Feature-Oriented IoT Malware Analysis: Extraction, Classification, and Future Directions
本综述全面梳理物联网恶意软件特征提取技术，涵盖静态、动态及混合方法，并探讨图学习表示策略，比较优劣，指出挑战与未来方向。
2025-09-25 cs.CR
MADEA: A Malware Detection Architecture for IoT blending Network Monitoring and Device Attestation
针对物联网设备易受恶意软件攻击且现有检测技术存在缺陷的问题，提出融合流量分析与远程证明的MADEA架构，实现高准确率、快速度且低能耗的恶意软件检测。
2025-02-20 cs.CR
Machine learning-based malware detection for IoT devices using control-flow data
Budapest University of Technology and Economics（布达佩斯技术与经济大学）；Faculty of Electrical Engineering and Informatics（电气工程与信息学院）
针对IoT设备因保护不足易受恶意软件攻击的问题，提出一种两阶段机器学习检测方法，通过静态二进制分析提取控制流数据，并利用神经网络模型对ARM应用进行恶意或良性分类，以增强设备安全性。
2023-11-20 cs.AI cs.CR
Traffic-aware Patching for Cyber Security in Mobile IoT
物联网（IoT）中的各种类型的通信技术和移动性特征一方面实现了富有成效和有吸引力的应用，但另一方面促进了恶意软件的传播，从而为网络安全处理IoT授权的恶意软件提出了新的挑战。与传统无线网络中节点可以直接修复和保护的恶意软件传播控制方案相比，在物联网中，受损的终端设备很难被修补。或者，通过修补中间结点来阻止恶意软件被证明是更可行和实用的解决方案。具体而言，修补中间结点可以通过保护基础设施链路并将恶意软件传播限制为本地设备到设备传播来有效地防止恶意软件传播的扩散。提出了一种新的流量感知的修补方案，选择重要的中间结点进行修补，适用于修补资源有限、响应时间受限的物联网系统。在物联网网络中的真实跟踪数据集上进行实验，以证明所提出的流量感知补丁方案在减轻恶意软件传播方面的优势。
2017-03-15 cs.CR
FedP3E: Privacy-Preserving Prototype Exchange for Non-IID IoT Malware Detection in Cross-Silo Federated Learning
针对IoT恶意软件检测中数据异构与隐私问题，提出联邦学习框架FedP3E，通过高斯混合模型构建类原型并加噪交换，结合SMOTE增强少数类，在不共享原始数据下有效缓解统计异构性。
2025-07-09 cs.AI cs.CR
Analyzing, Comparing, and Detecting Emerging Malware: A Graph-based Approach
随着Android和物联网（IoT）设备数量的增长，恶意软件（恶意软件）的数量也随之增加，这就需要新的分析方法。我们使用控制流图（CFG）结构的图形属性表示二进制文件，并对从Android和IoT恶意软件中提取的恶意图形进行深入分析，以了解它们的差异。使用对应于物联网和Android样本的2，874和2，891个恶意软件二进制文件，我们分析了一般特征和图形算法属性。使用CFG作为抽象结构，我们强调了各种有趣的发现，例如Android恶意软件中不可访问代码的流行，通过其CFG中的多个组件以及Android恶意软件中的更多节点来指出，与物联网恶意软件相比，突出了更高的复杂性。我们实现了一个基于机器学习的分类器来检测物联网恶意软件和良性恶意软件，并使用随机森林（RF）实现了97.9%的准确率。
2019-02-11 cs.CR
Enhancing IoT Malware Detection through Adaptive Model Parallelism and Resource Optimization
针对物联网设备资源有限、现有恶意软件检测方法难以适配的问题，提出资源与负载感知的自适应模型并行检测方法，可动态分配任务，在保持96.7%准确率的同时实现9.8倍推理加速。
2024-04-12 cs.CR cs.DC
Lightweight Classification of IoT Malware based on Image Recognition
Kyushu University（九州大学）；Indian Institute of Technology Delhi（德里印度理工学院）；Royal Holloway University of London（伦敦大学皇家霍洛威学院）
物联网（IoT）是传统互联网的延伸，其允许非常大量的智能设备（例如家用电器、网络摄像机、传感器和控制器）彼此连接以共享信息并改善用户体验。目前的物联网设备通常是用于特定领域计算的微型计算机，而不是传统的特定功能的嵌入式设备。因此，许多针对连接到互联网的传统计算机的现有攻击也可能针对物联网设备。例如，DDoS攻击在物联网环境中已经变得非常常见，因为这些环境目前缺乏基本的安全监控和保护机制，正如最近的Mirai和Brickerbot物联网僵尸网络所显示的那样。本文提出了一种新的轻量级方法来检测物联网环境中的DDos恶意软件。我们首先提取从二进制转换的单通道灰度图像，然后利用轻量级卷积神经网络分类物联网恶意软件家族。实验结果表明，该系统可以达到94.0%的分类正确率的好软件和DDoS恶意软件，和81.8%的分类正确率的好软件和两个主要的恶意软件家族。
2018-02-11 cs.CR cs.CV
A Lightweight Moving Target Defense Framework for Multi-purpose Malware Affecting IoT Devices
University of Zurich（苏黎世大学）；University of Murcia（穆尔西亚大学）；armasuisse Science & Technology（瑞士联邦国防采购局科学与技术部）
