Detecting Malicious Entra OAuth Apps with LLM-Based Permission Risk Scoring
本文提出基于LLM的权限风险评分方法，用于实时检测恶意Entra OAuth应用。
2025-12-14 cs.CR
Study on Domain Name System (DNS) Abuse: Technical Report
安全可靠的域名系统（DNS）对于数字经济和社会至关重要。DNS上的恶意活动，通常被称为“DNS滥用”，是影响网络安全和破坏用户对互联网信任的常见而严重的问题。拟议的DNS滥用定义如下：域名系统（DNS）滥用是利用域名或DNS协议进行有害或非法活动的任何活动。DNS滥用利用域名注册过程、域名解析过程或与域名相关联的其他服务（例如，共享网络托管服务）。值得注意的是，我们区分：恶意注册的域名：恶意注册的域名，以进行有害或非法活动妥协的域名：域名注册的善意第三方为合法目的，妥协的恶意行为者进行有害和非法活动。DNS滥用会中断、损害或以其他方式对DNS和互联网基础设施、其用户或其他人造成不利影响。
2022-12-17 cs.CR
Tracking Temporal Evolution of Network Activity for Botnet Detection
California Institute of Technology（加州理工学院）；Jet Propulsion Laboratory, California Institute of Technology（加州理工学院喷气推进实验室）
僵尸网络作为各种恶意活动的主要支持技术越来越普遍，如电子邮件垃圾邮件，点击欺诈，分布式拒绝服务（DDoS）攻击和加密货币挖掘。僵尸网络技术继续快速发展，使检测成为一个非常具有挑战性的问题。有一个强大的检测方法，是不敏感的一个特定的僵尸网络的特性，并在不同的僵尸网络类型的推广是一个根本的需要。我们提出了一种新的监督方法来检测恶意僵尸网络主机，通过使用基于神经网络架构的长短期记忆（LSTM）来跟踪主机的网络活动。我们建立了一个原型来证明我们的方法的可行性，在CTU-13数据集上进行评估，并将我们的性能与现有的检测方法进行比较。我们表明，我们的方法的结果在一个更普遍的，僵尸网络不可知的检测方法，是适合实时实施，并表现良好，与现有的方法相比，与96.2%的整体准确性得分。
2019-08-09 cs.CR cs.LG
RAPTOR: Ransomware Attack PredicTOR
勒索软件是一种恶意软件，它加密受害者的文件，只有在支付赎金后才会释放加密密钥，在过去几年中，它已经成为一种潜在的破坏性网络犯罪。在本文中，我们介绍了RAPTOR，这是一种很有前途的防御勒索软件攻击的方法。RAPTOR对攻击者的操作进行指纹识别，以预测勒索软件活动。更具体地说，我们的方法通过查看已知勒索软件攻击中涉及的域的示例来学习恶意域的特征，然后监视新注册的域以识别潜在的恶意域。此外，RAPTOR使用时间序列预测技术来学习历史勒索软件活动的模型，然后利用恶意域名注册作为外部信号来预测未来的勒索软件活动。我们通过预测Cerber（一个流行的勒索软件家族）的所有活动阶段来说明RAPTOR的有效性。通过从2016年8月30日到2017年5月31日监控顶级域名.top的区域文件，RAPTOR预测2，126个新注册的域名将成为潜在的Cerber域名。其中，378人后来实际上出现在黑名单上。我们的实证评估结果表明，使用预测的域名注册有助于提高对未来Cerber活动的预测。最重要的是，我们的方法证明了融合不同的信号在网络领域的预测应用的价值。
2018-03-05 cs.CR
Exploring Emerging Trends in 5G Malicious Traffic Analysis and Incremental Learning Intrusion Detection Strategies
本文研究5G网络恶意流量检测挑战，分析AI检测方法与SOTA，提出数据集七项标准及三大待解决问题，并验证增量学习技术可部分解决这些问题。
2024-02-22 cs.CR
A Benign Activity Extraction Method for Malignant Activity Identification using Data Provenance
