A Survey on Cross-Architectural IoT Malware Threat Hunting
Simon Fraser University（西蒙菲莎大学）；Huawei Technologies Canada Company Ltd.（华为技术加拿大有限公司）
该综述梳理了跨架构IoT恶意软件检测与分类的最新进展，分析相关特征技术与机器学习模型，指出实际挑战及未来研究方向。
2023-06-09 cs.CR cs.LG
New Era of Deeplearning-Based Malware Intrusion Detection: The Malware Detection and Prediction Based On Deep Learning
随着以深度学习模型为代表的人工智能算法的发展以及在不同领域的成功应用，深度学习技术在网络安全领域也有了进一步的探索。无论是在学术安全研究中，还是在行业实践中，通过深度学习方法处理部分网络安全问题时，与传统规则相比，都表现出了较好的性能。特别是对于恶意软件检测和分类任务，它节省了大量的时间成本，并提高了恶意软件检测系统总流水线的准确性。在本文中，我们构建了特殊的深度神经网络，即MalDeepNet（TB-Malnet和IB-Malnet），用于恶意软件动态行为分类任务。然后构建了基于深度学习的家族聚类算法并进行了相关测试。此外，我们还设计了一个新的恶意软件预测模型，可以检测恶意软件未来通过Mal生成对抗网络（Mal-GAN）的实现。这些算法在以后的相关数据集上具有相当大的应用价值。
2021-10-15 cs.CR cs.LG
Towards interpreting ML-based automated malware detection models: a survey
Beijing Key Laboratory of Security and Privacy in Intelligent Transportation, Beijing Jiaotong University（北京交通大学智能交通信息安全与隐私保护北京市重点实验室）
恶意软件的威胁越来越大，基于传统签名分析的恶意软件检测器不再适合当前的恶意软件检测。近年来，基于机器学习（ML）的模型被开发用于预测未知的恶意软件变体并节省人力。然而，大多数现有的ML模型是黑箱的，这使得它们的预测结果不可靠，因此需要进一步解释才能有效地部署在野外。本文旨在检查和分类现有的研究基于ML的恶意软件检测器的可解释性。本文首先介绍了通用机器学习可解释性的原则、属性、评价指标和分类，并对已有的通用机器学习模型可解释性进行了分组比较。然后，我们研究了对恶意软件检测的解释方法，通过解决解释恶意软件检测器的重要性，这一领域所面临的挑战，解决这些挑战的解决方案，以及近年来对所有最先进的恶意软件检测可解释性工作进行分类的新分类法。我们的调查的重点是提供一个新的分类对恶意软件检测解释方法的基础上，共同的分类总结了以前的研究领域。此外，我们是第一个通过解释方法属性来评估最先进的方法，以生成最终得分，从而为量化可解释性提供洞察力。通过总结近年来的研究成果，希望本文的工作能为对基于ML的恶意软件检测模型的可解释性感兴趣的研究者提供建议。
2021-01-15 cs.CR cs.LG
A Novel Malware Detection Mechanism based on Features Extracted from Converted Malware Binary Images
George Mason University（乔治梅森大学）
几十年来，我们的计算机系统一直受到各种类型的硬件和软件攻击的威胁，恶意软件就是其中之一。这种恶意软件有能力窃取，破坏，污染，获得意外访问，甚至破坏整个系统。已经有通过执行恶意软件文件的静态和动态分析来检测恶意软件的技术，但是，隐形恶意软件已经绕过了静态分析方法，并且对于动态分析，已经有提出不同方法来检测恶意软件的先前工作，但是，在这项工作中，我们提出了一种新的技术来检测恶意软件。我们使用恶意软件的二进制图像，然后从相同的提取不同的功能，然后采用不同的ML分类器的数据集，从而获得。我们表明，这种技术是成功的，在区分类别的恶意软件提取的特征的基础上。
2021-04-14 cs.CR cs.LG
Word Embedding Techniques for Malware Evolution Detection
San Jose State University（圣何塞州立大学）
恶意软件检测是信息安全的一个重要方面。出现的一个困难是，恶意软件往往随着时间的推移而演变。为了保持有效的恶意软件检测，有必要确定恶意软件何时发生演变，以便采取适当的对策。我们进行了各种实验，旨在检测恶意软件家族可能演变的时间点，我们考虑了旨在确认演变实际发生的二次测试。分析了几个恶意软件家族，每个家族都包括在很长一段时间内收集的大量样本。我们的实验表明，使用基于词嵌入技术的特征工程获得了改进的结果。我们所有的实验都是基于机器学习模型，因此我们的进化检测策略需要最少的人为干预，可以很容易地自动化。
2021-03-07 cs.CR cs.LG
Adaptive and Scalable Android Malware Detection through Online Learning
Nanyang Technological University（南洋理工大学）
众所周知，恶意软件不断进化以逃避检测，这导致整个恶意软件群体是不稳定的。与此事实相反，基于机器学习的Android恶意软件检测的现有工作已经假设所观察到的恶意软件特征（即，特征）不随时间改变。在这项工作中，我们解决了恶意软件人口漂移的问题，并提出了一种新的在线机器学习为基础的框架，命名为DroidOL来处理它，并有效地检测恶意软件。为了执行准确的检测，安全敏感行为是使用最先进的图形内核以过程间控制流子图特征的形式从应用程序中捕获的。为了执行可扩展的检测，并适应在恶意软件种群的漂移和演变，一个在线的被动攻击分类器。在对87，000多个应用程序的大规模比较分析中，DroidOL实现了84.29%的准确率，在典型的批处理学习设置中比两种最先进的恶意软件技术高出20%以上，在持续重新训练时高出3%以上。我们的实验结果强烈表明，在线学习为基础的方法是非常适合现实世界的恶意软件检测。