针对IoT设备易受多用途恶意软件攻击且现有MTD方案不足的问题，提出四种改变设备网络、数据和运行时环境的MTD机制及轻量级IoT导向MTD框架，并在真实场景中验证了其效率和有效性。
2022-10-14 cs.CR cs.LG
SETTI: A Self-supervised Adversarial Malware Detection Architecture in an IoT Environment
Shiraz University of Technology（设拉子理工大学）；University of Surrey（萨里大学）
近年来，恶意软件检测已成为物联网（IoT）安全领域一个活跃的研究课题。其原理是从大量连续生成的恶意软件中利用知识。现有的算法为物联网设备实践可用的恶意软件功能，缺乏实时预测行为。因此，需要对恶意软件检测进行更多研究，以应对输入物联网数据的实时错误分类。受此启发，在本文中，我们提出了一种用于检测物联网网络中恶意软件的对抗性自监督架构SETTI，考虑可能未标记的物联网网络流量样本。在SETTI体系结构中，我们设计了三种自监督攻击技术，即Self-MDS、GSelf-MDS和ASelf-MDS。Self-MDS方法实时考虑IoT输入数据和对抗样本生成。GSelf-MDS构建了一个生成对抗网络模型，在自监督结构中生成对抗样本。最后，ASelf-MDS利用三种著名的扰动样本技术来开发对抗性恶意软件，并将其注入自监督架构。此外，我们应用防御方法来减轻这些攻击，即对抗性自我监督训练，以保护恶意软件检测架构免受恶意样本的注入。为了验证攻击和防御算法，我们在两个最近的物联网数据集上进行了实验：IoT 23和NBIoT。结果比较表明，在IoT 23数据集中，Self-MDS方法从攻击者的角度来看具有最大的破坏性后果，准确率从98%降低到74%。在NBIoT数据集中，ASelf-MDS方法是最具破坏性的算法，可以将准确率从98%降至77%。
2022-04-16 cs.CR cs.LG
A Survey on Cross-Architectural IoT Malware Threat Hunting
Simon Fraser University（西蒙菲莎大学）；Huawei Technologies Canada Company Ltd.（华为技术加拿大有限公司）
该综述梳理了跨架构IoT恶意软件检测与分类的最新进展，分析相关特征技术与机器学习模型，指出实际挑战及未来研究方向。
2023-06-09 cs.CR cs.LG
Optimizing Malware Detection in IoT Networks: Leveraging Resource-Aware Distributed Computing for Enhanced Security
针对物联网设备资源有限、现有恶意软件检测方法忽略资源约束的问题，提出一种资源与工作负载感知的分布式检测框架，通过轻量模型分析资源后动态分配或拆分分类器任务，实现9.8倍加速且检测准确率达96.7%。
2024-04-12 cs.CR cs.DC
Understanding Internet of Things Malware by Analyzing Endpoints in their Static Artifacts
物联网（IoT）设备缺乏安全措施及其持续的在线连接，使攻击者有机会将其作为目标，甚至在分布式拒绝服务（DDoS）活动等大型攻击中滥用它们作为中间目标。在本文中，我们分析了物联网恶意软件，并重点关注公共互联网上可到达的端点，这些端点在物联网恶意软件生态系统中发挥着重要作用。也就是说，我们分析作为dropzone的端点及其目标，以深入了解这个生态系统中的潜在动态，例如dropzone与其目标IP地址之间的亲和力，以及端点之间的不同模式。为了实现这一目标，我们对2，423个物联网恶意软件样本进行了反向工程，并从中提取字符串以获取IP地址。我们进一步从公共互联网范围的扫描器（如Shodan和Censys）收集有关这些端点的信息。对于被屏蔽的IP地址，我们研究了累积超过1亿个（占活动公共IPv4地址总数的78.2%）端点的无类域间路由（CIDR）网络。我们从四个不同的角度进行调查，深入了解了端点在物联网恶意软件攻击中的作用，这加深了我们对物联网恶意软件生态系统的理解，并有助于未来的防御。
2021-03-26 cs.CR
EDIMA: Early Detection of IoT Malware Network Activity Using Machine Learning Techniques
物联网的广泛采用导致了许多安全问题。在2016年基于Mirai的DDoS攻击导致物联网设备受损后，出现了大量使用Mirai泄露源代码并针对物联网设备的新恶意软件，例如Satori，Reaper，Aprixia，Masuta等。这些恶意软件利用软件漏洞感染物联网设备，而不是开放的TELNET端口（如Mirai），使其更难以使用防火墙等现有解决方案进行阻止。在这项研究中，我们提出了EDIMA，这是一种分布式模块化解决方案，可用于在扫描/感染阶段而不是攻击期间检测大型网络（例如ISP，企业网）中的物联网恶意软件网络活动。EDIMA采用机器学习算法对边缘设备的流量进行分类，并使用数据包流量特征向量数据库、策略模块和可选的数据包子采样模块。我们评估的分类性能的EDIMA通过测试台实验，并提出所获得的结果。
2019-06-24 cs.CR cs.NI
Evaluation of an Anomaly Detector for Routers using Parameterizable Malware in an IoT Ecosystem
Drexel University（德雷塞尔大学）
本文构建含受感染Linux路由器的IoT测试床，利用可参数化的勒索软件、挖矿程序和键盘记录器，评估基于系统调用与网络流量特征的SVM行为异常检测器的有效与失效场景。
2021-10-29 cs.CR cs.LG
Safeguarding the IoT from Malware Epidemics: A Percolation Theory Approach