本文提出一种利用数据溯源和自然语言处理提取并移除频繁良性活动的方法，以缩小恶意活动搜索空间，实验表明可减少约52%的搜索空间。
2025-03-25 cs.CR
Heterogeneous Graph Neural Networks for Malicious Account Detection
Ant Financial Services Group（蚂蚁金融服务集团）；Georgia Institute of Technology（佐治亚理工学院）
我们目前，创业板，第一个异构图神经网络的方法来检测恶意帐户在支付宝，世界领先的移动无现金支付平台之一。我们的方法，灵感来自连接子图的方法，自适应地学习歧视性嵌入从异构的帐户设备图的基础上攻击者的两个基本弱点，即设备聚合和活动聚合。针对异构图中包含多种类型节点的情况，提出了一种注意力机制来学习不同类型节点的重要性，同时利用求和算子对每种类型节点的聚集模式进行建模。实验表明，随着时间的推移，我们的方法始终执行有前途的结果相比，竞争力的方法。
2020-02-27 cs.CR cs.LG stat.ML
Robustness of ML-Enhanced IDS to Stealthy Adversaries
Laboratory for Advanced Cybersecurity Research, National Security Agency（国家安全局高级网络安全研究实验室）
通过机器学习（ML）增强的入侵检测系统（IDS）已经证明了有效构建“正常”网络行为原型的能力，以便比传统的基于规则的IDS更准确地检测网络威胁的活动。因为这些基本上是黑匣子，它们的接受需要证明对隐形对手的鲁棒性。由于不可能从完全不受恶意网络行为者影响的活动（受控实验之外）建立基线，因此部署模型的训练数据将受到分析师希望得到警报的活动示例的毒害。我们训练一个基于自动编码器的异常检测系统的网络活动与各种比例的恶意活动混合在一起，并证明他们是强大的这种中毒。
2021-04-21 cs.AI cs.CR
Dynamically Modelling Heterogeneous Higher-Order Interactions for Malicious Behavior Detection in Event Logs
事件日志中的异常检测是企业网入侵检测的一种很有前途的方法。通过建立通常活动的统计模型，它旨在检测多种恶意行为，包括旨在逃避基于签名的检测系统的隐形策略，技术和程序（TTP）。然而，找到合适的事件日志异常检测方法仍然是一个重要的挑战。这是由于数据的非常复杂、多方面的性质：事件日志不仅是组合的，而且是时间和异构的数据，因此它们在大多数异常检测的理论框架中都不适合。大多数以前的研究集中在这三个方面之一，建立一个简化的数据表示，可以提供给标准的异常检测算法。相比之下，我们建议通过专门定制的统计模型同时解决所有这三个特征。我们介绍了\textsc{Decades}，一个\underline{d}的代理，h \underline{e}异构和\underline{c}组合模型的\underline{a}正常\underline{d}检测\underline{e}事件\underline{s}流，我们证明了它的有效性检测恶意行为通过一个真实的数据集上包含标记的红队活动。特别是，我们通过将我们的模型与依赖于各种数据表示的最先进的基线进行比较，从经验上强调了处理数据的多个特征的重要性。
2022-06-28 cs.CR
MaLAware: Automating the Comprehension of Malicious Software Behaviours using Large Language Models (LLMs)
本文提出MaLAware工具，利用大语言模型处理Cuckoo Sandbox报告以自动生成恶意软件行为的简明摘要，并在5个开源LLM上通过11项指标验证了其有效性。
2025-04-01 cs.CR
AMSI-Based Detection of Malicious PowerShell Code Using Contextual Embeddings
Ben-Gurion University of the Negev（内盖夫本-古里安大学）；Microsoft（微软）
