软件检测产品的评估基准。有趣的是，尽管用户在浏览web时可能遇到大量和多功能的威胁，但是实际的恶意内容通常很难得到，因为必须满足诸如浏览器和操作系统类型和版本之类的先决条件，以便从恶意软件分发服务器接收有效载荷。结合对实际用户流量数据集的隐私限制，研究人员和产品开发人员很难针对实际Web流量的大规模数据集评估反恶意软件解决方案。在本文中，我们提出了WebEye，一个框架，自主创建现实的HTTP流量，丰富记录的流量与额外的信息，并分类记录为恶意或良性的，使用不同的分类。我们正在使用WebEye收集恶意HTML和JavaScript，并展示如何使用WebEye创建的数据集来训练基于机器学习的恶意软件检测算法。我们将WebEye及其创建的数据集视为研究人员和产品开发人员的工具，以针对大规模基准评估和改进其基于AI的反恶意软件解决方案。
2018-02-16 cs.CR cs.LG
Automated Malware Design for Cyber Physical Systems
网络物理系统的攻击设计对于在设计时和运行时评估CPS弹性以及从测试平台生成丰富的数据集以供研究至关重要。针对网络物理系统的攻击与IT攻击的区别在于，其主要目标是损害物理系统。因此，设计此类攻击需要网络和物理系统知识。当前生成攻击的做法要么集中在使用IT网络安全现有知识体系的系统的网络部分，要么使用黑客攻击来注入可能损害物理过程的攻击。在本文中，我们提出了一种系统的方法，可以根据CPS安全和控制规范自动生成完整性攻击，而无需了解物理系统或其动态。生成的攻击违反了系统的操作和安全要求，因此对系统的弹性提出了真正的测试。我们提出了一种算法来自动化的恶意软件有效载荷的发展。文中给出了几个例子来说明所提出的方法。
2021-07-06 cs.CR cs.SY eess.SY
Analysis of Label-Flip Poisoning Attack on Machine Learning Based Malware Detector
随着机器学习（ML）在不同领域应用的增加，欺骗这些模型的动机比以往任何时候都要多。由于数据是ML算法的核心支柱，攻击者将他们的兴趣转向污染训练数据。随着开放设计原则、联邦学习和众包等最新研究主题的兴起，数据可信度面临更高的风险。由于机器学习模型依赖于不同的利益相关者来获取数据，因此没有可靠的自动化机制来验证来自每个来源的数据的准确性。恶意软件检测是艰巨的，由于其恶意的性质，加上变形和多态性的能力，在不断发展的样本。ML已被证明可以解决零日恶意软件检测问题，这是传统的基于签名的方法无法解决的问题。恶意软件训练数据的中毒可以允许恶意软件文件不被基于ML的恶意软件检测器检测到，从而帮助攻击者实现其恶意目标。恶意软件检测领域中的数据投毒威胁的可行性分析仍然缺乏。我们的工作将集中在两个主要部分：训练基于ML的恶意软件检测器和中毒的训练数据使用标签中毒的方法。我们将分析不同机器学习模型对不同中毒数据量的数据投毒的鲁棒性。
2023-01-03 cs.CR
MalVol-25: A Diverse, Labelled and Detailed Volatile Memory Dataset for Malware Detection and Response Testing and Validation
London Metropolitan University（伦敦 Metropolitan 大学）；Cyber Security Research Centre（网络安全研究中心）；Cybersecurity Institute（网络安全研究所）；Department of Computer Science（计算机科学系）
本文提出了MalVol-25数据集，通过受控虚拟环境中的自动化恶意软件执行与动态监控，构建跨多家族和操作系统的带标签内存快照，以支持机器学习与强化学习驱动的恶意软件检测和响应研究。
2025-07-05 cs.CR cs.ET cs.LG
Large Language Model (LLM) for Software Security: Code Analysis, Malware Analysis, Reverse Engineering
Elsevier B.V.（爱思唯尔公司）；Sayahna Foundation（萨亚纳基金会）；STM Document Engineering Pvt Ltd.（STM文档工程私人有限公司）
本文系统综述了大语言模型在恶意软件代码分析、检测与防御中的应用进展、关键方法、数据集及未来方向，为网络安全研究提供参考。
2025-04-07 cs.AI cs.CR