2016-09-26 cs.CR cs.LG
A Malware Classification Survey on Adversarial Attacks and Defences
该综述梳理了网络安全领域恶意软件分类方向的对抗攻击与防御研究，将方法分为四类并分析优劣，介绍了常用数据集与评估标准，指出了开放研究难点与未来方向，为相关研究者和从业者提供参考。
2023-12-15 cs.CR cs.LG
Black-Box Attacks against RNN based Malware Detection Algorithms
Peking University（北京大学）
最近的研究表明，基于机器学习的恶意软件检测算法在对抗性样本的攻击下非常脆弱。这些工作主要集中在使用具有固定维度的特征的检测算法，而一些研究人员已经开始使用递归神经网络（RNN）来检测基于序列API特征的恶意软件。本文提出了一种新的算法来生成序列对抗性的例子，这是用来攻击基于RNN的恶意软件检测系统。恶意攻击者通常很难知道受害RNN的确切结构和权重。替代RNN被训练成近似受害者RNN。然后，我们提出了一个生成RNN，从原始的序列恶意软件输入中输出序列对抗性示例。实验结果表明，基于RNN的恶意软件检测算法无法检测到大多数恶意对抗样本，这意味着该模型能够有效地绕过检测算法。
2017-05-23 cs.CR cs.LG
Evolution and Detection of Polymorphic and Metamorphic Malwares: A Survey
恶意软件是数字世界的巨大威胁，并以高复杂性发展。它可以渗透网络，从计算机窃取机密信息，使服务器瘫痪，并可以削弱基础设施等，以打击威胁/攻击的恶意软件，反恶意软件已经开发。现有的反恶意软件大多基于恶意软件结构不会发生明显变化的假设。但是，第二代恶意软件的最新进展可能会产生变种，因此对反恶意软件开发人员构成了挑战。为了打击来自第二代恶意软件的威胁/攻击，低虚警，我们提出了我们的调查恶意软件及其检测技术。
2015-12-02 cs.CR
Analysis of Bayesian Classification based Approaches for Android Malware Detection
移动恶意软件的规模和复杂性一直在增长，这是由全球智能手机的持续增长所推动的。Android正在迅速成为最受欢迎的移动平台，导致针对该平台的恶意软件急剧增加。此外，Android恶意软件正在迅速发展，以逃避传统的基于签名的扫描检测。尽管目前的检测措施到位，及时发现新的恶意软件仍然是一个关键问题。这就需要新的方法来缓解零日Android恶意软件日益增长的威胁。因此，在本文中，我们开发和分析基于贝叶斯分类的主动机器学习方法，旨在通过静态分析发现未知的Android恶意软件。该研究基于大多数现有系列的大型恶意软件样本集，展示了高准确性的检测能力。实证结果和比较分析提供了有用的洞察力，有效的静态分析贝叶斯分类为基础的解决方案，用于检测未知的Android恶意软件的发展。
2016-08-20 cs.CR cs.LG
A Comparison of Static, Dynamic, and Hybrid Analysis for Malware Detection
San Jose State University（圣何塞州立大学）；Università degli Studi del Sannio（桑尼奥大学）
在这项研究中，我们比较了基于静态，动态和混合分析的恶意软件检测技术。具体来说，我们训练隐马尔可夫模型（HALTH）的静态和动态功能集，并比较了大量的恶意软件家族的检测率。我们还考虑混合的情况下，其中动态分析用于在训练阶段，与静态技术用于检测阶段，反之亦然。在我们的实验中，完全动态的方法通常会产生最佳的检测率。我们讨论了这项研究的影响，基于混合技术的恶意软件检测。
2022-03-13 cs.CR cs.LG
Machine Learning for Malware Evolution Detection
San Jose State University（圣何塞州立大学）
恶意软件会随着时间的推移而演变，防病毒软件必须适应这种演变。因此，关键是要及时检测恶意软件已经发展的那些点，以便采取适当的对策。在这项研究中，我们对大量的恶意软件家族进行了各种实验，以确定恶意软件演变可能发生的时间。我们考虑的所有进化检测技术都基于机器学习，并且可以完全自动化-特别是，不需要逆向工程或其他劳动密集型手动分析。具体来说，我们考虑基于隐马尔可夫模型（HMM）和词嵌入技术HMM 2 Vec和Word 2 Vec的分析。
2021-07-04 cs.CR cs.LG
Review of Deep Learning-based Malware Detection for Android and Windows System
Chosun University（朝鲜大学）
本文综述了分别针对Windows和Android系统的两种AI赋能恶意软件检测技术，二者在检测多种恶意软件家族时均达到完美准确率，证明AI方法能有效对抗具备混淆能力的现代恶意软件。
2023-07-04 cs.CR cs.LG
Android Malware Detection Using Autoencoder
North China Electric Power University（华北电力大学）
智能手机已经成为人类生活中不可或缺的一部分。智能手机统一了各种先进的特性。它使用户能够存储各种数据，如照片，健康数据，凭证银行数据和个人信息。Android操作系统是流行的移动操作系统，同时也是恶意软件开发者最有针对性的操作系统。最近，Android恶意软件的空前发展给研究人员带来了压力，要求他们提出有效的方法来抑制恶意软件的传播。在本文中，我们提出了一种用于Android恶意软件检测的深度学习方法。该方法研究了五种不同的特征集，并应用Autoencoder来识别恶意软件。实验结果表明，该方法能够有效地识别恶意软件，具有较高的准确率。
2019-01-14 cs.CR cs.LG
Mal2GCN: A Robust Malware Detection Approach Using Deep Graph Convolutional Networks With Non-Negative Weights