PowerShell是一个命令行shell，支持脚本语言。它被广泛用于组织的配置管理和任务自动化，但也越来越多地被网络犯罪分子用于对组织发动网络攻击，主要是因为它预装在Windows机器上，并暴露了攻击者可能利用的强大功能。这使得检测恶意PowerShell代码的问题既紧迫又具有挑战性。微软的反恶意软件扫描接口（AMSI）允许防御系统在执行之前扫描传递给脚本引擎（如PowerShell）的所有代码。在这项工作中，我们使用AMSI提供的信息进行恶意PowerShell代码检测的第一次研究。我们提出了几种新的基于深度学习的恶意PowerShell代码检测器，这些代码采用来自PowerShell“语言”的单词的预训练上下文嵌入。网络安全领域的一个已知问题是，与未标记数据相比，标记数据相对稀缺，这使得难以设计对许多类型的恶意活动的有效监督检测。PowerShell代码也是如此。我们的工作表明，这个问题可以通过学习基于未标记数据的预训练上下文嵌入来缓解。我们使用AMSI从一家大型反恶意软件供应商收集的真实数据来训练和评估我们的模型。我们的性能分析表明，使用未标记的数据进行嵌入显着提高了我们的检测器的性能。我们性能最好的模型使用的架构能够处理字符和标记级别的文本信号，并获得近90%的真阳性率，同时保持低于0.1%的低假阳性率。
2019-09-19 cs.CR cs.LG
A TTP by TTP Approach: Precise Malware Detection via Malicious TTP Recognition
University of Oxford（牛津大学）
提出一种通过向神经网络提供TTP信息并训练其识别具体恶意TTP的方法，实现精确恶意软件检测，优于不利用TTP信息的模型，尤其在罕见TTP和对抗攻击场景下表现突出。
2026-09-09 cs.AI cs.CR
Detection and Analysis of Drive-by Downloads and Malicious Websites
下载驱动是指在用户不知情的情况下进行的下载。它通常会触发浏览器中的漏洞，以下载未知文件。下载文件中的恶意程序会自行安装在受害者的计算机上。此外，下载的文件可以被伪装成安装程序，进一步安装恶意软件。下载驱动是互联网上恶意活动呈指数级增长的一个很好的例子，它如何影响网络的日常使用。在本文中，我们试图解决的问题所造成的驱动下载从不同的立场。我们深入了解处理驱动下载的困难，并提出适当的解决方案。我们提出了机器学习和特征选择解决方案，以弥补驱动下载问题。实验结果报告了98.2%的精度，98.2%的F-Measure和97.2%的ROC面积。
2020-04-09 cs.CR
Cross-temporal Detection of Novel Ransomware Campaigns: A Multi-Modal Alert Approach
提出一种基于多模态告警图的新方法，用于跨时间检测勒索软件活动，有效表示攻击时间线并适应不同攻击模式。
2023-09-01 cs.CR
End-To-End Anomaly Detection for Identifying Malicious Cyber Behavior through NLP-Based Log Embeddings
Laboratory for Advanced Cybersecurity Research（高级网络安全研究实验室）；National Security Agency（国家安全局）
基于规则的入侵检测系统正被更强大的神经网络入侵检测系统所取代，在网络安全领域显示出巨大的潜力。然而，这些机器学习方法仍然依赖于ad-hoc特征工程技术，这些技术缺乏以与发现异常网络活动完全相关的方式对输入进行矢量化的能力。我们提出了一个深端到端的框架与NLP启发的组件，用于识别企业计算机网络上的潜在恶意行为。我们还证明了这种技术在最近发布的DARPA OpTC数据集上的有效性。
2021-08-27 cs.AI cs.CR
Integrating Explainable AI for Effective Malware Detection in Encrypted Network Traffic
University of Bari（巴里大学）
本文整合XAI与集成学习，基于多视图特征检测加密恶意流量，构建涵盖54个恶意软件家族的1,127条连接数据集，并利用SHAP解释关键特征，模型性能超过99%。
2025-01-09 cs.CR cs.LG
Early Stage Malware Prediction Using Recurrent Neural Networks