预计即将到来的物联网（IoT）将包括大量的连接设备，智能对象和网络物理系统。由于设备的大规模和大规模部署，使用最先进的安全对策来保护100%的设备被认为是不可行的。因此，大规模物联网不可避免地存在网络入侵和恶意软件渗透的漏洞。更糟糕的是，利用设备的高密度和直接无线连接，恶意软件感染可以通过易受影响的（即，不安全的）设备，并在不被安全管理部门注意的情况下形成流行病爆发。恶意软件爆发使攻击者能够危害大量设备，这些设备可以被利用来发起多功能的网络和物理恶意攻击。在这种情况下，我们利用空间防火墙来保护物联网免受恶意软件的爆发。特别地，空间防火墙是配备有最先进的安全和反恶意软件程序的具有计算能力的设备，其在空间上跨网络部署以过滤无线流量，以便检测和阻止恶意软件传播。使用从渗透理论的工具，我们证明了存在一个临界密度的空间防火墙，超过恶意软件的爆发是不可能的。这反过来又保护了物联网免受恶意软件流行的影响，无论感染/治疗率如何。为此，空间防火墙的临界密度得到了一个易于处理的上限。此外，我们描述了空间防火墙和物联网设备的相对通信范围，以确保安全的网络连接。防火墙保护的设备的百分比也被表征。
2020-10-24 cs.CR cs.IT math.IT
Deep Image: A precious image based deep learning method for online malware detection in IoT Environment
Shiraz University of Technology（设拉子理工大学）；University of Surrey（萨里大学）；Zhongnan University of Economics and Law（中南财经政法大学）
物联网设备中的恶意软件数量和攻击数量每天都在上升，这鼓励安全专业人员不断增强他们的恶意软件分析工具。网络安全领域的研究人员已经广泛探索了复杂分析的使用和恶意软件检测的效率。随着新的恶意软件种类和攻击路线的引入，安全专家在开发高效的恶意软件检测和分析解决方案方面面临着巨大的挑战。本文从不同的角度对恶意软件进行分析，计算每个样本特征的风险等级，并在此基础上计算该样本的风险等级。通过这种方式，引入了一个标准，该标准与准确性和FPR标准一起用于物联网环境中的恶意软件分析。在本文中，提出了三种基于可视化技术的恶意软件检测方法，称为聚类方法，概率方法和深度学习方法。然后，除了通常的机器学习标准，即准确性和FPR之外，还使用了基于样本风险的建议标准进行比较，结果表明深度学习方法在检测恶意软件方面表现更好
2022-04-04 cs.CR cs.LG
Harnessing the Power of Decision Trees to Detect IoT Malware
Illinois Institute of Technology（伊利诺伊理工大学）
由于其简单的安装和连接，物联网（IoT）容易受到恶意软件的攻击。能够自主操作。随着物联网设备变得越来越普遍，它们已成为恶意软件最诱人的目标。弱密码、可猜测密码或硬编码密码以及缺乏安全措施导致了这些漏洞以及不安全的网络连接和过时的更新程序。要了解物联网恶意软件，使用静态方法的当前方法和分析是无效的。深度学习领域近年来取得了长足的进步，由于其巨大的数据采掘，学习和表达能力，网络安全近年来也取得了巨大的增长。因此，恶意软件分析师将不必花费同样多的时间来分析恶意软件。在本文中，我们提出了一种新的检测和分析方法，利用权力和简单的决策树。实验是使用真实的单词数据集进行的，MaleVis是一个公开的数据集。基于结果，我们表明，我们提出的方法优于现有的国家的最先进的解决方案，它达到了97.23%的准确率和95.89%的召回检测和分类。特异性为96.58%，F1评分为96.40%，准确性为96.43。
2023-01-28 cs.CR cs.LG
Malware Detection in IOT Systems Using Machine Learning Techniques
Newcastle University（纽卡斯尔大学）；Kent State University（肯特州立大学）
本研究提出一种CNN-LSTM混合模型用于物联网恶意软件检测，通过K折交叉验证达到95.5%的准确率，优于现有方法，为增强物联网安全提供了有效方案。
2024-02-04 cs.CR cs.LG cs.NI
MalIoT: Scalable and Real-time Malware Traffic Detection for IoT Networks
Elizabethtown College（伊丽莎白敦学院）
本文提出MalIoT系统，利用机器学习算法实时分析IoT设备产生的海量数据以检测恶意流量，并结合Apache Kafka、Apache Spark分布式系统与Intel oneAPI加速推理，实现可扩展、高准确率的网络威胁防御。
2023-04-02 cs.CR cs.DC cs.LG
ML-based IoT Malware Detection Under Adversarial Settings: A Systematic Evaluation
University of Central Florida（中佛罗里达大学）；Wayne State University（韦恩州立大学）；Ewha Womans University（梨花女子大学）
物联网（IoT）设备的快速增长使它们处于恶意攻击的前线。这导致了物联网恶意软件数量的爆炸式增长，并不断发生突变，进化和复杂性。这些恶意软件使用机器学习（ML）算法以及传统的基于签名的方法来检测。虽然基于ML的检测器提高了检测性能，但它们容易受到恶意软件演变和复杂性的影响，使它们仅限于它们所训练的模式。这种持续的趋势促使大量关于恶意软件分析和检测研究的文献不断涌现，许多系统不断涌现，并且表现优于其前辈。在这项工作中，我们系统地研究了最先进的恶意软件检测方法，这些方法在一系列对抗性设置下利用各种表示和学习技术。我们的分析强调了所提出的检测器在学习模式中的不稳定性，这些模式将良性软件与恶意软件区分开来。结果表明，软件突变与功能保持操作，如剥离和填充，显着恶化的准确性，这样的检测器。此外，我们对行业标准恶意软件检测器的分析显示了它们对恶意软件突变的不稳定性。
2021-08-30 cs.CR cs.LG