Sharif University of Technology（谢里夫理工大学）
随着使用深度学习（DL）解决各种问题的步伐越来越快，保护这些模型免受攻击已成为研究人员的主要关注点之一。最近的研究表明，基于DL的恶意软件检测器容易受到对抗性示例的攻击。攻击者可以创建精心制作的对抗性示例，以逃避基于DL的恶意软件检测器。在本文中，我们提出了Mal2GCN，一个强大的恶意软件检测模型，使用函数调用图（FCG）表示的可执行文件结合图卷积网络（GCN）来检测Windows恶意软件。由于可执行文件的FCG表示比原始字节序列表示更鲁棒，因此许多提出的对抗性示例生成方法在规避Mal2GCN方面是无效的。此外，我们使用非负训练方法将Mal2GCN转换为单调非减函数，从而在理论上对附加攻击具有鲁棒性。然后，我们提出了一个黑盒源代码为基础的对抗性恶意软件生成方法，可用于评估恶意软件检测模型对现实世界的对手的鲁棒性。所提出的方法将对抗代码注入恶意软件源代码的各个位置，以逃避恶意软件检测模型。实验表明，非负权值的Mal2GCN在检测Windows恶意软件时具有较高的准确率，并且对恶意软件源代码中添加良性特征的对抗攻击具有较强的鲁棒性。
2022-03-12 cs.CR cs.LG
Identification of Significant Permissions for Efficient Android Malware Detection
BITS Pilani（BITS Pilani（比拉斯布尔理工学院））；Microsoft R&D（微软研发部门）
自从谷歌推出智能手机Android操作系统以来，恶意软件正以3V（即数量、速度和多样性）蓬勃发展。最近的一份报告显示，每五个企业/行业移动应用程序中就有一个泄露敏感的个人数据。传统的基于签名/密码学的恶意软件检测系统无法应对当前的恶意软件挑战，从而威胁到Android生态系统。因此，最近研究人员已经开始探索基于机器学习和深度学习的恶意软件检测系统。在本文中，我们进行了全面的特征分析，以确定显着的Android权限，并提出了一个有效的Android恶意软件检测系统，使用机器学习和深度神经网络。我们构建了一组$16$权限（总集合的$8\%$），这些权限来自方差阈值、自动编码器和主成分分析，以构建一个恶意软件检测引擎，该引擎消耗较少的训练和测试时间，而不会显著影响模型准确性。实验结果表明，基于随机森林分类器的Android恶意软件检测模型是最均衡的，达到了最高的曲线下面积分数$97.7\%$，优于当前最先进的系统。我们还观察到，深度神经网络达到了与基线结果相当的准确性，但计算量很大。
2021-02-28 cs.CR cs.LG
A Survey of Malware Detection Using Deep Learning
University of Colorado Colorado Springs（科罗拉多大学科罗拉多斯普林斯分校）
本文综述了深度学习在多操作系统恶意软件检测中的应用，分析了预训练与多任务学习模型的效果，探讨了模型可解释性及对抗攻击等挑战，并考察了八种主流深度学习方法。
2024-07-27 cs.CR cs.LG
An Efficient Detection of Malware by Naive Bayes Classifier Using GPGPU
BITS, Pilani（皮拉尼贝拉技术科学学院）
由于计算设备中恶意软件和文件的数量不断增加（根据AV-Test Institute，已知的恶意软件总数约为8 x 10^8，并且每天注册约2.5 x 10^4恶意软件），设计一个不仅有效而且还可以有效检测新的或以前未见过的恶意软件以防止/最小化损害的系统非常重要。因此，本文提出了一种新的分组方法，通过使用GPGPU的功能并行分类来有效检测恶意软件，并表明通过使用朴素贝叶斯分类器，检测速度可以提高到200倍。研究还表明，分类时间显着增加的特征的数量。
2019-05-30 cs.CR cs.LG
Survey of Malware Analysis through Control Flow Graph using Machine Learning
Mississippi State University（密西西比州立大学）
本综述系统梳理了基于控制流图与机器学习进行恶意软件检测的方法，涵盖特征提取、表示与分类技术，并分析了挑战与未来方向。
2023-06-20 cs.CR cs.LG
A novel DL approach to PE malware detection: exploring Glove vectorization, MCC_RCNN and feature fusion
Beijing Key Laboratory of Security and Privacy in Intelligent Transportation, Beijing Jiaotong University（北京交通大学智能交通信息安全与隐私保护北京市重点实验室）
近年来，恶意软件变得更具威胁性。关于不断增加的恶意软件变体，出现了基于机器学习（ML）和基于深度学习（DL）的启发式检测方法。然而，两者的预测精度都有待提高。针对PE恶意软件领域中的上述问题，我们提出了基于DL的检测方法，并使用基于静态的特征馈送到模型中。本文的主要贡献如下：概括了现有的恶意软件检测方法。提出了一种基于Glove的恶意软件指令层和语义层的矢量化表示模型。我们实现了一个称为MCC_R CNN（恶意软件检测和递归卷积神经网络）的神经网络模型，包括CNN和RNN的组合。此外，我们提供了一个描述的特征融合在静态行为水平。通过对基于手套的矢量化、基于MCC_RCNN的分类方法和特征融合阶段的比较实验，我们提出的分类方法可以获得比其他基线方法更高的预测精度。
2021-02-04 cs.CR cs.LG
High Accuracy Android Malware Detection Using Ensemble Learning
Android在Google官方市场上的下载量超过500亿次，应用程序超过130万个，在全球智能手机用户中继续受到欢迎。与此同时，针对该平台的恶意软件也在增加，最近的病毒株采用了高度复杂的检测规避技术。由于传统的基于签名的方法在检测未知恶意软件方面变得不那么有效，因此需要替代方法来及时进行零日发现。因此，本文提出了一种利用集成学习进行Android恶意软件检测的方法。它将静态分析的优势与集成机器学习的效率和性能相结合，以提高Android恶意软件检测的准确性。机器学习模型是使用来自领先防病毒供应商的恶意软件样本和良性应用程序的大型存储库构建的。实验结果和分析表明，该方法使用一个大的特征空间，利用集成学习的力量是能够检测准确率为97.3%至99%，误报率非常低。