静态恶意软件分析非常适合端点防病毒系统，因为它可以通过检查可执行代码片段的特征并将其与先前观察到的恶意代码进行匹配来快速进行。然而，静态代码分析可能容易受到代码混淆技术的攻击。在文件执行期间收集的行为数据更难混淆，但捕获时间相对较长-通常长达5分钟，这意味着恶意负载可能在检测到时已经交付。在本文中，我们研究的可能性预测是否可执行文件是恶意的行为数据的一个简短的快照的基础上。我们发现，循环神经网络的集合能够在执行的前5秒内预测可执行文件是恶意的还是良性的，准确率为94%。这是第一次在执行期间预测一般类型的恶意文件是恶意的，而不是在执行后使用完整的活动日志文件，并使网络安全端点保护能够提前使用行为数据来阻止恶意有效负载，而不是在执行后检测它们并修复损坏。
2018-06-18 cs.CR
Evaluating and Combating the Impact of Concept Drift on the Performance of Machine Learning-Based Phishing Detection Systems
Department of Computer Science, School of Mathematics, Computer Science and Engineering, City St George’s, University of London, UK（伦敦大学城市学院计算机科学系，数学、计算机科学与工程学院，伦敦大学）
研究概念漂移对基于机器学习的钓鱼邮件检测系统性能的影响，并提出缓解性能下降的策略。
2026-06-11 cs.CR cs.LG
LMDG: Advancing Lateral Movement Detection Through High-Fidelity Dataset Generation
提出LMDG框架，通过自动化良性活动生成、多阶段攻击执行和进程树标注技术，生成高保真横向移动数据集，支持细粒度攻击标注，提升检测模型评估效果。
2025-08-04 cs.CR
A Large-Scale Analysis of Attacker Activity in Compromised Enterprise Accounts
我们对111个真实企业组织的攻击者活动进行了大规模的描述。我们开发了一种新的取证技术，用于区分受感染企业帐户中的攻击者活动和良性活动，该技术几乎没有误报，并使我们能够对攻击者行为进行细粒度分析。将我们的方法应用于一组159个受感染的企业帐户，我们量化了攻击者在帐户中活动的持续时间，并研究了攻击者如何访问和利用这些被劫持帐户的主题模式。我们发现，攻击者经常在账户中停留数天到数周，这表明延迟（非实时）检测仍然可以提供重要的价值。基于对攻击者的时间模式的分析，我们观察到攻击者如何访问受损帐户的两种不同模式，这可以通过被劫持企业帐户的专门市场的存在来解释：一类攻击者专注于妥协和出售帐户访问权给另一类攻击者，这些攻击者利用这些被劫持帐户提供的访问权。最终，我们的分析揭示了企业帐户劫持的状态，并强调了更广泛的检测方法的富有成效的方向，从针对恶意帐户行为的新功能到非实时检测方法的开发，这些方法在攻击的初始危害点之后利用恶意活动来更准确地识别攻击。
2020-07-28 cs.CR cs.SI
Automatic Investigation Framework for Android Malware Cyber-Infrastructures
Android系统的普及，不仅在手机设备中，而且在物联网设备中，使其成为恶意软件非常有吸引力的目的地。事实上，恶意软件正在以类似的速度扩张，目标是在大多数情况下依赖互联网正常工作的设备。最先进的恶意软件缓解解决方案主要集中在使用动态和静态分析特征来区分恶意应用程序和良性应用程序的实际恶意Android应用程序的检测上。然而，Android恶意应用程序的互联网/网络维度的覆盖范围很小。在本文中，我们提出了ToGather，一个自动调查框架，以Android恶意软件样本，作为输入，并产生一个关于这些样本家庭的恶意网络基础设施的情况意识。ToGather利用最先进的图论技术来生成可操作的粒度智能，以减轻Android恶意软件应用程序的恶意互联网活动所带来的威胁。我们对来自不同Android家族的真实恶意软件样本进行了ToGather实验，获得的结果非常有趣，非常有前途
2018-06-23 cs.CR
Robust Neural Malware Detection Models for Emulation Sequence Learning
