Robust PDF Files Forensics Using Coding Style
确定文件是如何创建的在安全性方面通常很有趣。攻击者和防御者都可以使用它。攻击者可以利用这些信息来调整他们的攻击，防御者可以了解恶意文件是如何在事件发生后创建的。在这项工作中，我们要确定如何创建PDF文件。这个问题很重要，因为PDF文件非常流行：许多组织在线发布PDF文件，恶意PDF文件通常被攻击者使用。我们检测哪个软件被用来生成PDF文件的方法是基于编码风格：给定的模式仅由某些PDF制作者创建。我们分析了900个PDF文件的编码风格，使用11个PDF生产商在3个不同的操作系统。我们已经获得了一组192条规则，可用于识别11个PDF生产者。我们已经在科学预印本服务器上发布的508836个PDF文件上测试了我们的检测工具。我们的工具能够以100%的准确度检测某些生产商。其总体检出率仍然很高（74%）。我们能够应用我们的工具来识别在线PDF服务是如何工作的，并发现不一致之处。
2021-03-03 cs.CR
HAPSSA: Holistic Approach to PDF Malware Detection Using Signal and Statistical Analysis
Mayachitra, Inc.（Mayachitra公司）；U.S. Naval Research Laboratory（美国海军研究实验室）；UC Santa Barbara（加州大学圣塔芭芭拉分校）
恶意PDF文档对各种安全组织构成严重威胁，这些组织需要现代威胁情报平台来有效分析和表征PDF恶意软件的身份和行为。最先进的方法使用机器学习（ML）来学习表征PDF恶意软件的特征。然而，ML模型通常容易受到规避攻击，其中对手混淆恶意软件代码以避免被防病毒软件检测到。在本文中，我们得出了一个简单而有效的整体方法来检测PDF恶意软件，利用信号和统计分析的恶意软件二进制文件。这包括组合来自各种静态和动态恶意软件检测方法的正交特征空间模型，以在面对代码混淆时实现通用鲁棒性。使用包含恶意软件和良性样本的近30，000个PDF文件的数据集，我们表明我们的整体方法保持了PDF恶意软件的高检测率（99.92%），甚至可以检测到通过简单方法创建的新恶意文件，这些方法可以删除恶意软件作者为隐藏其恶意软件而进行的混淆，而大多数反病毒软件都无法检测到。
2021-11-08 cs.CR cs.LG eess.SP
MLPdf: An Effective Machine Learning Based Approach for PDF Malware Detection
由于便携式文档格式（PDF）的流行和主要PDF查看器应用程序中漏洞的增加，恶意软件作者继续使用它通过Web下载，电子邮件附件和其他方法在有针对性和非有针对性的攻击中提供恶意软件。关于如何有效阻止恶意PDF文档的话题在网络安全行业和学术界都受到了巨大的研究兴趣，并且没有放缓的迹象。在本文中，我们提出了一种新的方法的基础上，多层感知器（MLP）的神经网络模型，称为MLPdf，用于检测基于PDF的恶意软件。更具体地说，MLPdf模型使用具有随机梯度下降搜索的反向传播算法进行模型更新。一组高质量的功能是从两个真实世界的数据集，其中包括约105000良性和恶意的PDF文档提取。评估结果表明，所提出的MLPdf方法表现出优异的性能，显着优于所有评估的8个著名的商业反病毒扫描仪，达到了95.12%的高得多的真阳性率，同时保持了非常低的假阳性率为0.08%。
2018-08-21 cs.CR
Malicious Web Request Detection Using Character-level CNN
Web参数注入攻击是一种常见且强大的攻击。在这类攻击中，恶意攻击者可以利用HTTP请求，通过在HTTP请求的参数中注入恶意代码来实现对服务器的攻击。针对Web参数注入攻击，现有的Web入侵检测系统（WIDS）由于缺乏再学习能力，且很少关注特征之间的内在联系，因此无法发现未知的新攻击，误报率较高。提出了一种基于改进卷积神经网络（CNN）模型的具有再学习能力的恶意请求检测系统。我们在卷积层之前添加了一个字符级嵌入层，这使得我们的模型能够学习查询字符串中字符之间的内在关系。此外，我们修改了CNN的过滤器，修改后的过滤器可以提取查询字符串的细粒度特征。实验结果表明，与支持向量机（SVM）和随机森林（RF）相比，该模型具有更低的FPR。