2016-08-02 cs.CR cs.LG
Deep Image: A precious image based deep learning method for online malware detection in IoT Environment
Shiraz University of Technology（设拉子理工大学）；University of Surrey（萨里大学）；Zhongnan University of Economics and Law（中南财经政法大学）
物联网设备中的恶意软件数量和攻击数量每天都在上升，这鼓励安全专业人员不断增强他们的恶意软件分析工具。网络安全领域的研究人员已经广泛探索了复杂分析的使用和恶意软件检测的效率。随着新的恶意软件种类和攻击路线的引入，安全专家在开发高效的恶意软件检测和分析解决方案方面面临着巨大的挑战。本文从不同的角度对恶意软件进行分析，计算每个样本特征的风险等级，并在此基础上计算该样本的风险等级。通过这种方式，引入了一个标准，该标准与准确性和FPR标准一起用于物联网环境中的恶意软件分析。在本文中，提出了三种基于可视化技术的恶意软件检测方法，称为聚类方法，概率方法和深度学习方法。然后，除了通常的机器学习标准，即准确性和FPR之外，还使用了基于样本风险的建议标准进行比较，结果表明深度学习方法在检测恶意软件方面表现更好
2022-04-04 cs.CR cs.LG
Android Malware Detection Based on RGB Images and Multi-feature Fusion
Beijing Electronic Science and Technology Institute（北京电子科技学院）
本文提出一种基于RGB图像和多特征融合的Android恶意软件端到端检测方法，通过提取DEX、AndroidManifest.xml和API调用并组合为RGB图像，准确率达97.25%，优于现有方法。
2024-08-29 cs.CR cs.LG
MADCAT: Combating Malware Detection Under Concept Drift with Test-Time Adaptation
MADCAT是一种自监督的编码器-解码器方法，通过测试时训练编码器，在Android恶意软件检测中有效应对概念漂移，持续优于基线方法。
2025-05-24 cs.CR cs.LG
Deep Learning and Open Set Malware Classification: A Survey
Florida Institute of Technology（佛罗里达理工学院）
随着互联网的迅速发展，恶意软件已经成为互联网用户面临的主要威胁之一。随着恶意软件的急剧增加，利用最新的机器学习技术将恶意软件分类到已知的恶意软件家族中，并对未知的恶意软件进行识别，这就涉及到机器学习中的开集识别（OSR）问题。最近的机器学习工作已经从不同的场景中揭示了开集识别（OSR）。在未知训练样本缺失的情况下，OSR系统不仅要对已知类别进行正确分类，还要对未知类别进行识别。本调查概述了不同的深度学习技术，讨论了OSR和图形表示解决方案，并介绍了恶意软件分类系统。
2020-04-08 cs.CR cs.LG stat.ML
Detection of Advanced Malware by Machine Learning Techniques
National Institute of Technical Teachers Training and Research（国家技术教师培训与研究所）；BITS（比尔拉科学技术学院）
在当今的数字世界中，大多数反恶意软件工具都是基于签名的，这对于检测高级未知恶意软件即变形恶意软件是无效的。在本文中，我们研究的频率的操作码出现，以检测未知的恶意软件，通过使用机器学习技术。为此，我们使用了Kaggle Microsoft恶意软件分类挑战数据集。比较了Fisher评分、信息增益、增益比、卡方和对称不确定性特征选择方法得到的前20个特征。我们还研究了基于WEKA GUI的机器学习工具中的多个分类器，发现其中五个（随机森林，LMT，NBT，J48 Graft和REPTree）检测恶意软件的准确率几乎为100%。
2019-03-07 cs.CR cs.LG
TUANDROMD-X: Advanced Entropy and Visual Analytics Dataset for Enhanced Malware Detection and Classification
Department of Computer Science and Engineering, Tezpur University（计算机科学与工程系，泰浦大学）；Computer Science, College of Engineering and Applied Science, University of Colorado（计算机科学，工程与应用科学学院，科罗拉多大学）
本文提出TUANDROMD-X数据集，通过熵和可视化特征区分恶意软件与良性软件，提升恶意软件检测效率。
2026-05-07 cs.CR cs.LG
Burning the Adversarial Bridges: Robust Windows Malware Detection Against Binary-level Mutations
Meta Inc.（Meta公司）；Visa Research（Visa研究院）；University of Central Florida（中佛罗里达大学）
本研究针对现有恶意软件检测系统易受二进制级对抗变异攻击的问题，提出三种预处理步骤缩减攻击面，并设计基于图的段依赖信息提取方案，在对抗攻击下仍保持较高检测准确率。
2023-10-05 cs.CR cs.LG