Enhancing Robustness of Deep Neural Networks Against Adversarial Malware Samples: Principles, Framework, and AICS'2019 Challenge
恶意软件仍然是一个主要的网络威胁，尽管已经做出了巨大的努力来打击他们。随着时间的推移，恶意软件的数量在不断增加，这意味着我们必须求助于自动化防御技术。这自然需要基于机器学习的恶意软件检测。然而，已知机器学习容易受到对抗性规避攻击的影响，这些攻击操纵少量特征，使分类器错误地将恶意软件样本识别为良性样本。最新的技术水平是，没有有效的对策来对付这些攻击。受AICS 2019年挑战赛的启发，我们系统化了一些原则，以增强神经网络对抗恶意软件规避攻击的鲁棒性。这些原则中的一些已经分散在文献中，但其他人在本文中首次提出。在这些原则的指导下，我们提出了一个框架和相应的训练算法，然后将其应用于AICS的2019年挑战赛。我们的实验结果已经提交给挑战赛组织者进行评估。
2020-09-16 cs.CR
Automated Ransomware Behavior Analysis: Pattern Extraction and Early Detection
安全操作中心（SOC）通常使用各种工具来收集大量的主机日志，以检测和取证入侵。我们的经验，支持最近的用户研究SOC运营商，表明运营商花费大量的时间（例如，数百个工时），对寻求对抗性行动的日志进行调查。类似地，重新配置工具以使检测器适应未来的类似攻击是在获得新的见解时常见的（例如，通过内部调查或共享指标）。本文提出了一种自动化的恶意软件模式提取和早期检测工具，测试了三种机器学习方法：TF-IDF（词频-逆文档频率），Fisher LDA线性判别分析（Linear Discriminant Analysis）（额外的树/极度随机化的树），可以（1）分析沙箱中新发现的恶意软件样本并生成动态分析报告（主机日志）;（2）自动提取事件序列引起的恶意软件给出了大量的环境（未受攻击的）主机日志，以及来自感染了潜在多态恶意软件的主机的相对较少的日志;（3）对恶意软件的最具区别性的特征（独特模式）进行排名，并从学习到的行为中检测恶意活动;以及（4）允许操作员可视化区别性特征及其相关性，以促进恶意软件取证工作。为了验证我们的工具的准确性和效率，我们设计了三个实验，并测试了七个勒索软件攻击（即，WannaCry、DBGer、Cerber、Defray、GandCrab、Locky和nRansom）。实验结果表明，TF-IDF是三种方法中识别鉴别特征的最佳方法，而ET是时间效率和鲁棒性最高的方法。
2019-10-15 cs.CR cs.CY
Practical Attacks on Machine Learning: A Case Study on Adversarial Windows Malware
University of Cagliari（卡利亚里大学）；Pluribus One（Pluribus One公司）；University of Genova（热那亚大学）
虽然机器学习容易受到对抗性示例的影响，但它仍然缺乏系统的程序和工具来评估其在不同应用环境中的安全性。在本文中，我们将讨论如何使用实际攻击开发机器学习的自动化和可扩展的安全评估，并报告Windows恶意软件检测的用例。
2022-07-12 cs.CR cs.LG
Machine Learning for Malware Evolution Detection
San Jose State University（圣何塞州立大学）
恶意软件会随着时间的推移而演变，防病毒软件必须适应这种演变。因此，关键是要及时检测恶意软件已经发展的那些点，以便采取适当的对策。在这项研究中，我们对大量的恶意软件家族进行了各种实验，以确定恶意软件演变可能发生的时间。我们考虑的所有进化检测技术都基于机器学习，并且可以完全自动化-特别是，不需要逆向工程或其他劳动密集型手动分析。具体来说，我们考虑基于隐马尔可夫模型（HMM）和词嵌入技术HMM 2 Vec和Word 2 Vec的分析。
2021-07-04 cs.CR cs.LG
Glassbox: Dynamic Analysis Platform for Malware Android Applications on Real Devices