2018-11-21 cs.CR
Digital Investigation of PDF Files: Unveiling Traces of Embedded Malware
在过去十年中，恶意软件（或简称恶意软件）在蓬勃发展的地下经济的推动下，表现出越来越复杂和扩散，以应对现代防御机制的日益复杂。PDF文档是用于传播恶意软件的主要载体之一，这要归功于其结构的灵活性和嵌入不同类型内容的能力，从图像到JavaScript代码。尽管研究和工业界做出了许多努力，PDF恶意软件仍然是网络安全领域的主要威胁之一。在本文中，我们提供了一个概述，目前的攻击技术，用于传达PDF恶意软件，并讨论国家的最先进的PDF恶意软件分析工具，提供有价值的支持，数字取证调查。最后，我们讨论了目前的防御机制的局限性和开放的问题，并勾勒出一些有趣的未来研究方向。
2017-07-17 cs.CR
Can You Accept LaTeX Files from Strangers? Ten Years Later
众所周知，Microsoft Word/Excel兼容文档或PDF文件可能包含恶意内容。LaTeX文件也不例外。LaTeX用户通常通过源代码或软件包（. sty或. cls文件）包含第三方代码。但这些软件包可以在用户系统上执行恶意命令，以捕获敏感信息或执行拒绝服务攻击。Checkoway等人是第一个警告LaTeX用户这些威胁的人。基于云的协作LaTeX编辑器和编译LaTeX源的服务尤其受到关注。在本文中，我们创建了一个LaTeX包，它收集系统数据并将其隐藏在目标生成的PDF文件中。然后，我们测量了黑客使用在线服务上的恶意LaTeX文件可以恢复什么，以及这些服务强制执行哪些措施来阻止威胁。服务使用沙箱或命令限制来保护自己。命令限制更难设置，我们发现一个服务（PMLatex）过于宽松。
2021-02-01 cs.CR
Lightweight IoT Malware Detection Solution Using CNN Classification
Qatar University（卡塔尔大学）
物联网（IoT）正变得越来越频繁地用于更多的应用中，因为连接的设备的数量正在快速增加。更多的连接设备在可扩展性、可维护性和最重要的安全性方面带来了更大的挑战，尤其是在5G网络方面。物联网设备的安全方面是一个新兴领域，这就是为什么它是本文的重点。多个物联网设备制造商出于不同的原因（如降低成本或避免使用能量收集组件）不考虑保护他们生产的设备。这种潜在的恶意设备可能被对手利用来进行多种有害攻击。因此，我们开发了一个系统，可以识别网络上特定物联网节点的恶意行为。通过卷积神经网络和监控，我们能够使用可以安装在网络内的中央节点为物联网提供恶意软件检测。这一成就表明，这些模型可以推广并轻松应用于任何网络，同时清除了有关深度学习技术的任何污名。
2020-10-21 cs.CR cs.LG
Analyzing PDFs like Binaries: Adversarially Robust PDF Malware Analysis via Intermediate Representation and Language Model
Wuhan University（武汉大学）；Tulane University（杜兰大学）
通过中间表示和语言模型实现对抗鲁棒的PDF恶意软件分析，利用语义和结构特征提取提升检测性能。
2025-12-05 cs.CR
Efficient and High-Accuracy Private CNN Inference with Helper-Assisted Malicious Security
Beijing Jiaotong University（北京交通大学）；Beijing Key Laboratory of Security and Privacy in Intelligent Transportation（智能交通安全与隐私北京市重点实验室）
本文提出一种基于HA-MSDM的私有CNN推断框架，通过加密原语、MPC协议和模型训练的协同设计，实现高效和接近明文精度的推断，实验显示在LAN和WAN上分别提升了2.3-6.8倍和1.3-5.6倍，精度达到ReLU明文模型的99.5%。
2026-04-21 cs.CR
Detecting Malicious PowerShell Commands using Deep Neural Networks