University of California at Santa Cruz（加州大学圣克鲁兹分校）；Microsoft Research（微软研究院）；Microsoft Corp.（微软公司）
恶意软件或恶意软件在计算机安全方面提出了不断发展的挑战。这些以恶意文件形式或隐藏在合法文件中的嵌入式代码片段会对能够运行恶意命令序列的系统造成重大风险。恶意软件作者甚至使用多态性来重新排序这些命令，并创建几个恶意变体。然而，如果在安全环境中执行，则可以对仿真命令序列执行早期恶意软件检测。本文中提出的模型利用通过仿真获得的顺序数据来执行神经恶意软件检测。这些模型通过从这些序列中学习恶意事件操作的存在和共同出现的模式来瞄准恶意操作的核心。我们的模型可以捕获整个事件序列，并直接使用已知的目标标签进行训练。这些端到端学习模型由两种常用的结构提供支持-长短期记忆（LSTM）网络和卷积神经网络（CNN）。以前提出的顺序恶意软件分类模型处理不超过200个事件。攻击者可以通过将任何恶意活动延迟到文件开头之后来逃避检测。我们提出了专门的模型，可以处理非常长的序列，同时成功地执行恶意软件检测，以有效的方式。我们提出了一个实现的卷积分割的长序列的方法，以解决这个漏洞，并操作长序列。我们在一个由634，249个文件序列组成的大型数据集上展示了我们的结果，这些文件序列非常长。
2018-06-28 cs.AI cs.CR cs.LG
Robust Fraud Detection via Supervised Contrastive Learning
University of Arkansas（阿肯色大学）；Utah State University（犹他州立大学）
针对开集欺诈检测中少量标签恶意会话多样性不足导致泛化差的问题，提出基于监督对比学习的ConRo框架，通过数据增强生成多样恶意会话并学习可分离表示，性能优于现有前沿方法。
2023-08-19 cs.AI cs.CR
Malware Detection and Prevention using Artificial Intelligence Techniques
Kennesaw State University（肯尼索州立大学）；Tennessee Tech university（田纳西理工大学）；University of Calabria（卡拉布里亚大学）；LORIA（洛林计算机科学及其应用实验室）；Tuskegee University（塔斯基吉大学）
随着技术的快速进步，由于恶意软件活动的增加，安全性已经成为一个主要问题，恶意软件活动对计算机系统和利益相关者的安全性和安全性构成严重威胁。为了维护利益相关者，特别是最终用户的安全，保护数据免受欺诈行为的侵害是最紧迫的问题之一。恶意软件是一组恶意编程代码、脚本、活动内容或侵入性软件，旨在破坏预期的计算机系统和程序或移动和Web应用程序。根据一项研究，天真的用户无法区分恶意和良性应用程序。因此，计算机系统和移动应用程序应被设计为检测恶意活动以保护利益相关者。许多算法可用于通过利用包括人工智能、机器学习和深度学习的新颖概念来检测恶意软件活动。在这项研究中，我们强调基于人工智能（AI）的技术，用于检测和防止恶意软件活动。我们提出了一个详细的审查目前的恶意软件检测技术，其缺点，以及如何提高效率。我们的研究表明，采用未来的方法来开发恶意软件检测应用程序将提供显着的优势。对这种综合的理解将有助于研究人员进一步研究使用AI进行恶意软件检测和预防。
2022-06-26 cs.AI cs.CR cs.LG
SCGNet-Stacked Convolution with Gated Recurrent Unit Network for Cyber Network Intrusion Detection and Intrusion Type Classification
American International University（美国国际大学）；Khulna University（库尔纳大学）
针对传统入侵检测系统难以高效识别复杂网络攻击的问题，提出新型深度学习架构SCGNet及通用数据预处理流程，在NSL-KDD数据集的攻击检测与分类任务上取得高准确率。
2024-10-29 cs.CR cs.LG
Towards Malicious address identification in Bitcoin