IoT Malware Network Traffic Classification using Visual Representation and Deep Learning
随着物联网设备和技术投入使用的增加，恶意软件已经成为一种具有挑战性的威胁，感染率和复杂程度都在增加。如果没有强大的安全机制，大量的敏感数据就会暴露在漏洞中，因此很容易被网络犯罪分子滥用来执行一些非法活动。因此，需要能够执行实时流量分析和恶意流量缓解的高级网络安全机制。为了应对这一挑战，我们提出了一种新的物联网恶意软件流量分析方法，该方法使用深度学习和视觉表示来更快地检测和分类新的恶意软件（零日恶意软件）。在所提出的方法中，恶意网络流量的检测工作在包级别，由于使用了深度学习技术，显著减少了检测时间，并取得了令人满意的结果。为了评估我们提出的方法的性能，构建了一个数据集，它由从不同的网络流量源收集的正常和恶意软件流量的1000个pcap文件组成。残差神经网络（ResNet50）的实验结果是非常有前途的，提供了94.50%的准确率检测恶意软件流量。
2020-10-04 cs.CR cs.LG
Adversarial Samples on Android Malware Detection Systems for IoT Systems
University of Electronic and Science Technology of China（电子科技大学）；Temple University（天普大学）；University of Idaho（爱达荷大学）
许多IoT（物联网）系统运行Android系统或类Android系统。随着机器学习算法的不断发展，基于学习的物联网设备Android恶意软件检测系统逐渐增多。然而，这些基于学习的检测模型往往容易受到对抗性样本的影响。需要一个自动化测试框架来帮助这些基于学习的物联网设备恶意软件检测系统执行安全分析。目前的对抗样本生成方法大多需要模型的训练参数，且大多数方法都是针对图像数据的。为了解决这个问题，我们提出了一个\textbf{t}架构，用于基于\textbf{l}收入的\textbf{A} ndroid \textbf{m} alware \textbf{d} etection systems（TLAMD）的物联网设备。关键的挑战是如何构造一个合适的适应度函数来生成有效的对抗样本，而不影响应用程序的功能。通过引入遗传算法和一些技术改进，我们的测试框架可以为物联网Android应用程序生成对抗样本，成功率接近100\%，并可以对系统进行黑盒测试。
2019-02-12 cs.CR cs.LG
Feature-Centric Approaches to Android Malware Analysis: A Survey
本综述系统分析了静态、动态、混合及基于图方法的Android恶意软件特征提取技术，比较了各自的优劣权衡，并提出了未来增强IoT环境下检测可扩展性与安全性的研究路线图。
2025-09-12 cs.CR
Towards Obfuscated Malware Detection for Low Powered IoT Devices
Rensselaer Polytechnic Institute（伦斯勒理工学院）
随着物联网和边缘设备越来越多地部署到商业和用户网络中，这些设备已成为恶意软件作者的新威胁载体。随着这些设备在商业和个人网络中变得越来越普遍，保护它们势在必行。然而，由于它们有限的计算能力和存储空间，特别是在电池供电设备的情况下，将最先进的恶意软件检测器部署到这些系统上是不可行的。在这项工作中，我们建议使用和提取功能从马尔可夫矩阵构造的操作码痕迹作为一个低成本的功能，未混淆和混淆的恶意软件检测。我们的经验表明，我们的方法保持了较高的检测率，同时消耗更少的功率比类似的工作。
2020-11-06 cs.CR cs.LG cs.NI
IoT-based Android Malware Detection Using Graph Neural Network With Adversarial Defense
Department of Computer and Information Sciences, Northumbria University（北安普顿大学计算机与信息科学系）；School of Computing, Engineering & Digital Technologies, Teesside University（泰赛大学计算、工程与数字技术学院）
本文提出基于图神经网络的Android恶意软件检测方法，并设计VGAE-MalGAN对抗攻击算法以提升检测鲁棒性。
2025-12-23 cs.AI cs.CR cs.LG
Android Malware Detection using Deep Learning on API Method Sequences
Concordia University（康考迪亚大学）；King Saud University（沙特国王大学）；University of Sharjah（沙迦大学）
Android操作系统经历了一个炽热的流行，因为过去几年。这个占主导地位的平台不仅在移动世界中，而且在物联网（IoT）设备中也建立了自己的地位。然而，这种流行是以牺牲安全为代价的，因为它已成为恶意应用程序的诱人目标。因此，对复杂、自动和便携式恶意软件检测解决方案的需求日益增加。在本文中，我们提出了MalDozer，一个自动的Android恶意软件检测和家庭归因框架，依赖于使用深度学习技术的序列分类。从应用程序API方法调用的原始序列开始，MalDozer自动从实际样本中提取并学习恶意和良性模式，以检测Android恶意软件。MalDozer可以作为无处不在的恶意软件检测系统，不仅部署在服务器上，还可以部署在移动设备甚至物联网设备上。我们在多个Android恶意软件数据集上评估MalDozer，范围从1 K到33 K恶意软件应用程序和38 K良性应用程序。结果表明，MalDozer可以正确地检测恶意软件，并将它们归因于它们的实际家族，在所有测试数据集和设置下，F1分数为96%-99%，误报率为0.06%-2%。
2017-12-25 cs.AI cs.CR
Lightweight IoT Malware Detection Solution Using CNN Classification
