Forensic Analysis of TomTom Navigation Application
在数字技术的取证领域，对TomTom品牌导航系统的解码进行了大量的调查。由于TomTom是导航系统的市场领导者，因此对大量此类设备进行了研究。这些设备可以保存大量重要的位置信息。目前，可以使用多种方法来制作运行Android的移动设备的物理副本。下一个重大的取证问题是可以安装在这些设备上的所有各种程序。现在有一个应用程序可从公司TomTom在谷歌Play商店.此应用程序模仿Android移动终端上的导航系统。事实上，Android上的TomTom应用程序可以保存大量信息。在本文中，我们提出了一个过程中的取证收购和分析的TomTom Android应用程序。我们关注以下问题：是否有可能在移动终端的存储器中找到以前驾驶过的路线或带有时间戳的GPS坐标？为了调查这些文件中存储的内容，进行了驾驶测试。在这些驾驶测试中，使用自编程序复制了最重要的文件。找到了重要文件，并对这些文件中的数据进行了解码。我们使用三星移动设备显示和分析我们的结果。我们也比较这些结果与法医收购TomTom GPS设备。
2017-04-11 cs.CR
Forensic Implications of Localized AI: Artifact Analysis of Ollama, LM Studio, and llama.cpp
本文通过系统分析本地LLM工具，揭示了其在数字取证中的证据留存差异及新证据类型，为法医调查提供可复现的方法和实用命令。
2026-03-25 cs.CR
Digital Investigation of PDF Files: Unveiling Traces of Embedded Malware
在过去十年中，恶意软件（或简称恶意软件）在蓬勃发展的地下经济的推动下，表现出越来越复杂和扩散，以应对现代防御机制的日益复杂。PDF文档是用于传播恶意软件的主要载体之一，这要归功于其结构的灵活性和嵌入不同类型内容的能力，从图像到JavaScript代码。尽管研究和工业界做出了许多努力，PDF恶意软件仍然是网络安全领域的主要威胁之一。在本文中，我们提供了一个概述，目前的攻击技术，用于传达PDF恶意软件，并讨论国家的最先进的PDF恶意软件分析工具，提供有价值的支持，数字取证调查。最后，我们讨论了目前的防御机制的局限性和开放的问题，并勾勒出一些有趣的未来研究方向。
2017-07-17 cs.CR
Hiding Malicious Content in PDF Documents
本文是一个特定数字签名漏洞的概念验证演示，它显示了WYSIWYS（所见即所签）概念的无效性。该算法相当简单：攻击者生成一个多态文件，该文件具有两种不同类型的内容（文本，例如PDF文档，以及图像：TIFF -两种最广泛使用的文件格式）。当受害者签署双重内容文件时，他/她只看到PDF文档，而不知道文件中隐藏的内容。在从受害者那里获得合法签名的文档后，攻击者只需将扩展名更改为其他文件格式。这不会使数字签名无效，因为没有位被更改。由于可移植文档格式（PDF）广泛用于电子政务和电子商务环境，这种攻击的破坏潜力相当大。
2012-01-01 cs.CR
Forensic analysis of video data deletion and recovery in Honeywell surveillance file system
Sungkyunkwan University（成均馆大学）
本文分析霍尼韦尔监控设备中未公开的专有文件系统，探讨其删除机制并验证数据恢复的可行性，为高效准确的取证调查提供基础。
2026-05-08 cs.CR cs.MM
Hiding Sensitive Information Using PDF Steganography
本文提出一种基于PDF流操作符实值操作数最低有效位插入的新型PDF隐写算法，全面评估Adobe PDF标准中所有操作符的可用性，并通过案例研究展示将恶意软件嵌入PDF文档的能力。
2024-05-01 cs.CR
Cloud Storage Forensic: hubiC as a Case-Study