CSE, IIT Kanpur（印度理工学院坎普尔分校计算机科学与工程系）
区块链交易的时间方面使我们能够研究地址的行为，并检测它是否涉及任何非法活动。然而，由于更改地址的概念（用于阻止重放攻击），时间方面并不直接适用于比特币区块链。在利用这种时间方面之前，应执行若干预处理步骤。我们的动机是研究比特币交易网络，并使用时间特征，如突发，吸引力和事件间时间以及几个基于图的属性，如节点度和聚类系数，以验证比特币区块链上其他加密货币区块链已知的现有方法的适用性。我们生成时间和非时间特征集，并在不同的时间粒度上训练机器学习（ML）算法，以验证最先进的方法。我们研究了数据集不同时间粒度上地址的行为。我们发现，在比特币中应用更改地址聚类后，可以提取现有的时间特征，并可以应用ML方法。对结果的比较分析表明，以太坊和比特币中地址的行为在入度、出度和事件间时间方面是相似的。此外，我们确定了3个嫌疑人，在不同的时间粒度表现出恶意行为。这些嫌疑人在比特币中没有被标记为恶意。
2021-12-22 cs.CR cs.CY cs.DC
Real-time malware process detection and automated process killing
基于边界的检测不再足以减轻恶意软件构成的威胁。这一点很明显，因为防病毒（AV）产品被端点检测和响应（EDR）产品所取代，后者允许对实时机器活动的可见性，而不是依赖于AV来过滤恶意伪影。本文认为，由于某些恶意软件的快速和破坏性，在端点上实时的【形】检测恶意软件需要自动响应。该模型在机器学习动态行为恶意软件检测模型的基础上使用统计过滤，以检测单个恶意进程并杀死那些被认为是恶意的进程。在一项衡量该系统实际影响的实验中，我们发现快速行动的勒索软件被阻止破坏92%的文件，误报率为14%。虽然误报率目前仍然太高，无法按原样采用这种方法，但这些初步结果表明需要一种能够在恶意软件执行开始后几秒钟内采取行动的检测模型;以前的工作尚未解决这个时间尺度。
2022-01-12 cs.CR
Detection of Adversarial Attacks and Characterization of Adversarial Subspace
对抗攻击一直是任何数据驱动模型的严重威胁。在本文中，我们探索了酉向量域中对抗性样本的子空间，并提出了一种新的检测器来保护我们为环境声音分类训练的模型。我们测量弦的距离之间的合法和恶意表示的声音在酉空间的广义Schur分解，并表明他们的流形远离对方。我们的前端检测器是一个正则化的逻辑回归，它可以区分合法和对抗谱图的特征值。在三个以声谱图表示的环境声音基准数据集上的实验结果表明，该检测器对八种类型的对抗攻击具有较高的检测率，优于其他检测方法。
2019-10-26 cs.CR cs.LG cs.SD
DarkGram: A Large-Scale Analysis of Cybercriminal Activity Channels on Telegram
本文提出基于 BERT 的 DarkGram 框架，以 96% 准确率识别 Telegram 网络犯罪频道恶意帖子，并通过大规模内容分析揭示其生态韧性，推动 196 个频道下架且开源数据与工具。
2025-10-21 cs.CR cs.CY cs.SI
LLM Honeypot: Leveraging Large Language Models as Advanced Interactive Honeypot Systems
University at Albany, SUNY（纽约州立大学奥尔巴尼分校）
本文提出利用大型语言模型构建交互式蜜罐系统，通过微调开源模型实现与攻击者的复杂交互，经评估验证其有效生成准确响应，为网络安全提供强大工具。
2024-09-15 cs.AI cs.CL cs.CR
Coding Malware in Fancy Programming Languages for Fun and Profit
本研究揭示防病毒静态分析依赖严格签名，恶意软件作者改用冷门编程语言可大幅规避检测，并分析了这些语言引入的特征与检测难题。
2025-03-24 cs.CR
Explainable Attention-Based LSTM Framework for Early Detection of AI-Assisted Ransomware via File System Behavioral Analysis