微软的PowerShell是一种命令行shell和脚本语言，默认安装在Windows机器上。虽然管理员可以配置PowerShell来限制访问和减少漏洞，但这些限制可以被绕过。此外，PowerShell命令可以很容易地动态生成，从内存中执行，编码和混淆，因此对PowerShell执行的代码进行日志记录和取证分析具有挑战性。由于所有这些原因，PowerShell越来越多地被网络犯罪分子用作其攻击工具链的一部分，主要用于下载恶意内容和横向移动。事实上，赛门铁克最近专门针对PowerShell被网络犯罪分子滥用的综合技术报告显示，他们收到的恶意PowerShell样本数量以及使用PowerShell的渗透工具和框架数量急剧增加。这突出了开发有效的方法来检测恶意PowerShell命令的迫切需要。在这项工作中，我们通过实现几种新型的恶意PowerShell命令检测器并评估其性能来解决这一挑战。我们实现了基于“传统”自然语言处理（NLP）的检测器和基于字符级卷积神经网络（CNN）的检测器。我们的评估结果表明，虽然我们的检测器单独产生高性能，集成检测器，结合基于NLP的分类器和基于CNN的分类器提供了最好的性能，因为后者的分类器能够检测恶意命令，成功地逃避前者。我们对这些规避命令的分析表明，CNN分类器自动检测到的一些混淆模式本质上很难使用我们应用的NLP技术检测到。
2018-04-14 cs.CR cs.NE
A Technique for the Detection of PDF Tampering or Forgery
本文针对现有哈希和水印方法无法检测 PDF 签名及元数据篡改的局限，提出一种利用 PDF 文件页面对象检测文本、图像和元数据更改的新技术。
2025-07-01 cs.CR
A Novel Approach to Malicious Code Detection Using CNN-BiLSTM and Feature Fusion
Hangzhou Research Institute of Xidian University（西安电子科技大学杭州研究院）；Xidian digital technology（西电数字技术公司）；Harbin Engineerning University（哈尔滨工程大学）
本研究提出一种基于CNN-BiLSTM融合模型的方法，通过结合恶意软件灰度图像纹理特征与操作码序列特征，显著提升了恶意代码检测的准确率与鲁棒性。
2024-10-12 cs.AI cs.CR
Robust Neural Malware Detection Models for Emulation Sequence Learning
University of California at Santa Cruz（加州大学圣克鲁兹分校）；Microsoft Research（微软研究院）；Microsoft Corp.（微软公司）
恶意软件或恶意软件在计算机安全方面提出了不断发展的挑战。这些以恶意文件形式或隐藏在合法文件中的嵌入式代码片段会对能够运行恶意命令序列的系统造成重大风险。恶意软件作者甚至使用多态性来重新排序这些命令，并创建几个恶意变体。然而，如果在安全环境中执行，则可以对仿真命令序列执行早期恶意软件检测。本文中提出的模型利用通过仿真获得的顺序数据来执行神经恶意软件检测。这些模型通过从这些序列中学习恶意事件操作的存在和共同出现的模式来瞄准恶意操作的核心。我们的模型可以捕获整个事件序列，并直接使用已知的目标标签进行训练。这些端到端学习模型由两种常用的结构提供支持-长短期记忆（LSTM）网络和卷积神经网络（CNN）。以前提出的顺序恶意软件分类模型处理不超过200个事件。攻击者可以通过将任何恶意活动延迟到文件开头之后来逃避检测。我们提出了专门的模型，可以处理非常长的序列，同时成功地执行恶意软件检测，以有效的方式。我们提出了一个实现的卷积分割的长序列的方法，以解决这个漏洞，并操作长序列。我们在一个由634，249个文件序列组成的大型数据集上展示了我们的结果，这些文件序列非常长。
2018-06-28 cs.AI cs.CR cs.LG
Lightweight Intrusion Detection System Using a Hybrid CNN and ConvNeXt-Tiny Model for Internet of Things Networks