Qatar University（卡塔尔大学）
物联网（IoT）正变得越来越频繁地用于更多的应用中，因为连接的设备的数量正在快速增加。更多的连接设备在可扩展性、可维护性和最重要的安全性方面带来了更大的挑战，尤其是在5G网络方面。物联网设备的安全方面是一个新兴领域，这就是为什么它是本文的重点。多个物联网设备制造商出于不同的原因（如降低成本或避免使用能量收集组件）不考虑保护他们生产的设备。这种潜在的恶意设备可能被对手利用来进行多种有害攻击。因此，我们开发了一个系统，可以识别网络上特定物联网节点的恶意行为。通过卷积神经网络和监控，我们能够使用可以安装在网络内的中央节点为物联网提供恶意软件检测。这一成就表明，这些模型可以推广并轻松应用于任何网络，同时清除了有关深度学习技术的任何污名。
2020-10-21 cs.CR cs.LG
Optimal Control of Malware Propagation in IoT Networks
针对智能家居IoT网络补丁部署前的恶意软件扩散问题，提出含即时响应状态的SI_HI_LR_FR_C节点流行病学模型与最优控制策略，并通过数值分析和自建数据集验证其降低感染设备数量的效果。
2024-01-20 cs.CR
Classification of cyber attacks on IoT and ubiquitous computing devices
本文对物联网恶意软件进行分类，识别主要攻击目标与利用方式，指出设备定义和安全目标缺失是核心障碍，并强调现有攻击大多可通过既有技术措施缓解。
2023-12-01 cs.CR
Are Trees Really Green? A Detection Approach of IoT Malware Attacks
Università degli Studi di Cagliari（卡利亚里大学）；CINI, Consorzio Interuniversitario Nazionale per l’Informatica（意大利国家大学信息学联盟）
本文面向 IoT 恶意软件网络攻击，提出基于隐私保护流量统计特征的绿色检测方法，通过能耗与 Matthew 相关系数联合优化三种树模型超参数，在保持高检测性能的同时降低用电量。
2025-06-09 cs.AI cs.CR cs.NI
Evasion of IoT Malware Detection via Dummy Code Injection
University of Texas at Arlington（德克萨斯大学阿灵顿分校）
本文提出通过伪代码注入逃避基于功率侧信道的恶意软件检测，揭示了现有检测框架的漏洞。
2026-02-09 cs.CR cs.LG
ShellCore: Automating Malicious IoT Software Detection by Using Shell Commands Representation
Linux shell是一个命令行解释器，它为用户提供了一个到操作系统的命令接口，允许用户执行各种功能。虽然在边缘构建功能方面非常有用，但Linux shell可以被利用，给对手提供了一个利用它们进行恶意活动的绝佳机会。通过访问物联网设备，恶意软件作者可以滥用这些设备的Linux shell来传播感染并发起大规模攻击，例如，DDoS攻击在这项工作中，我们首先介绍了基于Linux的物联网恶意软件中使用的shell命令。我们分析了物联网恶意软件中发现的恶意shell命令，并构建了一个基于神经网络的模型ShellCore来检测恶意shell命令。也就是说，我们收集了一个大型的shell命令数据集，包括从2，891个物联网恶意软件样本中提取的恶意命令，以及从真实网络流量分析中收集的良性命令，以及来自Linux用户的自愿数据。使用传统的基于机器和深度学习的方法，使用术语和字符级特征进行训练，ShellCore在检测恶意shell命令和文件（即，二进制文件）。
2021-03-26 cs.CR
LLM-assisted Generation of Pseudo-C2 Servers for IoT Malware Dynamic Analysis
Kagawa University（香川大学）；Trend Micro, Inc.（趋势科技）
提出结合Ghidra与大语言模型（LLM）的系统，从恶意软件二进制中提取通信规范并自动生成伪C2服务器，在Mirai上实现100%规范提取并复现7/10种DDoS攻击。
2026-06-24 cs.CR
Federated Learning for Malware Detection in IoT Devices
École Polytechnique Fédérale de Lausanne (EPFL)（洛桑联邦理工学院）；University of Murcia（穆尔西亚大学）；University of Zurich UZH（苏黎世大学）；Cyber-Defence Campus, armasuisse Science & Technology（瑞士国防部科技局网络防御校区）
这项工作调查了联邦学习在物联网恶意软件检测方面的可能性，并研究了这种新学习范式所固有的安全问题。在此背景下，提出了一种使用联邦学习来检测影响IoT设备的恶意软件的框架。N-BaIoT是一个数据集，对受恶意软件影响的几个真实物联网设备的网络流量进行建模，已被用于评估所提出的框架。有监督和无监督的联邦模型（多层感知器和自动编码器）都能够检测影响N-BaIoT可见和不可见物联网设备的恶意软件。此外，他们的表现进行了比较，两个传统的方法。第一种是让每个参与者只使用自己的数据在本地训练模型，而第二种是让参与者与负责训练全局模型的中央实体共享数据。这种比较表明，使用更多样化和更大的数据，如在联邦和集中式方法中所做的那样，对模型性能有相当大的积极影响。此外，联邦模型，同时保护参与者的隐私，表现出类似的结果集中的。作为一个额外的贡献，并衡量联邦方法的鲁棒性，一个对抗性的设置与几个恶意参与者中毒的联邦模型已被考虑。在大多数联邦学习算法中使用的基线模型聚合平均步骤似乎非常容易受到不同的攻击，即使是单一的对手。因此，在相同的攻击场景下，作为对策的其他模型聚合功能的性能进行评估。这些功能提供了针对恶意参与者的显著改进，但是仍然需要更多的努力来使联邦方法健壮。