Institute of Management and Information Technology（管理与信息技术学院）；Cisco Systems Inc.（思科系统公司）；Dell Inc.（戴尔公司）；LTM Limited（LTM有限公司）
本文提出一种可解释的注意力机制LSTM框架，通过分析文件系统行为模式，实现对AI辅助勒索软件的早期检测，具有高检测性能和低误报率。
2026-04-19 cs.CR
Cross-Domain AI for Early Attack Detection and Defense Against Malicious Flows in O-RAN
本文针对O-RAN中攻击检测数据集匮乏的问题，提出利用跨域AI结合传输网络与RAN数据训练流量分类器，实现93%准确率的早期攻击检测。
2024-01-17 cs.CR cs.NI
bit.ly/malicious: Deep Dive into Short URL based e-Crime Detection
通过电子邮件和在线社交媒体（OSM）存在垃圾URL已成为一种大规模的电子犯罪。为了应对电子邮件中长而复杂的URL的传播以及对各种OSM（如Twitter）施加的字符限制，URL缩短的概念已经获得了很大的吸引力。URL缩短器将长URL作为输入，并输出具有相同着陆页的短URL（与长URL中的相同）作为返回。随着时间的推移，URL缩短器已经成为攻击者的主要目标，这使他们能够隐藏恶意内容。Bitly是所有缩短服务中的领先服务，它被大量利用来进行网络钓鱼攻击，在家工作诈骗，色情内容传播等，这给Bitly和其他URL缩短器带来了额外的性能压力，以便能够检测并及时采取行动来应对非法内容。在这项研究中，我们分析了2013年10月Bitly标记为可疑的763，160个短URL的数据集。我们的研究结果表明，Bitly并没有非常有效地使用其声称的垃圾邮件检测服务。我们还展示了一个可疑的Bitly帐户是如何被忽视的，尽管长期经常性的非法活动。Bitly显示了一个关于可疑链接识别的警告页面，但我们观察到这种方法在控制垃圾邮件的整体传播方面很薄弱。我们还识别了一些基于短URL的特征，并将它们与两个特定于域的特征相结合，将Bitly URL分类为恶意或良性，准确率达到86.41%。所识别的特征集也可以推广到其他URL缩短服务。据我们所知，这是第一次大规模的研究，以突出问题的实施Bitly的垃圾邮件检测政策，并提…
2014-06-14 cs.CR
A Novel Approach to Detect Spam Worms Propagation with Monitoring the Footprinting
互联网上的关键安全威胁之一是被感染的机器，这些机器可用于发起各种安全攻击，例如发送垃圾邮件和传播恶意软件、访问有用信息和DDoS。垃圾邮件活动的攻击者是大量受感染机器的志愿者。我们的主要重点是检测网络中可能参与或参与垃圾邮件活动的受损机器;这些机器通常被称为垃圾邮件僵尸。诸如端口扫描、数据库扫描等活动被视为网络内的恶意活动。因此，为了克服这一点，我们开发了一个最有效的垃圾邮件僵尸检测系统，该系统基于其他系统的行为，就好像执行上述活动被视为僵尸机器一样。如果网络中的任何系统试图收集有关任何其他系统的信息，那么这将被视为恶意活动，不应允许这样做。SYN数据包用于启动网络内的通信，以便建立连接。如果任何系统试图用这些数据包淹没网络，我们可以假设该系统试图收集其他系统的信息。这就是所谓的足迹。因此，我们将尝试检测任何涉及足迹的系统，并向管理员报告。
2014-02-09 cs.CR cs.NI
A New Scheme for Minimizing Malicious Behavior of Mobile Nodes in Mobile Ad Hoc Networks
移动自组织网络的性能取决于所有活动节点的协作。然而，对于移动节点来说，支持MANET是一项成本密集型活动。从单个移动节点的角度来看，路由的检测以及转发数据包消耗本地CPU时间、内存、网络带宽，以及最后但并非最不重要的能量。我们认为，这是一个主要因素，强烈激励移动节点拒绝为他人的数据包转发，而在同一时间使用他们的服务，以提供自己的数据。独立移动节点的这种行为通常被称为行为不端或自私。大量的研究已经做了最小化移动节点的恶意行为。然而，他们大多集中在方法/技术/算法，从移动自组网中删除这些节点。我们认为，这种行为不端的节点的频繁消除从来没有允许一个自由和更快的增长的移动自组网。本文提供了一个批判性的分析，最近的研究工作和它的整体性能的移动自组网的影响。在本文中，我们澄清了一些误解的自私和错误的行为的节点的理解。此外，我们提出了一个数学模型，基于时间分割技术，以最大限度地减少移动节点的恶意行为，避免不必要的淘汰坏节点。我们提出的方法不仅提高了资源共享，但也创造了一个一致的信任和合作（CTC）的环境之间的移动节点。仿真结果表明，所提出的方法，显着减少恶意节点，从而最大限度地提高了移动自组网的整体吞吐量比其他众所周知的计划是成功的。