Android是使用最广泛的智能手机操作系统，2015年的市场份额为82.8%。因此，它是恶意软件作者最广泛的目标系统。研究人员依赖于动态分析来提取恶意软件行为，并且经常使用仿真器来这样做。然而，使用仿真器会导致新的问题。恶意软件可能会检测到仿真，因此它不会执行有效负载以阻止分析。处理虚拟设备规避是一场永无休止的战争，并带来不可忽视的计算成本。为了克服这种状况，我们提出了一个系统，不使用虚拟设备来分析恶意软件的行为。Glassbox是一个用于恶意软件应用程序动态分析的功能原型。它在受监控和控制的环境中在真实设备上执行应用程序。它是一个完全自动化的系统，可以安装，测试和提取应用程序中的功能以进行进一步分析。我们提出了该平台的架构，并将其与现有的Android动态分析平台进行了比较。最后，我们通过测量AndroCoverage数据集上基本块的平均覆盖率来评估Glassbox触发应用程序行为的能力。我们表明，它执行的平均13.52%以上的基本块比猴子程序。
2016-09-15 cs.CR
Word Embedding Techniques for Malware Evolution Detection
San Jose State University（圣何塞州立大学）
恶意软件检测是信息安全的一个重要方面。出现的一个困难是，恶意软件往往随着时间的推移而演变。为了保持有效的恶意软件检测，有必要确定恶意软件何时发生演变，以便采取适当的对策。我们进行了各种实验，旨在检测恶意软件家族可能演变的时间点，我们考虑了旨在确认演变实际发生的二次测试。分析了几个恶意软件家族，每个家族都包括在很长一段时间内收集的大量样本。我们的实验表明，使用基于词嵌入技术的特征工程获得了改进的结果。我们所有的实验都是基于机器学习模型，因此我们的进化检测策略需要最少的人为干预，可以很容易地自动化。
2021-03-07 cs.CR cs.LG
Memory-Based Malware Detection under Limited Data Conditions: A Comparative Evaluation of TabPFN and Ensemble Models
CESI Engineering School（CESI工程学院）；University of Louisiana at Lafayette（路易斯安那大学拉斐特分校）；University of Central Arkansas（阿肯色中央大学）
本文通过比较TabPFN与集成模型，展示了在有限数据条件下恶意软件检测的性能提升及其计算时间的权衡。
2026-01-12 cs.CR
ClarAVy: A Tool for Scalable and Accurate Malware Family Labeling
ClarAVy 针对现有恶意软件家族标注工具在解析、别名解析和聚合策略上的缺陷，采用变分贝叶斯方法聚合多款防病毒产品检测结果，在约 4000 万文件规模上实现可扩展且更准确的家族标注，并在 MOTIF 和 MalPedia 数据集上分别将准确率提升 8 和 12 个百分点。
2025-02-04 cs.CR
N-opcode Analysis for Android Malware Classification and Categorization
恶意软件检测是一个日益严重的问题，特别是在Android移动平台上，因为它越来越受欢迎，并且可以访问许多第三方应用程序市场。新兴恶意软件家族采用的日益复杂的检测规避技术也使情况变得更糟。这需要更有效的技术来检测和分类Android恶意软件。因此，在本文中，我们提出了一种基于n-opcode分析的方法，利用机器学习来分类和分类Android恶意软件。这种方法实现了自动化特征发现，消除了应用专家或领域知识来定义所需特征的需要。我们在2520个样本上进行的实验使用了多达10克的操作码特征，结果表明使用这种方法可以实现98%的f-测量。
2016-07-27 cs.AI cs.CR
TagZilla: Automated Owner and Abuse Type Tagging for Indicators of Compromise in Threat Reports
IMDEA Software Institute（IMDEA软件研究所）
TagZilla是基于LLM的IoC自动标注平台，采用开放与闭世界分类法，在100份含1534个IoC的报告上F1值达0.94和0.93，可标注多行为者报告并生成IoC档案。
2026-08-31 cs.CR
Android HIV: A Study of Repackaging Malware for Evading Machine-Learning Detection