针对物联网安全威胁，提出一种结合CNN与ConvNeXt-Tiny的轻量级入侵检测系统，在真实数据集上实现99.63%测试准确率，兼顾高效检测与低资源消耗。
2025-09-07 cs.CR
Enhancing GraphQL Security by Detecting Malicious Queries Using Large Language Models, Sentence Transformers, and Convolutional Neural Networks
Department. of CSE University of Moratuwa Colombo, Sri Lanka（计算机科学与工程系，穆塔瓦拉大学，科伦坡，斯里兰卡）
本文提出一种结合静态分析、LLM、句子转换器和CNN等机器学习技术的AI方法，用于实时检测恶意GraphQL查询，以增强API安全性，实验证明能高准确率识别多种攻击并有效缓解DoS和SSRF。
2025-10-08 cs.AI cs.CR cs.LG
A Novel Malware Detection System Based On Machine Learning and Binary Visualization
恶意软件的持续演变和多样性构成了现代系统中的主要威胁。事实证明，目前可用的安全防御措施无法有效降低网络犯罪分子的技能和想象力，因此需要开发新的解决方案。深度学习算法和人工智能（AI）正在迅速发展，在许多应用领域取得了显著成果。随着人工智能技术的发展和对高效恶意软件检测方法的需求，本文提出了一种基于二进制可视化和自组织增量神经网络的恶意软件检测方法。实验结果表明，该方法对.pdf和.doc文件中的勒索软件的检测准确率分别达到91.7%和94.1%。对于其他格式的恶意代码和其他文件类型，包括二进制文件，所提出的方法表现良好，具有增量检测率，允许实时有效地检测未知恶意软件。
2019-04-01 cs.CR
Malware Classification Using Deep Boosted Learning
PIEAS（巴基斯坦工程与应用科学学院）
网络空间的恶意活动已经不仅仅是黑客攻击和传播病毒。它已经成为一个国家生存的挑战，因此已经演变为网络战争。恶意软件是网络犯罪的一个关键组成部分，对恶意软件的分析是抵御攻击的第一道防线。本文提出了一种基于深度提升混合学习的恶意软件分类框架，命名为深度提升特征空间恶意软件分类（DFS-MC）。在所提出的框架中，通过融合性能最佳的定制CNN架构模型的特征空间及其由SVM进行分类的区分来增强区分能力。通过将其与标准定制CNN进行比较来评估所提出的分类框架的辨别能力。定制的CNN模型以两种方式实现：softmax分类器和基于深度混合学习的恶意软件分类。在混合学习中，从定制的CNN架构中提取深度特征，并将其馈送到传统的机器学习分类器中，以提高分类性能。我们还通过微调在基于恶意软件分类框架的定制CNN架构中引入了迁移学习的概念。所提出的恶意软件分类方法的性能进行了验证MalImg恶意软件数据集使用的保持交叉验证技术。通过采用创新的定制CNN进行实验比较，从头开始训练并使用迁移学习微调定制的CNN。提出的分类框架DFS-MC显示出改进的结果，准确率：98.61%，F分数：0.96，精度：0.96，召回率：0.96。
2021-07-08 cs.CR cs.CV cs.LG
Detecting unknown HTTP-based malicious communication behavior via generated adversarial flows and hierarchical traffic features
针对HTTP恶意通信检测泛化能力不足的问题，提出HMCD-Model模型，利用WGAN-GP生成对抗流量进行数据增强，并结合CNN和LSTM提取层次化时空特征，在多数据集上F1值平均提升20%以上，有效检测未知恶意通信。
2023-09-07 cs.CR cs.NI
o-glasses: Visualizing x86 Code from Binary Using a 1d-CNN