2021-11-19 cs.CR cs.LG
Collective Intelligence: Decentralized Learning for Android Malware Detection in IoT with Blockchain
Yangtze Delta Region Institute (Huzhou), University of Electronic Science and Technology of China（电子科技大学长三角研究院（湖州））；International Institute of Next Generation Internet, Macau University of Science and Technology（澳门科技大学下一代互联网国际研究院）；University of Electronic Science and Technology of China（电子科技大学）
Android物联网设备的广泛意义在于其灵活性和硬件支持功能，这些功能通过在日常生活的各个领域引入令人兴奋的应用，如医疗保健，智能城市，智能环境，安全，遥感等，彻底改变了数字世界。这种通用的适用性为更多的恶意软件攻击提供了动力。在本文中，我们提出了一个框架，不断聚合多个用户训练模型的非重叠数据到单一的模型。具体到恶意软件检测任务，（i）我们提出了一种新的用户（本地）神经网络（LNN），它在本地分布上进行训练，（ii）然后为了确保模型的真实性和质量，我们提出了一种新的智能合约，它可以在区块链平台上进行聚合过程。LNN模型分析恶意软件和良性软件的各种静态和动态特征，而智能合约使用本地模型的存储聚合特征验证恶意应用程序在网络中的上传和下载过程。通过这种方式，所提出的模型不仅使用分散的模型网络提高了恶意软件检测的准确性，而且还使用区块链提高了模型的有效性。我们用三种最先进的模型评估了我们的方法，并对相关模型的提取特征进行了深入分析。
2021-06-26 cs.CR cs.LG
The State-of-the-Art in AI-Based Malware Detection Techniques: A Review
近年来，人工智能技术发展迅速，彻底改变了用于打击网络犯罪的方法。但随着网络安全领域的发展，恶意软件的发展也在不断进步，因此加强企业对恶意软件攻击的防御能力成为经济上的当务之急。本文旨在概述用于恶意软件检测和预防的最先进的人工智能技术，并对该领域的最新研究进行深入分析。研究的算法包括浅层学习，深度学习和生物启发计算，适用于各种平台，如PC，云，Android和物联网。这项调查还涉及到网络犯罪分子迅速采用人工智能作为创建更先进恶意软件的手段，并利用旨在防御它们的人工智能算法。
2022-10-12 cs.AI cs.CR
A Structured State Space Sequence Model for Multi-Class Classification of Malware
Artificial Intelligence Research (AIR) Center（人工智能研究（AIR）中心）
针对物联网恶意软件威胁，提出基于结构化状态空间序列（S4）模型的恶意软件检测与分类新框架，首次实证应用S4模型并与其他深度学习架构全面比较，提升系统安全性。
2026-10-02 cs.AI cs.CR cs.LG
A Deep Learning-based Fine-grained Hierarchical Learning Approach for Robust Malware Classification
物联网（IoT）在家庭和工业应用中的广泛接受伴随着几个安全问题。一个主要的安全问题是它们可能被对手滥用，以达到其恶意目的。了解和分析物联网恶意行为至关重要，特别是随着它们在广泛应用中的快速增长和采用。然而，最近的研究表明，基于机器学习的方法容易受到对抗攻击，例如，通过向二进制文件中添加垃圾代码，意图欺骗那些基于机器学习或深度学习的检测系统。意识到解决这一挑战的重要性，本研究提出了一个恶意软件检测系统，是强大的对抗攻击。要做到这一点，请检查最先进的方法对使用图嵌入和增强技术制作的对抗性物联网软件的性能。特别是，我们研究了这种方法对两种黑盒对抗方法GEA和SGEA的鲁棒性，以减少开销并保持其实用性不变的方式生成对抗示例（AE）。我们与基于GEA的AE的综合实验显示了误分类与注入样本的图大小之间的关系。经过优化和小扰动，通过使用SGEA，所有物联网恶意软件样本都被错误分类为良性。这凸显了当前检测系统在对抗性环境下的脆弱性。随着景观可能的对抗攻击，我们然后提出DL-FHMC，细粒度的分层学习方法的恶意软件检测和分类，这是强大的AE检测能力的88.52%的恶意AE。
2020-05-15 cs.CR
Early Detection Of Mirai-Like IoT Bots In Large-Scale Networks Through Sub-Sampled Packet Traffic Analysis
物联网的广泛采用导致了许多安全问题。最近，物联网设备上出现了恶意软件攻击，其中最突出的是Mirai。IP摄像头、DVR和路由器等物联网设备受到Mirai恶意软件的危害，后来在2016年10月使用这些受感染的设备（机器人）传播了大规模DDoS攻击。在这项研究中，我们开发了一种基于网络的算法，可用于检测大规模网络（例如ISP网络）中被Mirai或类似恶意软件感染的物联网机器人。该算法特别针对扫描网络中易受攻击设备的机器人，因为僵尸网络的典型扫描阶段持续数月，并且机器人在参与实际攻击之前就可以被检测到。我们分析Mirai恶意软件的独特签名，以识别其在物联网设备中的存在。接下来将讨论我们的机器人检测解决方案的未来部署以及检测后可以采取的对策。此外，为了优化计算资源的使用，我们使用二维（2D）数据包采样方法，其中我们对IoT设备跨时间和跨设备传输的数据包进行采样。利用识别的Mirai签名和2D数据包采样方法，提出了一种机器人检测算法。随后，我们使用测试床测量和模拟来研究机器人检测延迟和设备数据包的采样频率之间的关系。最后，我们从获得的结果中获得见解，并使用它们来设计我们提出的机器人检测算法。
2019-12-13 cs.CR
Review on the Security Threats of Internet of Things