Towards Robust Real-Time Hardware-based Mobile Malware Detection using Multiple Instance Learning Formulation
针对实时硬件恶意软件检测中良性片段被误标记导致假阳性增加的问题，本研究提出RT-HMD检测器，利用多示例学习框架和恶意判别得分细化时间序列表示，有效识别局部恶意行为，在保持召回率的同时提升了5%的精确率。
2024-04-19 cs.CR cs.LG
Hidden Markov Models with Random Restarts vs Boosting for Malware Detection
San Jose State University（圣何塞州立大学）
本研究针对恶意软件检测任务，对比了采用AdaBoost的提升式隐马尔可夫模型与多次随机重启训练的隐马尔可夫模型，发现随机重启表现优异，仅在训练数据严重不足的冷启动场景下提升方法的收益才足以覆盖其更高的计算成本。
2023-07-17 cs.CR cs.LG
Arms Race in Adversarial Malware Detection: A Survey
University of Texas at San Antonio（德克萨斯大学圣安东尼奥分校）；Nanjing University of Science and Technology（南京理工大学）；Case Western Reserve University（凯斯西储大学）；University of Colorado Colorado Springs（科罗拉多大学科罗拉多斯普林斯分校）
恶意软件（malware）是一种主要的网络威胁，必须使用机器学习（ML）技术来解决，因为每天都有数百万个新的恶意软件示例注入网络空间。然而，ML容易受到被称为对抗性示例的攻击。在本文中，我们通过假设，攻击，防御和安全属性的统一概念框架的镜头来调查和系统化对抗性恶意软件检测（AMD）领域。这不仅使我们能够将攻击和防御映射到偏序结构，还使我们能够清楚地描述AMD背景下的攻击-防御军备竞赛。我们得出了一些见解，包括：知道防御者的特征集是成功的转移攻击的关键;实际规避攻击的有效性在很大程度上取决于攻击者在问题空间中进行操纵的自由度;知道攻击者的操纵集是防御者成功的关键;对抗训练的效果取决于防守者识别最强攻击的能力。我们还讨论了一些未来的研究方向。
2021-08-31 cs.CR cs.LG
Generating Adversarial Malware Examples for Black-Box Attacks Based on GAN
Peking University（北京大学）
近年来，机器学习已被用于检测新的恶意软件，而恶意软件作者具有攻击此类算法的强烈动机。恶意软件作者通常无法访问恶意软件检测系统使用的机器学习模型的详细结构和参数，因此他们只能执行黑盒攻击。本文提出了一种基于生成对抗网络（GAN）的算法MalGAN来生成对抗恶意软件示例，该示例能够绕过基于黑盒机器学习的检测模型。MalGAN使用替代检测器来适应黑盒恶意软件检测系统。生成网络被训练以最小化由替代检测器预测的生成的对抗性示例的恶意概率。与传统的基于梯度的对抗性示例生成算法相比，MalGAN的优势在于，MalGAN能够将检测率降低到几乎为零，并且使基于再训练的对抗性示例防御方法难以工作。
2017-02-20 cs.CR cs.LG
Contextual Weisfeiler-Lehman Graph Kernel For Malware Detection
Nanyang Technological University（南洋理工大学）
在本文中，我们提出了一种新的图形内核，专门解决网络安全领域的一个具有挑战性的问题，即恶意软件检测。先前的研究已经揭示了以下内容：（1）程序的图形表示非常适合于恶意软件检测，因为它们对几种攻击是鲁棒的，（2）除了捕获拓扑邻域（即，结构信息），重要的是从这些图中捕获邻域可达的上下文以准确地检测恶意邻域。我们观察到，国家的最先进的图形内核，如Weisfeiler-Lehman内核（WLK）捕捉结构信息，但未能捕捉上下文信息。为了解决这个问题，我们开发了上下文Weisfeiler-Lehman内核（CWLK），它能够捕获这两种类型的信息。我们表明，对于恶意软件检测问题，CWLK更有表现力，因此比WLK更准确，同时保持相当的效率。通过我们对50，000多个真实Android应用程序的大规模实验，我们证明CWLK在保持高效率的同时，分别比两种最先进的图形内核（包括WLK）和三种恶意软件检测技术的性能高出5.27%和4.87%以上。这种高准确性和效率使CWLK适合大规模现实世界的恶意软件检测。
2016-06-21 cs.CR cs.LG
Leveraging Uncertainty for Improved Static Malware Detection Under Extreme False Positive Constraints
Laboratory for Physical Sciences（物理科学实验室）；Booz Allen Hamilton（博思艾伦汉密尔顿公司）；University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
恶意软件的检测是保护计算环境的关键任务。这项任务通常需要极低的误报率（FPR），为0.01%甚至更低，现代机器学习没有现成的工具。我们介绍了第一次广泛的调查使用的不确定性的恶意软件检测跨多个数据集，模型和功能类型。我们展示了如何集成和贝叶斯处理静态恶意软件检测的机器学习方法，允许改进识别模型错误，发现新的恶意软件家族，并在极端误报约束下的预测性能。特别是，我们在Sophos行业规模数据集上的最佳性能模型类上，将实际实现FPR为1 e-5时的真阳性率（TPR）从之前方法的预期0.69提高到0.80。我们还演示了以前的作品如何使用的评估协议，可能会导致误导性的结果。
2021-08-09 cs.CR cs.LG
DRMD: Deep Reinforcement Learning for Malware Detection under Concept Drift
King’s College London（伦敦国王学院）；The Alan Turing Institute（艾伦·图灵研究所）；University College London（伦敦大学学院）