用于定向攻击的恶意文档文件通常包含一个名为shellcode的小程序。通常很难为这些文档文件的动态分析准备一个可运行的环境，因为它们利用了特定的漏洞。在这些情况下，需要识别shellcode在每个文档文件中的位置以进行分析。如果利用代码使用可执行脚本，如JavaScript和Flash，则定位shellcode并不困难。另一方面，当shellcode不包含任何JavaScript或Flash，而只包含原生x86代码时，有时几乎不可能找到它。二进制片段分类通常用于可视化感兴趣区域的位置，并且shellcode必须包含至少一小部分x86本机代码，即使大部分代码被混淆，例如shellcode的混淆主体的解码器。在本文中，我们提出了一种新的方法，o-glasses，通过使用专门设计的一维卷积神经网络（1d-CNN）识别x86本地代码来可视化shellcode。片段大小需要与整个shellcode中x86本机代码的最小大小一样小。我们的研究结果表明，一个16-重复序列（平均约48字节）是足够的代码片段的可视化。我们的方法o-glasses（1d-CNN）优于其他方法，因为它以惊人的高F测量率（约99.95%）识别x86本机代码。
2018-06-14 cs.CR
CIC-Trap4Phish: A Unified Multi-Format Dataset for Phishing and Quishing Attachment Detection
Canadian Institute for Cybersecurity, Faculty of Computer Science, University of New Brunswick（加拿大网络安全研究所，计算机科学学院，新不伦瑞克大学）
CIC-Trap4Phish 提出了一种统一的多格式数据集，用于提升钓鱼和Quishing附件检测的准确性和鲁棒性。
2026-02-11 cs.AI cs.CR
R2-D2: ColoR-inspired Convolutional NeuRal Network (CNN)-based AndroiD Malware Detections
Leopard Mobile Inc.（猎豹移动公司）；National Cheng Kung University（国立成功大学）
深度学习对图像识别和自然语言处理的影响在全球引起了极大的关注。卷积神经网络无需事先提取特征即可学习，非常适合应对Android恶意软件的快速迭代。检测Android恶意软件的传统解决方案需要通过预提取的特征进行持续学习，以保持识别恶意软件的高性能。为了在不提取预先选择的特征的情况下减少特征工程的人力，我们开发了一个基于coloR启发的卷积神经网络（CNN）的AndroiD恶意软件检测（R2-D2）系统。系统可以将Android存档文件中的classes.dex字节码转换为RGB颜色代码，并将其存储为固定大小的彩色图像。彩色图像输入到卷积神经网络进行自动特征提取和训练。数据收集时间为2017年1月至2017年8月。在此期间，我们在研究合作伙伴Leopard Mobile Inc.的帮助下，收集了大约200万个良性和恶意Android应用程序进行实验。实验结果表明，该系统能够对合约进行准确的安全分析.此外，我们将研究结果和实验材料保存在http://R2D2.TWMAN.ORG上。
2018-11-15 cs.AI cs.CR
A Lightweight Edge-CNN-Transformer Model for Detecting Coordinated Cyber and Digital Twin Attacks in Cooperative Smart Farming
本文针对协作智能农业中合作社数据共享带来的网络安全风险，提出一种基于CNN-Transformer的轻量级边缘网络异常检测模型，用于检测针对数字孪生及物理系统的协同攻击，并通过实验验证其在边缘部署下的性能与压缩效果。
2024-11-22 cs.CR
Scalable APT Malware Classification via Parallel Feature Extraction and GPU-Accelerated Learning
University of Guelph（圭尔夫大学）；University of Toronto（多伦多大学）；University of New Brunswick（新 Brunswick大学）；York University（约克大学）
本文提出一个并行特征提取与GPU加速的框架，将恶意可执行文件映射到已知APT组织，利用汇编级操作码和CNN模型克服传统模型的计算限制，实现可扩展的恶意软件分类。