基于机器学习的解决方案已成功用于自动检测Android上的恶意软件。然而，机器学习模型对对抗性示例缺乏鲁棒性，这些示例是通过向正常输入添加精心选择的扰动来制作的。到目前为止，对抗性示例只能欺骗依赖于语法特征的检测器（例如，请求的权限、API调用等），并且扰动只能通过简单地修改应用程序的清单来实现。虽然最近的Android恶意软件检测器更多地依赖于Dalvik字节码的语义特征，而不是清单，但现有的攻击/防御方法不再有效。在本文中，我们介绍了一种新的攻击方法，生成Android恶意软件的对抗性示例，并逃避当前模型的检测。为此，我们提出了一种将最佳扰动应用于Android APK的方法，该方法可以成功欺骗机器学习检测器。我们开发了一个自动化的工具来生成对抗性的例子，而无需人工干预。与现有的作品相比，我们的方法制作的对抗性示例也可以欺骗最近的基于机器学习的检测器，这些检测器依赖于控制流图等语义特征。扰动也可以直接实现到APK的Dalvik字节码上，而不是Android清单，以逃避最近的检测器。我们展示了我们对两个最先进的Android恶意软件检测方案MaMaDroid和Drebin的攻击。我们的研究结果表明，MaMaDroid的恶意软件检测率从96%下降到0%，Drebin的恶意软件检测率从97%下降到0%，只有少量的代码被插入到APK中。
2021-11-16 cs.CR
Malware in the Future? Forecasting of Analyst Detection of Cyber Events
本研究提出基于分析师检测和验证的网络事件数据进行预测，使用贝叶斯状态空间模型提前一周预测攻击，并发现分析师检测的网络攻击具有系统性，有助于改善威胁意识和资源分配。
2018-06-08 cs.CR
Automated Dynamic Analysis of Ransomware: Benefits, Limitations and use for Detection
最近的统计数据显示，2015年发现了超过1.4亿个新的恶意软件样本，其中很大一部分是勒索软件，这类恶意软件的特定目标是使受害者的系统无法使用，特别是通过加密重要文件，然后要求用户支付赎金来恢复损坏。一些勒索软件包括复杂的打包技术，因此难以进行静态分析。我们提出了EldeRan，一种用于动态分析和分类勒索软件的机器学习方法。EldeRan监控应用程序在安装的第一阶段执行的一系列操作，检查勒索软件的特征标志。我们对属于11个家族的582个勒索软件和942个好软件应用程序的数据集进行了测试，结果显示EldeRan的ROC曲线下面积为0.995。此外，EldeRan的工作不需要事先提供整个勒索软件家族。这些结果表明，动态分析可以支持勒索软件检测，因为勒索软件样本在运行时表现出一组跨家族常见的特征，这有助于早期检测新的变体。我们还概述了勒索软件动态分析的一些局限性，并提出了可能的解决方案。
2016-09-10 cs.CR
N-gram Opcode Analysis for Android Malware Detection
近年来，由于Android的日益普及和第三方应用程序市场的激增，Android恶意软件一直在上升。新兴的Android恶意软件家族越来越多地采用复杂的检测规避技术，这需要更有效的Android恶意软件检测方法。因此，在本文中，我们提出并评估了一种基于n-gram操作码特征的方法，该方法利用机器学习来识别和分类Android恶意软件。这种方法使得能够自动化特征发现，而不依赖于预先确定的特征的专家或领域知识。此外，通过使用数据分割技术进行特征选择，我们的分析能够扩展到10克操作码。我们在2520个样本的数据集上进行的实验显示，使用基于n-gram操作码的方法，f测量值为98%。我们还提供了实证研究结果，说明可能影响整体n元操作码性能趋势的因素。
2016-12-05 cs.AI cs.CR
Intelligent Systems Design for Malware Classification Under Adversarial Conditions
U.S. Military Academy（美国军事学院）
使用机器学习和智能系统已成为恶意软件检测和网络威胁预防领域的既定做法。在以广泛的可访问性和大数据为特征的环境中，在不使用基于人工智能的技术的情况下进行恶意软件分类的可行性已经呈指数级下降。对抗性机器学习的威胁也是当前自动化智能恶意软件检测领域的特征。攻击者正在寻找负责恶意软件分类功能的底层数据和/或算法，以映射其行为或破坏其功能。这些对手的目的是绕过网络安全措施并提高恶意软件的有效性。本研究的重点是设计一个智能系统的方法，使用机器学习，可以准确和鲁棒地分类恶意软件在对抗条件下。这样的结果最终依赖于增加的灵活性和适应性，以建立一个足够强大的模型来识别对底层算法的攻击。
2019-07-06 cs.CR cs.LG stat.ML