本文提出DRMD，通过深度强化学习在Android恶意软件检测中应对概念漂移，提升检测性能和抗漂移能力，实验显示其在时间感知评估中优于传统方法。
2025-11-14 cs.CR cs.LG
Malware Detection using Machine Learning and Deep Learning
BITS, Pilani（博拉理工学院皮拉尼校区）
研究表明，在过去十年中，恶意软件呈指数级增长，给各种组织造成了巨大的经济损失。不同的反恶意软件公司一直在提出解决方案来防御这些恶意软件的攻击。恶意软件的速度、数量和复杂性给反恶意软件社区带来了新的挑战。目前最先进的研究表明，最近，研究人员和反病毒组织开始应用机器学习和深度学习方法进行恶意软件分析和检测。我们已经使用操作码频率作为特征向量，并且除了用于恶意软件分类的监督学习之外还应用无监督学习。本教程的重点是介绍我们使用1）各种机器学习算法和2）深度学习模型检测恶意软件的工作。我们的研究结果表明，随机森林优于深度神经网络与操作码频率作为一个特征。此外，在特征缩减方面，深度自动编码器对数据集来说是矫枉过正的，而像方差阈值这样的基本函数比其他函数表现得更好。除了提出的方法，我们还将讨论其他问题和领域的独特挑战，开放的研究问题，局限性和未来的发展方向。
2019-04-04 cs.CR cs.LG
Advances In Malware Detection- An Overview
近几十年来，由于恶意软件使用了各种新的混淆技术，恶意软件已经成为网络攻击中广泛使用的手段。为了保护系统、数据和信息，需要尽早检测恶意软件。有各种研究的恶意软件检测技术已经完成，但没有一种方法，可以完全检测恶意软件，使恶意软件检测的问题。静态恶意软件分析对已知恶意软件非常有效，但它对零日恶意软件不起作用，这导致需要动态恶意软件检测，并且基于行为的恶意软件检测在所有检测技术中相对较好，例如基于签名的，基于深度学习的，移动/物联网和基于云的检测，但它仍然无法检测所有零日恶意软件，这表明恶意软件检测是非常具有挑战性的任务，需要更多的恶意软件检测技术。本文介绍了各种恶意软件检测方法的文献综述。每种方法的简短描述，并讨论了各种研究已经完成的先进的恶意软件检测领域和它们的比较的基础上使用的检测方法，准确性和其他参数。除此之外，我们将讨论各种恶意软件检测工具，数据集及其来源，可用于进一步研究。本文为您提供了高级恶意软件的详细知识，其检测方法，如何保护您的设备和数据免受恶意软件攻击，并比较了恶意软件检测的不同研究。
2021-05-08 cs.CR
Detection of Malicious Android Applications: Classical Machine Learning vs. Deep Neural Network Integrated with Clustering
BITS Pilani（毕尔巴鄂理工学院）；Microsoft R&D（微软研发部门）
今天，反恶意软件社区正面临着挑战，由于不断增加的复杂性和数量的恶意软件攻击的对手开发。传统的恶意软件检测机制无法应对下一代恶意软件攻击。因此，在本文中，我们提出了基于机器学习和结合聚类的深度学习的有效且高效的Android恶意软件检测模型。我们对不同的特征约简、分类和聚类算法在不同性能指标上进行了全面的研究，以构建Android恶意软件检测模型。我们的实验结果表明，使用随机森林开发的恶意软件检测模型在大多数性能指标上超过了深度神经网络和其他分类器。没有任何特征减少的基线随机森林模型达到了99.4%的最高AUC。此外，使用与随机森林集成的聚类对向量空间进行隔离，进一步将一个聚类中的AUC提高到99.6%，并在另一个聚类中直接检测Android恶意软件，从而减少了维数灾难。此外，我们发现检测模型中的特征减少确实提高了模型效率（训练和测试时间），而不会对检测模型的有效性造成太大影响。
2021-02-28 cs.CR cs.LG
MG-DVD: A Real-time Framework for Malware Variant Detection Based on Dynamic Heterogeneous Graph Learning
Beihang University（北京航空航天大学）；Beijing Advanced Innovation Center for Big Data and Brain Computing, Beihang University（北京航空航天大学大数据与脑计算高精尖创新中心）
实时的检测新出现的恶意软件变体对于减轻网络风险和主动阻止入侵至关重要。在本文中，我们提出了MG-DVD，一种新的检测框架的基础上动态异构图学习，检测恶意软件变种实时的。特别地，MG-DVD首先将恶意软件变体的细粒度执行事件流建模为动态异构图，并调查恶意软件对象之间的真实世界元图，这可以有效地表征恶意软件及其变体之间更具区分性的恶意演化模式。然后，MG-DVD提出了两种基于动态行走的异构图学习方法来学习更全面的恶意软件变体表示，这大大降低了整个图再训练的成本。因此，MG-DVD具有实时的检测恶意软件变体的能力，并通过引入有意义的元图来提供更好的可解释性。大规模样本的综合实验证明，我们提出的MG-DVD优于国家的最先进的方法在检测恶意软件变种的有效性和效率。
2021-06-24 cs.CR cs.LG
ML-based IoT Malware Detection Under Adversarial Settings: A Systematic Evaluation
University of Central Florida（中佛罗里达大学）；Wayne State University（韦恩州立大学）；Ewha Womans University（梨花女子大学）
物联网（IoT）设备的快速增长使它们处于恶意攻击的前线。这导致了物联网恶意软件数量的爆炸式增长，并不断发生突变，进化和复杂性。这些恶意软件使用机器学习（ML）算法以及传统的基于签名的方法来检测。虽然基于ML的检测器提高了检测性能，但它们容易受到恶意软件演变和复杂性的影响，使它们仅限于它们所训练的模式。这种持续的趋势促使大量关于恶意软件分析和检测研究的文献不断涌现，许多系统不断涌现，并且表现优于其前辈。在这项工作中，我们系统地研究了最先进的恶意软件检测方法，这些方法在一系列对抗性设置下利用各种表示和学习技术。我们的分析强调了所提出的检测器在学习模式中的不稳定性，这些模式将良性软件与恶意软件区分开来。结果表明，软件突变与功能保持操作，如剥离和填充，显着恶化的准确性，这样的检测器。此外，我们对行业标准恶意软件检测器的分析显示了它们对恶意软件突变的不稳定性。