物联网（IoT）被认为是工业革命4.0的增长引擎。物联网、云计算和医疗保健的结合有助于确保人们的福祉。物联网网络的一个重要挑战是维护隐私并克服安全威胁。本文对物联网的安全方面进行了系统的回顾。首先，介绍了物联网在工业和医疗服务场景中的应用，讨论了物联网医疗体系结构不同层次的安全威胁。其次，在物联网的背景下描述了不同类型的现有恶意软件，包括间谍软件，病毒，蠕虫，键盘记录程序和特洛伊木马。第三，讨论了最近的一些恶意软件攻击，如Mirai，echobot和reaper。接下来，对不同的机器学习算法在减轻安全威胁方面的有效性进行了比较讨论。研究发现，k近邻（kNN）机器学习算法在检测恶意软件时具有很好的准确性。本文还回顾了用于勒索软件检测、分类和分析的不同工具。最后，讨论了现有的安全问题，开放的挑战和未来可能的范围，以确保物联网安全。
2021-01-12 cs.CR eess.SP
ADVERSARIALuscator: An Adversarial-DRL Based Obfuscator and Metamorphic Malware SwarmGenerator
Microsoft R&D（微软研发中心）；BITS Pilani（比尔拉理工学院皮拉尼校区）
高级变形恶意软件和勒索软件通过使用混淆，可以在每次攻击中改变其内部结构。如果这种恶意软件甚至可以入侵任何物联网网络，那么即使原始恶意软件实例被检测到，到那时它仍然可以感染整个网络。获得这种规避恶意软件的训练数据是具有挑战性的。因此，在本文中，我们提出了ADVERSARIALuscator，一个新的系统，使用专门的对抗性DRL混淆恶意软件在操作码级别，并创建多个变形的实例相同。据我们所知，ADVERSARIALuscator是有史以来第一个采用基于马尔可夫决策过程的方法来转换并找到在操作码级别创建单个混淆问题的解决方案的系统。这一点很重要，因为机器语言级别是可以保留功能的最低级别，以便有效地模拟实际攻击。ADVERSARIALuscator也是有史以来第一个使用高效连续动作控制的系统，能够进行深度强化学习代理，如网络安全领域的近端策略优化。实验结果表明，ADVERSARIALuscator可以将恶意软件语料库的变形概率提高>0.45。此外，ADVERSARIALuscator生成的变形实例中有超过33%能够避开最强大的IDS。如果这种恶意软件甚至可以入侵任何物联网网络，那么即使原始恶意软件实例被检测到，到那时它仍然可以感染整个网络。因此，ADVERSARIALuscator可以用来生成代表一群非常强大和协调的基于AI的变形恶意软件攻击的数据。如此生成的数据和模拟可用于加强IDS对高级…
2021-09-23 cs.AI cs.CR cs.LG
Efficient Attack Detection in IoT Devices using Feature Engineering-Less Machine Learning
University of Delaware（特拉华大学）
通过深度学习的推广，研究界已经解决了网络安全领域的关键挑战，如恶意软件识别和异常检测。然而，他们还没有讨论将它们部署在物联网（IoT）设备上进行日常操作。物联网设备通常在内存和处理能力方面受到限制，导致计算密集型深度学习环境无法使用。这项研究提出了一种克服这一障碍的方法，即绕过深度学习管道中的特征工程，使用原始数据包数据作为输入。我们引入了一个无特征工程的机器学习（ML）过程来在物联网设备上执行恶意软件检测。我们提出的模型，“特征工程-少-ML（FEL-ML）”，是一个轻量级的检测算法，不需要对“工程”特征进行额外的计算。它有效地加速了低功耗的物联网边缘。它是在未处理的数据包字节流上训练的。除了提供更好的结果外，它比传统的基于特征的方法更快。FEL-ML促进了资源敏感的网络流量安全，并消除了主题专家在功能工程方面的重大投资。
2023-01-09 cs.AI cs.CR cs.LG
A TOCTOU Attack on DICE Attestation
现代物联网（IoT）部署的一个主要安全挑战是确保设备运行合法的固件而不受恶意软件的影响。这个挑战可以通过一个称为证明的安全原语来解决，它允许远程后端验证它管理的设备的固件完整性。为了加速物联网领域广泛采用证明，可信计算组织（TCG）推出了设备标识符组合引擎（DICE）系列规范。DICE是一种硬件-软件架构，用于约束，例如，基于微处理器的IoT设备，其中固件被划分为连续执行的层。在本文中，我们演示了一个远程的时间检查时间的使用（TOCTORM）攻击基于DICE的证明。我们证明，它是可能的安装持久性恶意软件的闪存的受约束的微控制器，不能通过基于DICE的认证检测。我们攻击的主要思想是在顶层固件层的应用程序逻辑运行时安装恶意软件。恶意软件读取有效的证明密钥并将其存储在设备的闪存中。重新启动后，恶意软件使用先前存储的密钥进行所有后续后端证明。我们通过面向返回的编程（ROP）进行恶意软件的安装和密钥的复制。作为演示平台，我们使用基于Cortex-M的nRF 52840微控制器。我们提供了几种可能的对策，可以减轻DICE规范的缺点的讨论。
2022-01-27 cs.CR
Malware Classification using Deep Neural Networks: Performance Evaluation and Applications in Edge Devices
PES University（PES大学）；Red Hat（红帽公司）
本研究评估了深度神经网络在恶意软件分类中的性能，并探索其在边缘设备上的实时部署，通过优化架构实现资源受限场景下的高效检测，以增强物联网系统安全性。
2023-08-21 cs.CR cs.LG
Examining the Rat in the Tunnel: Interpretable Multi-Label Classification of Tor-based Malware
University of New South Wales（新南威尔士大学）；Cyber Security Cooperative Research Centre (CSCRC)（网络安全合作研究中心）；Qatar Computing Research Institute（卡塔尔计算研究所）