Detecting Android Malware: From Neural Embeddings to Hands-On Validation with BERTroid
Laval university（拉瓦尔大学）
针对Android恶意软件威胁加剧的问题，本文提出基于BERT架构的恶意软件检测模型BERTroid，在多数据集上性能优于现有最优方案，同时强调人工验证可强化模型结果，为Android恶意软件主动防御提供新方案。
2024-08-12 cs.AI cs.CR
Shedding Light on the Targeted Victim Profiles of Malicious Downloaders
恶意软件影响着全球数百万用户，影响着许多人和企业的日常生活。恶意软件感染的复杂性正在增加，并在多个阶段展开。恶意下载程序通常充当起点，因为它会对受害者的机器进行指纹识别并下载一个或多个其他恶意软件有效载荷。虽然以前的研究是对这些恶意下载程序及其按安装付费网络进行的，但有限的工作调查了受害者机器的配置文件，例如，它的特点和软件配置，影响网络犯罪分子的目标选择。在本文中，我们通过在12个月内执行151，189次恶意软件下载程序，对机器配置文件与dropers下载的有效负载之间的关系进行了大规模调查。我们构建了一个完全自动化的框架，该框架使用沙箱中的虚拟机（VM）来构建自定义用户和机器配置文件，以测试我们的恶意样本。然后，我们使用变点分析来模拟不同下载者家庭的行为，并对每个配置文件的感染率进行方差分析（ANOVA）。通过这种方式，我们可以识别网络犯罪分子在不同时间点针对的机器配置文件。我们的研究结果表明，一些下载者呈现不同的行为，这取决于一台机器的一些功能。值得注意的是，当使用不同的浏览器配置文件、键盘布局和操作系统时，观察到特定恶意软件家族的感染数量更高，而一种键盘布局获得的特定恶意软件家族的感染数量更少。我们的研究结果揭示了运行恶意下载软件的机器的功能的重要性，特别是对于恶意软件研究。
2022-08-28 cs.CR
A Decompilation-Driven Framework for Malware Detection with Large Language Models
本文提出基于大语言模型的反恶意软件检测框架，通过解编和微调提升恶意软件检测效果，但需持续更新以应对新型威胁。
2026-01-14 cs.AI cs.CR
Nepenthes Honeypots based Botnet Detection
僵尸网络攻击的数量日益增多，对僵尸网络在网络中传播的检测变得非常具有挑战性。与普通恶意软件相比，僵尸程序具有特定的特征，因为它们由远程主服务器控制，并且通常不会像普通恶意软件那样显示其行为，直到它们没有从主服务器接收到任何命令。大多数时候僵尸恶意软件是不活动的，因此很难检测到。此外，检测或跟踪这些机器人的网络需要一个基础设施，该基础设施应该能够从各种数据源收集数据，并将数据关联起来，以便更全面地了解情况。在本文中，我们将分享我们的经验，僵尸网络检测在私有网络以及在公共区域部署猪笼草蜜罐。讨论了使用猪笼草进行恶意软件收集和使用反病毒扫描进行分析的自动化框架。最后给出了在网络中启用猪笼草蜜罐检测僵尸网络的实验结果。我们还看到，我们网络中现有的已知机器人可以被检测到。
2013-03-13 cs.CR
Adapting Novelty towards Generating Antigens for Antivirus systems
本文提出一个基于汇编代码的进化框架，通过新颖性搜索生成多样化恶意软件变体，可逃避98%以上反病毒扫描器，作为抗原辅助检测算法改进。
2025-05-24 cs.CR cs.NE
Automated Big Traffic Analytics for Cyber Security
网络流量分析技术是网络安全系统的基石。我们通过三个流行的和当代的网络安全应用程序在入侵检测，恶意软件分析和僵尸网络检测展示其使用。然而，自动化流量分析面临着大流量数据带来的挑战。根据大数据的三个特征-量、多样性和速度，我们回顾了三种最先进的技术，以减轻关键挑战，包括实时流量分类、未知流量分类和分类器的效率。基于统计特征、未知发现和相关分析的新技术在处理大流量数据方面显示出了巨大的潜力。鼓励读者致力于提高网络安全中自动流量分析的性能和实用性。
2018-04-24 cs.CR
AI ATAC 1: An Evaluation of Prominent Commercial Malware Detectors
本研究作为美国海军资助的AI ATAC首个挑战赛，用含千个零日样本的十万文件评估了8款商用恶意软件检测工具，设计自动化并行实验框架与成本效益模型，为商用检测现状提供洞见与排名方法。