2021-08-30 cs.CR cs.LG
On the Performance of Malware Detection Classifiers Using Hardware Performance Counters
University of California（加利福尼亚大学）；ECE Department（电子与计算机工程系）
该研究提出用硬件性能计数器（HPC）结合机器学习分类器进行运行时恶意软件检测，采用集成学习技术减少所需HPC数量，实验表明其性能优于或匹配更多HPC的标准检测器，提升了处理器效率。
2026-08-05 cs.CR cs.LG
Evaluating the Robustness of a Production Malware Detection System to Transferable Adversarial Attacks
Google Deepmind（谷歌DeepMind）；Google（谷歌）
本文以Gmail依赖Magika模型的恶意软件检测流水线为案例，研究发现仅修改13字节即可90%绕过检测，同时提出防御方案使高资源攻击者需改50字节才达20%成功率，且该方案已上线生产环境。
2025-10-02 cs.CR cs.LG
Design of secure and robust cognitive system for malware detection
George Mason University（乔治梅森大学）
基于机器学习的恶意软件检测技术依赖于恶意软件的灰度图像，并且倾向于基于灰度图像中的纹理分布来对恶意软件进行分类。尽管机器学习技术显示出了进步和有希望的结果，但攻击者可以通过生成对抗性样本来利用漏洞。对抗样本是通过智能地制作并向输入样本添加扰动来生成的。存在大多数基于软件的对抗攻击和防御。现有的基于机器学习和灰度图像的恶意软件检测方法需要对恶意数据进行预处理，以抵御恶意攻击。这可能会导致额外的开销，并可能延长实时恶意软件检测。因此，作为替代方案，我们探索基于RRAM（电阻式随机存取存储器）的防御对手。因此，本论文的目的是解决上述关键的系统安全问题。通过展示所提出的设计安全和鲁棒的认知系统的技术来解决上述挑战。首先，提出了一种新的技术来检测隐形恶意软件。该技术使用恶意软件的二进制图像，然后从相同的提取不同的功能，然后采用不同的ML分类器的数据集，从而获得。结果表明，这种技术是成功的，在区分类的恶意软件的基础上提取的特征。其次，我展示了对抗攻击的影响，可重构的RRAM神经形态架构与不同的学习算法和设备特性。我还提出了一个集成的解决方案，用于减轻对抗攻击的影响，使用可重构RRAM架构。
2022-08-03 cs.CR cs.LG
AMD-FCG: An Enhanced Function Call Graph Dataset with Integrated Topological Features for Malware Detection and Classification
School of Cyber Security and Digital Forensics, National Forensic Sciences University（网络安全与数字取证学院，国家刑事科学大学）；Department of Computer Science and Engineering, Tezpur University（计算机科学与工程系，特兹pur大学）；College of Engineering and Applied Science, University of Colorado（工程与应用科学学院，科罗拉多大学）
本文提出AMD-FCG数据集，通过集成恶意软件的拓扑特征增强函数调用图，以简化检测流程并消除动态分析需求，从而提升恶意软件检测的准确性和鲁棒性。
2026-06-05 cs.CR cs.LG
A New Android Malware Detection Approach Using Bayesian Classification
McAfee Labs（迈克菲实验室）
随着智能手机使用量的不断增加，移动恶意软件的规模和复杂性也在不断增长。Android已经超过其他移动平台成为最受欢迎的平台，同时也见证了针对该平台的恶意软件的急剧增加。一个令人担忧的趋势是，Android恶意软件越来越复杂，以逃避传统的基于签名的扫描仪的检测。因此，Android应用市场仍然存在托管恶意应用程序的风险，这些应用程序可以在被毫无戒心的用户下载之前逃避检测。因此，在本文中，我们提出了一种有效的方法来缓解这个问题的基础上获得静态代码分析的贝叶斯分类模型。这些模型是从代码和应用程序特征的集合中构建的，这些特征提供了潜在恶意活动的指标。该模型与真实的恶意软件样本在野外进行评估，实验结果表明，所提出的方法的有效性。
2016-08-02 cs.CR cs.LG
A Feature Set of Small Size for the PDF Malware Detection
Univ. of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
针对PDF恶意软件检测中特征选择复杂的问题，提出仅含12个特征的小规模特征集，无需深入领域知识，经六种机器学习模型验证，Random Forest达到99.75%准确率，性能与使用大规模特征集的先进方法相当。
2023-08-10 cs.CR cs.LG
LLM-Generated Samples for Android Malware Detection
University of Brighton（布莱顿大学）
本研究利用大语言模型生成Android恶意软件样本，通过微调GPT-4.1-mini提升检测性能，发现合成数据能有效补充有限数据集，但单独使用效果有限。
2025-09-30 cs.CR cs.LG
ADAPT: A Pseudo-labeling Approach to Combat Concept Drift in Malware Detection