2009-08-09 cs.CR cs.NI
Eight Years of Rider Measurement in the Android Malware Ecosystem: Evolution and Lessons Learned
尽管Android恶意软件构成的威胁越来越大，但研究社区仍然缺乏对平台上活跃的恶意软件家族暴露的常见行为和趋势的全面了解。如果没有这样的观点，研究人员就有可能开发出只检测过时威胁的系统，而忽略了最新的威胁。在本文中，我们对Android恶意软件行为进行了迄今为止最大规模的测量，分析了八年内（从2010年到2017年）属于1.2K系列的120多万个恶意软件样本。我们的目标是了解Android恶意软件的行为如何随着时间的推移而演变，重点是重新包装恶意软件。在这种类型的威胁中，不同的无害应用程序都带有恶意负载（骑手），允许廉价的恶意软件制造。研究重新打包的恶意软件时面临的主要挑战之一是将应用程序切片，将良性组件与恶意组件分开。为了解决这个问题，我们使用差异分析来隔离与活动无关的软件组件，并单独研究恶意骑手的行为。我们的分析框架依赖于集体知识库和从多个反病毒供应商提取的情报系统化的最新进展。我们发现，自2010年起步以来，Android恶意软件生态系统已经发生了显着变化，无论是恶意样本执行的恶意活动类型，还是恶意软件为避免检测而使用的混淆级别。然后，我们表明，我们的框架可以帮助分析师谁试图研究未知的恶意软件家族。最后，我们讨论了我们的研究结果对Android恶意软件检测研究的意义，强调了研究社区需要进一步关注的领域。
2020-03-19 cs.CR
MemTraceDB: Reconstructing MySQL User Activity Using ActiviTimeTrace Algorithm
本文提出MemTraceDB工具，利用ActiviTimeTrace算法分析MySQL内存快照，重建用户活动时间线，并发现查询栈容量约9997条，据此给出快照采集频率公式，实现不依赖磁盘日志的取证重建。
2025-09-07 cs.CR cs.DB
Finding Rats in Cats: Detecting Stealthy Attacks using Group Anomaly Detection
Symantec Corporation（赛门铁克公司）；University College Dublin（都柏林大学学院）；The University of Auckland（奥克兰大学）
高级攻击活动跨越多个阶段，并在很长一段时间内保持隐身。攻击者使用现成工具和预安装系统应用程序（如\emph{powershell}和\emph{wmic}）来逃避检测的趋势越来越明显，因为系统管理员和安全分析师也会出于合法目的在日常任务中使用相同的工具。要开始调查，可以从操作系统中收集事件日志;但是，这些日志足够通用，通常无法将潜在攻击归因于特定的攻击组。文献中的最新方法使用了异常检测技术，其目的是区分计算机或网络系统的恶意行为和正常行为。不幸的是，基于点异常的异常检测系统在某种意义上过于严格，它们可能会错过恶意活动并对攻击进行分类，而不是离群值。因此，更好地检测恶意活动是一个研究挑战。为了应对这一挑战，在本文中，我们利用组异常检测（GAD），它检测单个数据点的异常集合。我们的方法是利用对抗自动编码器（AAE- $α$）构建一个神经网络模型，以检测利用现成工具和系统应用程序的攻击者的活动。此外，我们还构建了特定于特征提取任务的\textit{Behavior2Vec}和\textit{Command2Vec}句子嵌入深度学习模型。我们进行了广泛的实验，以评估我们的模型在现实世界的数据集收集了为期两个月。实证结果表明，我们的方法是有效的和强大的发现有针对性的攻击，笔测试，并利用自定义工具的攻击活动。
2019-05-20 cs.AI cs.CR cs.CV