2023-08-28 cs.CR
Dual Explanations via Subgraph Matching for Malware Detection
Canadian Institute for Cybersecurity (CIC)（加拿大网络安全研究所）；University of New Brunswick（新不伦瑞克大学）
提出双重原型驱动的可解释框架SubMatch，通过子图匹配技术将GNN重要区域与已知行为模式对齐，在保持高检测性能的同时显著提升恶意软件分析的可解释性。
2025-04-29 cs.CR cs.LG
OpCode-Based Malware Classification Using Machine Learning and Deep Learning Techniques
Students, Cybersecurity and Threat Intelligence University of Guelph（学生、网络安全与威胁情报大学格雷夫斯普尔大学）
本研究分析基于OpCode序列的恶意软件分类，评估传统机器学习（n-gram+SVM/KNN/决策树）和深度学习（CNN）两种方法，结果显示SVM优于其他传统模型，CNN性能具竞争力且可自动提取特征。
2025-04-18 cs.CR cs.LG
A Benchmark Comparison of Python Malware Detection Approaches
本研究通过案例研究与基准数据集评估了PyPI等开源存储库的Python恶意软件检测工具，发现现有工具误报率过高无法满足管理员严格要求，进而提出结合外部安全研究员的社会技术系统以改进检测与合作。
2022-09-27 cs.CR cs.SE
A Comparison of Adversarial Learning Techniques for Malware Detection
Czech Technical University in Prague（布拉格捷克技术大学）；Faculty of Information Technology（信息技术学院）；San Jose State University（圣何塞州立大学）
本文针对恶意 Windows PE 文件，比较基于梯度、进化算法和强化学习的对抗样本生成方法，发现 Gym-malware 实用性最强且组合使用逃避率最高。
2023-08-19 cs.CR cs.LG
Madvex: Instrumentation-based Adversarial Attacks on Machine Learning Malware Detection
针对WebAssembly加密劫持的机器学习检测，提出Madvex方法，通过插桩在二进制代码段中注入对抗样本，以极小开销可靠绕过Minos等最先进分类器。
2023-05-24 cs.CR
Zero Day Ransomware Detection with Pulse: Function Classification with Transformer Models and Assembly Language
本研究提出基于Transformer模型与汇编语言的零日勒索软件检测框架Pulse，借助动态二进制插桩工具Peekaboo捕获真实恶意软件行为，通过消除训练与测试样本的相似功能，使模型仅靠上下文和新指令组合高精度识别新型勒索软件。
2024-08-15 cs.CR
A Family of Droids -- Android Malware Detection via Behavioral Modeling: Static vs Dynamic Analysis
随着移动生态系统的日益普及，网络犯罪分子越来越多地将其作为目标，设计和分发恶意应用程序，窃取信息或对设备所有者造成伤害。针对这些问题，提出了基于静态或动态分析的Android恶意软件检测技术。虽然这些分析技术的优点和缺点是已知的，但它们通常在其局限性的背景下进行比较，例如，静态分析无法捕获运行时行为，在动态分析过程中通常无法实现完整的代码覆盖等。然而，在本文中，我们分析了静态和动态分析方法在Android恶意软件检测中的性能，并尝试使用相同的建模方法比较它们的检测性能。为此，我们构建了MaMaDroid，这是一种最先进的检测系统，它依赖于静态分析来根据抽象API调用序列创建行为模型。然后，为了在动态分析设置中应用相同的技术，我们修改了CHIMP，这是一个最近提出的用于应用程序测试的众包人工输入的平台，以便从在CHIMP虚拟设备上执行应用程序时产生的跟踪中提取API调用序列。我们称这个系统为AuntieDroid，并通过使用自动（Monkey）和用户生成的输入来实例化它。我们发现，结合静态和动态分析产生最好的性能，F-措施达到0.92。我们还表明，静态分析至少与动态分析一样有效，这取决于应用程序在执行过程中是如何被刺激的，最后，调查了不同方法之间不一致的错误分类的原因。