2025-04-22 cs.AI cs.CR
Feature Engineering Using File Layout for Malware Detection
本文提出一种利用二进制内部布局最小知识的特征工程技术，通过结合布局信息与结构熵避免歧义问题，在基于CNN的恶意软件检测器上将准确率和F1分数分别提升3.3%和0.07。
2023-04-05 cs.CR
Madvex: Instrumentation-based Adversarial Attacks on Machine Learning Malware Detection
针对WebAssembly加密劫持的机器学习检测，提出Madvex方法，通过插桩在二进制代码段中注入对抗样本，以极小开销可靠绕过Minos等最先进分类器。
2023-05-24 cs.CR
Malware Classification using Deep Learning based Feature Extraction and Wrapper based Feature Selection Technique
Pakistan Institute of Engineering & Applied Sciences（巴基斯坦工程与应用科学学院）；PIEAS Artificial Intelligence Center（PIEAS人工智能中心）；Centre for Mathematical Sciences, Pakistan Institute of Engineering and Applied Sciences（巴基斯坦工程与应用科学学院数学科学中心）；College of Computer and Information Sciences, King Saud University（沙特国王大学计算机与信息科学学院）
在恶意软件分析的情况下，恶意文件的分类是恶意软件检测后的重要部分。到目前为止，已经报道了许多用于对恶意软件进行分类的静态和动态技术。本研究提出了一种基于深度学习的恶意软件检测（DLMD）技术，该技术基于静态方法对不同的恶意软件家族进行分类。所提出的DLMD技术使用字节和ASM文件进行特征工程，从而对恶意软件家族进行分类。首先，使用两个不同的深度卷积神经网络（CNN）从字节文件中提取特征。在此之后，使用基于包装器的机制，其中支持向量机（SVM）被用作分类器的基本和歧视性的操作码特征被选择。其思想是通过组合不同的特征空间来构建混合特征空间，以克服特定特征空间的缺点，从而减少遗漏恶意软件的机会。最后，混合特征空间用于训练多层感知器，其分类所有九种不同的恶意软件家族。实验结果表明，建议DLMD技术实现了10个独立运行的对数损失为0.09。此外，建议DLMD技术的性能进行比较，对不同的分类器，并显示其有效性分类恶意软件。相关代码和数据库可以在https://github.com/cyberhunters/Malware-Detection-Using-Machine-Learning上找到。
2020-12-26 cs.CR cs.LG
Domain-Embeddings Based DGA Detection with Incremental Training Method
基于域生成算法的僵尸网络利用域生成算法（DGAs）逃避监管，已成为网络安全最具破坏性的威胁之一。在过去的几十年里，出现了大量的防御机制，重点是域特征来解决这个问题。然而，由于互联网流量的大数据性质以及仅从域名提取的语言特征是不够的并且敌人可以容易地伪造它们来干扰检测的潜在事实，DGA检测仍然是一项艰巨且具有挑战性的任务。在本文中，我们提出了一种新的DGA检测系统，采用增量词嵌入方法来捕获终端主机和域之间的交互，表征每个IP地址的DNS查询的时间序列模式，从而探索域之间的时间相似性。我们仔细修改了Word2Vec算法，并利用它来自动学习超过190万个域的动态和判别特征表示，并开发了一个简单的分类器，用于区分恶意域和良性域。由于能够识别域的时间模式和增量更新模型，所提出的计划使适应DGA域的变化和发展战略的进展。我们的系统进行了评估，并与最先进的系统FANCI和两种深度学习方法CNN和LSTM进行了比较，数据来自一个大型大学的网络称为TUNEL。结果表明，我们的系统优于强大的竞争对手的多个指标的大幅度提高，同时实现了显着的模型更新速度。
2020-09-21 cs.CR