Rochester Institute of Technology（罗切斯特理工学院）；University of Texas El Paso（德克萨斯理工大学）
ADAPT提出一种模型无关的伪标签半监督算法，在五个跨Android、Windows和PDF的恶意软件数据集上对抗概念漂移，持续优于基线，降低标注成本。
2025-08-03 cs.CR cs.LG
A Comparison of Adversarial Learning Techniques for Malware Detection
Czech Technical University in Prague（布拉格捷克技术大学）；Faculty of Information Technology（信息技术学院）；San Jose State University（圣何塞州立大学）
本文针对恶意 Windows PE 文件，比较基于梯度、进化算法和强化学习的对抗样本生成方法，发现 Gym-malware 实用性最强且组合使用逃避率最高。
2023-08-19 cs.CR cs.LG
Trident: Improving Malware Detection with LLMs and Behavioral Features
University of California, Berkeley（加州大学伯克利分校）
本文提出Trident系统，结合静态特征、行为规则和LLM分析，提升恶意软件检测性能，优于传统方法并具备更强的抗概念漂移能力。
2026-08-25 cs.CR cs.LG
Malware Resistant Data Protection in Hyper-connected Networks: A survey
该综述针对现有研究未同时涵盖恶意软件攻击模式与防御策略的空白，整合了现代复杂恶意软件的攻击模式分类与基于机器学习的检测方法，梳理了分析技术并指出未来研究方向。
2023-07-24 cs.CR
Android Malware Category and Family Detection and Identification using Machine Learning
Al-Azhar University（爱资哈尔大学）；Egyptian Chinese University（埃中大学）
Android恶意软件是互联网上最危险的威胁之一，并且多年来一直在上升。尽管在从无害的android应用程序中检测和分类android恶意软件方面付出了巨大的努力，但还有很长的路要走。因此，需要对最常见的Android恶意软件类别和系列所显示的行为进行基本了解。每个Android恶意软件家族和类别都有不同的目标。因此，它影响了每个企业领域，包括医疗保健、银行、运输、政府和电子商务。本文提出了两种机器学习方法用于Android恶意软件的动态分析：一种用于检测和识别Android恶意软件类别，另一种用于检测和识别Android恶意软件家族。我们的方法在Android恶意软件类别检测中达到了96%以上的准确率，在Android恶意软件家族检测中达到了99%以上的准确率。我们的方法提供了一种对Android恶意软件进行高准确性动态分析的方法，同时还缩短了分析智能手机恶意软件所需的时间。
2021-07-05 cs.AI cs.CR cs.LG
Flexible Android Malware Detection Model based on Generative Adversarial Networks with Code Tensor
Alibaba Group（阿里巴巴集团）；Huazhong University of Science and Technology（华中科技大学）；Xi’an International Studies University（西安外国语大学）
恶意软件威胁的行为正在逐渐增加，提高了对恶意软件检测的需求。然而，现有的恶意软件检测方法仅针对已有的恶意样本，对新的恶意代码和恶意代码变种的检测能力有限。在本文中，我们提出了一种新的方案，检测恶意软件及其变种有效。基于生成对抗网络（GANs）的思想，获取符合真实恶意软件特征的“真实”样本分布，利用它们欺骗恶意软件，从而实现对恶意代码攻击的防御，提高恶意软件检测能力。首先，提出了一种新的Android恶意软件APK对图像纹理特征提取的分割方法--分段自生长纹理分割算法。其次，基于低秩的张量奇异值分解（tSVD）将不同大小的恶意特征统一转换为固定的三阶张量，输入神经网络进行训练学习。最后，提出了一种基于带代码张量的GANs（MTFD-GANs）的Android恶意软件检测模型。实验结果表明，该模型总体上优于传统的恶意软件检测模型，最高效率提高了41.6%.同时，GANs生成器新生成的样本极大地丰富了样本多样性。对恶意软件检测器进行再训练，可以有效提高传统模型的检测效率和鲁棒性。
2022-10-25 cs.AI cs.CR cs.LG
HAPSSA: Holistic Approach to PDF Malware Detection Using Signal and Statistical Analysis
Mayachitra, Inc.（Mayachitra公司）；U.S. Naval Research Laboratory（美国海军研究实验室）；UC Santa Barbara（加州大学圣塔芭芭拉分校）
恶意PDF文档对各种安全组织构成严重威胁，这些组织需要现代威胁情报平台来有效分析和表征PDF恶意软件的身份和行为。最先进的方法使用机器学习（ML）来学习表征PDF恶意软件的特征。然而，ML模型通常容易受到规避攻击，其中对手混淆恶意软件代码以避免被防病毒软件检测到。在本文中，我们得出了一个简单而有效的整体方法来检测PDF恶意软件，利用信号和统计分析的恶意软件二进制文件。这包括组合来自各种静态和动态恶意软件检测方法的正交特征空间模型，以在面对代码混淆时实现通用鲁棒性。使用包含恶意软件和良性样本的近30，000个PDF文件的数据集，我们表明我们的整体方法保持了PDF恶意软件的高检测率（99.92%），甚至可以检测到通过简单方法创建的新恶意文件，这些方法可以删除恶意软件作者为隐藏其恶意软件而进行的混淆，而大多数反病毒软件都无法检测到。
2021-11-08 cs.CR cs.LG eess.SP