2018-07-13 cs.CR
Adversarial Samples on Android Malware Detection Systems for IoT Systems
University of Electronic and Science Technology of China（电子科技大学）；Temple University（天普大学）；University of Idaho（爱达荷大学）
许多IoT（物联网）系统运行Android系统或类Android系统。随着机器学习算法的不断发展，基于学习的物联网设备Android恶意软件检测系统逐渐增多。然而，这些基于学习的检测模型往往容易受到对抗性样本的影响。需要一个自动化测试框架来帮助这些基于学习的物联网设备恶意软件检测系统执行安全分析。目前的对抗样本生成方法大多需要模型的训练参数，且大多数方法都是针对图像数据的。为了解决这个问题，我们提出了一个\textbf{t}架构，用于基于\textbf{l}收入的\textbf{A} ndroid \textbf{m} alware \textbf{d} etection systems（TLAMD）的物联网设备。关键的挑战是如何构造一个合适的适应度函数来生成有效的对抗样本，而不影响应用程序的功能。通过引入遗传算法和一些技术改进，我们的测试框架可以为物联网Android应用程序生成对抗样本，成功率接近100\%，并可以对系统进行黑盒测试。
2019-02-12 cs.CR cs.LG
Detection and prevention of botnets and malware in an enterprise network
当今企业网面临的最大威胁之一就是僵尸网络。机器人是一种程序，它作为用户的代理运行，并在互联网上运行自动化任务，其速度远远高于人类单独运行的速度。网络中用于恶意目的的僵尸程序集合称为僵尸网络。机器人攻击的范围可以从键盘记录等本地化攻击到分布式拒绝服务（DDoS）等网络密集型攻击。在本文中，我们提出了一种新的方法，可以检测和打击机器人。所提出的解决方案采用了双管齐下的策略，我们分为独立算法和网络算法。独立算法在网络的每个节点上独立运行。它监视节点上的活动进程，并尝试使用响应时间和输出与输入流量比等参数来识别Bot进程。如果已经识别出可疑进程，则触发网络算法。然后，网络算法将使用传输层流记录来分析去往和来自网络主机的会话。然后，它试图推断出Bot模式以及Bot签名，这些签名随后可由独立算法用于在Bot过程开始时阻止Bot过程。
2013-12-05 cs.CR
APThreatHunter: An automated planning-based threat hunting framework
University of St Andrews（圣安德鲁斯大学）；NTRA（国家电信监管机构）；Adams State University（亚当斯州立大学）
APThreatHunter通过自动规划生成目标假设，提升网络威胁狩猎的自动化水平和效率。
2025-12-27 cs.CR
Cluster Analysis and Concept Drift Detection in Malware
本文提出基于聚类的方法检测恶意软件中的概念漂移，通过KronoDroid数据集子集分析，利用轮廓系数识别漂移时间点，实验表明基于轮廓系数阈值的漂移感知重训练在分类准确性和效率上均优于传统方法。
2025-02-19 cs.CR cs.LG
Rethinking and Exploring String-Based Malware Family Classification in the Era of LLMs and RAG
University of Oregon（俄勒冈大学）；City University of Hong Kong（香港城市大学）；Sun Yat-sen University（中山大学）；Calvin University（加州学院）
本文探索在大语言模型与RAG时代利用传统二进制字符串特征（家族特定字符串）进行恶意软件家族分类，通过覆盖67个家族、4,347个样本的评估框架和消融研究，验证了该方法的可行性并量化了各模块的改进效果。
2025-10-26 cs.AI cs.CR cs.SE