在当今社会，我们生活在一个不断连接的世界中，许多人现在都在寻找云服务来存储他们的文件，这样他们就可以在任何地方访问它们。通过使用云服务，用户可以在任何有互联网连接的地方访问文件。然而，云存储虽然方便，但也存在安全风险。从取证的角度来看，云存储平台的日益普及使得对此类漏洞的调查变得更加困难，特别是因为许多平台（如移动设备和计算机）都能够使用这些服务。本文介绍了在Microsoft Windows 8.1上运行的流行云平台之一hubiC的调查。剩余的文物有关的不同用途的hubiC，即上传，下载，安装和卸载在Microsoft Windows 8.1。
2018-07-26 cs.CR
Scout: Leveraging Large Language Models for Rapid Digital Evidence Discovery
针对数字取证中数据量大、误报多的问题，本文提出 Scout 框架，结合文本与多模态大语言模型对磁盘镜像、网络包、内存转储及多媒体文件进行初步筛选和优先级排序，从而加速潜在证据发现。
2025-07-24 cs.CR
PDF Steganography based on Chinese Remainder Theorem
我们提出了不同的方法，基于PDF文件的隐写，基本上是基于中国剩余定理。在这里，一个封面PDF文档已经从不必要的A0释放后，一个秘密消息是隐藏在它使用的方法之一，使其不可见的共同PDF阅读器，然后通过非安全的通信信道传输文件。其中我们的每一种方法，都要保证插入的A0的个数小于秘密消息s的字符数。
2015-06-03 cs.CR
TrustPaper for forged PDF with Issuer Fingerprints
Télécom Paris, Institut Polytechnique de Paris（巴黎电信学院，巴黎理工学院）
针对病假证明PDF易被篡改问题，提出感知签发者的TrustPaper取证方案，结合签发者指纹与多模块证据，在受控语料库上实现对两类攻击者伪造的准确检测且无假阳性。
2026-10-14 cs.CR
Optimizing seed inputs in fuzzing with machine learning
提出基于机器学习的框架，利用神经网络发现PDF文件与目标程序执行的相关性以生成新种子，显著提升了代码覆盖率与崩溃检测率。
2019-02-07 cs.CR
SSD Forensic: Evidence Generation And Forensic Research On Solid State Drives Using Trim Analysis
本研究针对SSD存储特性给数字取证带来的挑战，通过实验分析不同厂商同容量SSD中磨损均衡、垃圾回收等对数据留存的影响，明确了影响数据恢复的多类因素，推翻了传统存储介质行为假设。
2023-07-10 cs.CR cs.IT math.IT
First Steps, Lasting Impact: Platform-Aware Forensics for the Next Generation of Analysts
Florida Institute of Technology（佛罗里达理工学院）；DXC Technology（DXC科技公司）
本研究针对Windows和Linux平台，系统评估磁盘和内存取证技术，旨在提升证据收集的准确性和可靠性。
2026-01-29 cs.CR cs.IR
Automated Artefact Relevancy Determination from Artefact Metadata and Associated Timeline Events
University College Dublin（都柏林大学学院）；Centre for Applied Data Analytics Research (CeADAR)（应用数据分析研究中心（CeADAR））
妨碍案件的、多年的数字取证证据积压在世界各地的执法机构中已司空见惯。这是由于需要数字取证调查的案件数量不断增加，加上每个案件需要处理的数据量不断增加。利用先前处理的数字取证案例及其组成人工制品相关性分类可以促进训练基于自动化人工智能的证据处理系统的机会。这些可以大大帮助调查人员发现和优先考虑证据。本文提出了一种基于集中式数字取证即服务（DFaaS）范式的日益增长的趋势的文件伪影相关性确定方法。这种方法允许使用以前遇到的相关文件来对调查中新发现的文件进行分类。经过训练的模型可以帮助在获取阶段检测这些文件，即，在上传到DFaaS系统的过程中。该技术使用每个人工制品的文件系统元数据和相关联的时间轴事件来生成文件相似性的相关性分数。对三个实验使用场景的方法进行了验证。
2020-12-02 cs.CR cs.LG