本文提出基于消息传递神经网络的多标签分类方法，有效识别Tor恶意流量，性能显著提升，并利用可解释AI解释决策，评估对抗鲁棒性。
2024-09-25 cs.CR cs.LG
CyberForce: A Federated Reinforcement Learning Framework for Malware Mitigation
University of Zurich (UZH)（苏黎世大学）；University of Murcia（穆尔西亚大学）；armasuisse Science & Technology（armasuisse科学与技术局）
本文提出CyberForce框架，将联邦学习与强化学习结合，在保护物联网设备数据隐私的同时，通过设备指纹与异常检测驱动MTD技术选择，实现比集中式方法更快、更鲁棒的零日攻击缓解。
2024-09-30 cs.AI cs.CR
Security through the Eyes of AI: How Visualization is Shaping Malware Detection
本文综述了100多篇论文，提出新框架系统分析可视化技术在恶意软件检测中的应用，揭示挑战并展望未来方向。
2025-10-08 cs.CR
IoT Security: An End-to-End View and Case Study
在本文中，我们提出了物联网安全和隐私的端到端视图以及案例研究。我们的贡献是三方面的。首先，我们提出了物联网系统的端到端视图，该视图可以指导物联网系统的风险评估和设计。我们确定了10个与安全和隐私相关的基本物联网功能。基于这一观点，我们系统地提出了物联网系统、软件、网络和云中大数据分析方面的安全和隐私要求。其次，使用物联网安全和隐私的端到端视图，我们提出了Edimax IP摄像机系统的漏洞分析。我们是第一个利用这个系统的人，并且已经确定了可以完全控制制造商所有摄像头的各种攻击。我们的真实实验证明了所发现的攻击的有效性，并再次为物联网制造商敲响了警钟。第三，在Edimax摄像头和我们之前对Edimax智能插头的利用中发现的漏洞可能会导致另一波Mirai攻击，这可能是僵尸网络或蠕虫攻击。为了系统地了解Mirai恶意软件的破坏，我们对Mirai的传播进行了建模，并使用模拟来验证建模。本文中的工作再次为物联网设备制造商敲响了警钟，以更好地保护其产品，以防止像Mirai这样的恶意软件攻击。
2018-05-15 cs.CR
LoRA-based Parameter-Efficient LLMs for Continuous Learning in Edge-based Malware Detection
本文提出基于LoRA的参数高效LLMs方法，用于边缘恶意软件检测中的持续学习，通过本地适应与全局知识共享提升模型泛化能力，实现跨设备学习并降低资源消耗。
2026-02-12 cs.AI cs.CR cs.DC
Am I Infected? Lessons from Operating a Large-Scale IoT Security Diagnostic Service
本研究通过运营面向日本用户的大规模IoT安全诊断网页服务，基于用户参与数据、评估调研等分析用户行为与反馈，总结了非专业用户的安全预期与服务运营经验。
2025-01-13 cs.CR
Advances In Malware Detection- An Overview
近几十年来，由于恶意软件使用了各种新的混淆技术，恶意软件已经成为网络攻击中广泛使用的手段。为了保护系统、数据和信息，需要尽早检测恶意软件。有各种研究的恶意软件检测技术已经完成，但没有一种方法，可以完全检测恶意软件，使恶意软件检测的问题。静态恶意软件分析对已知恶意软件非常有效，但它对零日恶意软件不起作用，这导致需要动态恶意软件检测，并且基于行为的恶意软件检测在所有检测技术中相对较好，例如基于签名的，基于深度学习的，移动/物联网和基于云的检测，但它仍然无法检测所有零日恶意软件，这表明恶意软件检测是非常具有挑战性的任务，需要更多的恶意软件检测技术。本文介绍了各种恶意软件检测方法的文献综述。每种方法的简短描述，并讨论了各种研究已经完成的先进的恶意软件检测领域和它们的比较的基础上使用的检测方法，准确性和其他参数。除此之外，我们将讨论各种恶意软件检测工具，数据集及其来源，可用于进一步研究。本文为您提供了高级恶意软件的详细知识，其检测方法，如何保护您的设备和数据免受恶意软件攻击，并比较了恶意软件检测的不同研究。
2021-05-08 cs.CR
Automatic Investigation Framework for Android Malware Cyber-Infrastructures
Android系统的普及，不仅在手机设备中，而且在物联网设备中，使其成为恶意软件非常有吸引力的目的地。事实上，恶意软件正在以类似的速度扩张，目标是在大多数情况下依赖互联网正常工作的设备。最先进的恶意软件缓解解决方案主要集中在使用动态和静态分析特征来区分恶意应用程序和良性应用程序的实际恶意Android应用程序的检测上。然而，Android恶意应用程序的互联网/网络维度的覆盖范围很小。在本文中，我们提出了ToGather，一个自动调查框架，以Android恶意软件样本，作为输入，并产生一个关于这些样本家庭的恶意网络基础设施的情况意识。ToGather利用最先进的图论技术来生成可操作的粒度智能，以减轻Android恶意软件应用程序的恶意互联网活动所带来的威胁。我们对来自不同Android家族的真实恶意软件样本进行了ToGather实验，获得的结果非常有趣，非常有前途
2018-06-23 cs.CR
IoT Security Techniques Based on Machine Learning
将各种设备集成到网络中以提供先进和智能服务的物联网（IoT）必须保护用户隐私并应对诸如欺骗攻击、拒绝服务攻击、干扰和窃听等攻击。在这篇文章中，我们研究了物联网系统的攻击模型，并回顾了基于机器学习技术的物联网安全解决方案，包括监督学习，无监督学习和强化学习。我们专注于基于机器学习的物联网认证、访问控制、安全卸载和恶意软件检测方案，以保护数据隐私。在本文中，我们讨论了在实际物联网系统中实施这些基于机器学习的安全方案所需要解决的挑战。
2018-01-19 cs.CR