Methodology for the Automated Metadata-Based Classification of Incriminating Digital Forensic Artefacts
University College Dublin（都柏林大学学院）
数字取证调查中不断增加的数据量是该领域讨论最多的挑战之一。通常，被没收设备上的大多数档案文物与调查无关。手动检索与调查相关的可疑文件类似于大海捞针。在本文中，一种自动优先化可疑文件文物（即，与调查有关的文件伪像）来减少所需的人工分析工作。这种方法被设计为以人在回路的方式工作。换句话说，它预测/建议人工制品可能是可疑的，而不是给出最终的分析结果。采用了监督机器学习方法，该方法利用了先前处理的病例的记录结果。文中给出了特征提取、数据集生成、训练和评价的过程。此外，还概述了一个从磁盘图像中提取数据的工具包，使这种方法能够与传统的调查过程相结合，并以自动化的方式工作。
2019-07-02 cs.CR cs.LG
StegoHound: A Novel Multi-Approaches Method for Efficient and Effective Identification and Extraction of Digital Evidence Masked by Steganographic Techniques in WAV and MP3 Files
针对 WAV/MP3 音频中隐写与加密隐藏证据难提取的问题，提出 StegoHound 多方法自动化框架，关联原始工件、实时分析与传统检测技术，提升大型文件取证的覆盖率、准确性并降低假阴性。
2023-12-10 cs.CR cs.MM
5W1H-based Expression for the Effective Sharing of Information in Digital Forensic Investigations
数字取证调查用于与数字设备相关的各个领域，包括网络犯罪。这是一个使用许多技术的调查过程，这些技术已作为工具实施。数字取证调查所涵盖的文件类型广泛而多样，然而，没有办法将结果表达为标准化格式。标准化因设备、文件系统或应用程序的类型而异。不同的产出使得信息共享和实施一体化既费时又困难。此外，它还可能削弱网络安全。因此，定义标准化并以相同的格式呈现数据是很重要的。本文提出了一种基于5W1H的有效数字取证调查信息共享的表达方式，通过六个问题--什么、谁、在哪里、何时、为什么和如何--来分析数字取证信息。基于基于5W1H的表达，来自不同类型文件的数字信息被转换并以相同的输出格式表示。由于5W1H是基本的写作原则，基于5W1H的表达在案例研究中的应用表明，这种表达增强了信息共享的清晰性和正确性。此外，在发生安全事件时，这一表述方式具有与STIX兼容的优势。
2020-10-26 cs.CR cs.IR
Detecting malicious PDF using CNN
Tel Aviv University（特拉维夫大学）
恶意PDF文件是计算机安全的最大威胁之一。为了检测它们，已经使用手写签名或基于手动特征提取的机器学习进行了重要的研究。这些方法都很耗时，需要大量的先验知识，并且必须根据每个新发现的漏洞更新功能列表。在这项工作中，我们提出了一种新的算法，该算法使用卷积神经网络（CNN）的字节级的文件，没有任何手工制作的功能。我们表明，使用一个数据集的90000个文件在线下载，我们的方法保持了很高的检测率（94%）的PDF恶意软件，甚至检测到新的恶意文件，仍然未被大多数反病毒软件检测到。使用我们的CNN网络自动生成的特征，并应用聚类算法，我们还获得了反病毒标签和所得聚类之间的高度相似性。
2020-08-02 cs.CR cs.LG
Leveraging Interpretable Tsetlin Machine for PDF Malware Detection
Department of ICT, University of Agder, Norway（信息与通信技术系，阿格德大学，挪威）
针对PDF文件易被嵌入恶意代码的问题，提出基于可解释Tsetlin机的框架，通过静态分析提取特征并基于规则学习分类，在RIT - PDFMal - 2026数据集上准确率达98.02%，兼具检测性能、效率与可解释性，是实用的检测方案。
2026-08-06 cs.CR cs.LG
Windows Instant Messaging App Forensics: Facebook and Skype as Case Studies
即时消息（IM）改变了人们相互交流的方式。然而，这些应用程序（应用程序）的交互性和即时性使其成为恶意网络活动（如网络钓鱼）的诱人选择。现代Windows 8.1（或更高版本）的IM应用程序的取证检查在很大程度上尚未探索，因为该平台相对较新。在本文中，我们试图确定从使用两个流行的Windows商店应用软件的即时消息，即Facebook和Skype的Windows 8.1客户端机器上的数据残留。这项研究有助于深入了解在当代Windows操作系统上使用即时消息服务和应用软件后可能残留的地面文物类型。在研究过程中检测到的潜在伪像包括与即时消息应用软件的安装或卸载相关的数据、登录和注销信息、联系人列表、对话和传输的文件。
2016-03-17 cs.CR
PDF-Malware: An Overview on Threats, Detection and Evasion Attacks
Université Polytechnique Hauts-De-France（上法兰西理工大学）；CNRS（法国国家科学研究中心）
近年来，可移植文档格式（Portable Document Format，简称PDF）已成为文档交换和传播的民主化标准。这种趋势是由于其灵活性和跨平台可移植性等特性。PDF的广泛使用在良性用户中建立了固有安全的错误印象。然而，PDF的特性促使黑客利用各种类型的漏洞，克服安全保障措施，从而使PDF格式成为最有效的恶意代码攻击载体之一。因此，有效地检测恶意PDF文件是至关重要的信息安全。在文献中已经提出了几种分析技术，无论是静态的还是动态的，以提取允许区分恶意软件文件和良性文件的主要特征。由于经典的分析技术在零日的情况下可能受到限制，因此基于机器学习的技术最近已经作为能够从一组训练样本中概括的自动PDF恶意软件检测方法出现。这些技术本身面临着规避攻击的挑战，其中恶意PDF被转换为看起来是良性的。在这项工作中，我们给出了一个概述的PDF恶意软件检测问题。我们对新的挑战和新兴的解决方案提出了看法。
2021-07-27 cs.AI cs.CR
Analyzing PDFs like Binaries: Adversarially Robust PDF Malware Analysis via Intermediate Representation and Language Model
Wuhan University（武汉大学）；Tulane University（杜兰大学）
通过中间表示和语言模型实现对抗鲁棒的PDF恶意软件分析，利用语义和结构特征提取提升检测性能。
2025-12-05 cs.CR
A Feature Set of Small Size for the PDF Malware Detection
Univ. of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
针对PDF恶意软件检测中特征选择复杂的问题，提出仅含12个特征的小规模特征集，无需深入领域知识，经六种机器学习模型验证，Random Forest达到99.75%准确率，性能与使用大规模特征集的先进方法相当。
2023-08-10 cs.CR cs.LG
File Fragment Classification using Light-Weight Convolutional Neural Networks
本文提出基于深度可分离卷积神经网络的轻量级文件碎片分类模型，在FFT-75数据集上以近100K参数和164M FLOPs达到79%准确率，比现有最优分类器小4倍且快6倍。
2023-05-01 cs.CR
Lempel-Ziv Jaccard Distance, an Effective Alternative to Ssdeep and Sdhash
最近的工作提出了Lempel-Ziv Jaccard距离（LZJD）作为一种方法来衡量恶意软件分类的二进制字节序列之间的相似性。我们提出并测试LZJD的有效性作为一个数字取证的相似性摘要哈希。为此，我们开发了一个高性能的Java实现，使用与sdhash相同的命令行参数，使其易于集成到现有的工作流中。我们的测试表明，LZJD对于此任务是有效的，并且在匹配相关文件片段和被随机噪声损坏的文件的能力方面明显优于sdhash和ssdeep。此外，LZJD在比较时比sdhash快60倍。
2018-02-15 cs.CR
Assessing the Forensic Viability of Android Memory Analysis Across Production Builds: A Cross-Version Study of Security Hardening and Structure Preservation
Florida Institute of Technology（佛罗里达理工学院）
研究安卓跨版本安全强化对内存分析取证可行性的影响，利用安卓8到15的Pixel工厂镜像二进制文件测量差距，发现虽符号等信息减少，但关键结构仍完整，运行时入口点可定位，为安卓内存取证提供参考。
2026-07-16 cs.CR
Explanation-Guided Backdoor Poisoning Attacks Against Malware Classifiers
Northeastern University（东北大学）；FireEye Inc.（火眼公司）；Xailient Inc.（Xailient公司）
用于基于机器学习（ML）的恶意软件分类的训练管道通常依赖于众包威胁源，从而暴露出自然的攻击注入点。在本文中，我们研究了基于特征的ML恶意软件分类器对后门中毒攻击的敏感性，特别关注具有挑战性的“干净标签”攻击，其中攻击者不控制样本标签过程。我们建议使用可解释的机器学习技术来指导相关特征和值的选择，从而以与模型无关的方式创建有效的后门触发器。使用多个参考数据集进行恶意软件分类，包括Windows PE文件，PDF和Android应用程序，我们展示了对各种机器学习模型的有效攻击，并评估了对攻击者施加的各种约束的影响。为了证明我们的后门攻击在实践中的可行性，我们为Windows PE文件创建了一个水印实用程序，保留了二进制文件的功能，我们利用类似的行为保留更改方法为Android和PDF文件。最后，我们实验了潜在的防御策略，并展示了完全防御这些攻击的困难，特别是当攻击与合法的样本分布相融合时。
2021-01-11 cs.CR cs.LG
Reinforcement Learning for an Efficient and Effective Malware Investigation during Cyber Incident Response
Cyber Security Research Centre, London Metropolitan University（伦敦城市大学 网络安全研究中心）
提出基于结构化MDP与Q学习的RL恶意软件取证调查框架，通过证据检查和自适应超参数提升识别效率并减少分析时间。
2025-01-07 cs.AI cs.CR cs.ET
A Natural Language Processing Approach for Instruction Set Architecture Identification
University of Washington（华盛顿大学）；Georgia Institute of Technology（佐治亚理工学院）
软件的二进制分析是网络取证应用中的关键步骤，例如程序漏洞评估和恶意软件检测。这涉及解释由软件执行的指令，并且通常需要将软件的二进制文件数据转换为汇编语言。转换过程需要有关二进制文件的目标指令集体系结构（ISA）的信息。但是，由于编译错误、部分下载或文件元数据的对抗性损坏，ISA信息可能不包含在二进制文件中。机器学习（ML）是一种很有前途的方法，可以使用二进制文件的目标代码部分中的二进制数据来识别目标ISA。在本文中，我们提出了一个二进制代码特征提取模型，以提高基于ML的ISA识别方法的准确性和可扩展性。我们的特征提取模型可以在没有关于ISA的领域知识的情况下使用。具体来说，我们适应模型从自然语言处理（NLP），以i）识别连续的字节模式，通常观察到的二进制代码，ii）估计每个字节模式的重要性，一个二进制文件，和iii）估计每个字节模式的相关性，以区分ISA。我们引入编码二进制文件的字符级功能，以识别每个ISA固有的细粒度位模式。我们使用的数据集与二进制文件从12个不同的ISA来评估我们的方法。经验评估表明，使用我们的字节级功能在ML为基础的ISA识别结果在8%的准确率比国家的最先进的功能的基础上字节直方图和字节模式签名。我们观察到，字符级特征允许将特征集的大小减少多达16倍，同时保持97%以上的准确率。
2022-04-13 cs.CR cs.LG
