基于静态多特征融合的恶意软件分类方法

doi:10.11959/j.issn.2096-109x.2017.00217

网络与信息安全学报 ›› 2017, Vol. 3 ›› Issue (11): 68-76.doi: 10.11959/j.issn.2096-109x.2017.00217

• 学术论文 • 上一篇

基于静态多特征融合的恶意软件分类方法

孙博文¹(),黄炎裔¹,温俏琨²,田斌³,吴鹏⁴,李祺¹

¹ 北京邮电大学网络空间安全学院天地互联与融合北京市重点实验室，北京 100876
² 北京邮电大学国际学院，北京 100876
³ 中国信息安全测评中心，北京 100085
⁴ 四川大学计算机学院，四川成都 610015

修回日期:2017-10-29 出版日期:2017-11-01 发布日期:2017-11-30
作者简介:孙博文（1994-），男，辽宁沈阳人，北京邮电大学硕士生，主要研究方向为网络安全、恶意软件检测。|黄炎裔（1994-），女，江西黎川人，北京邮电大学硕士生，主要研究方向为数据安全、分布式调度。|温俏琨（1996-），女，辽宁沈阳人，北京邮电大学本科生，主要研究方向为网络安全、机器学习。|田斌（1983-），男，北京人，博士，中国信息安全测评中心副研究员，主要研究方向为威胁情报、攻击溯源。|吴鹏（1982-），男，四川广元人，四川大学博士生，主要研究方向为恶意软件检测、软件抄袭、软件安全加固。|李祺（1981-），女，北京人，北京邮电大学副教授，主要研究方向为网络安全、机器学习、物联网安全。
基金资助:
国家自然科学基金资助项目(U1536119);国家自然科学基金资助项目(61401038)

Malware classification method based on static multiple-feature fusion

Bo-wen SUN¹(),Yan-yi HUANG¹,Qiao-kun WEN²,Bin TIAN³,Peng WU⁴,Qi LI¹

¹ Beijing Key Laboratory of Interconnection and Integration,School of Cyberspace Security,Beijing University of Post and Telecommunications,Beijing 100876,China
² International School,Beijing University of Post and Telecommunications,Beijing 100876,China
³ China Information Technology Security Evaluation Center,Beijing 100085,China
⁴ College of Computer Science Sichuan University,Chengdu 610015,China

Revised:2017-10-29 Online:2017-11-01 Published:2017-11-30
Supported by:
The National Natural Science Foundation of China(U1536119);The National Natural Science Foundation of China(61401038)

摘要/Abstract

摘要：

近年来，恶意软件呈现出爆发式增长势头，新型恶意样本携带变异性和多态性，通过多态、加壳、混淆等方式规避传统恶意代码检测方法。基于大规模恶意样本，设计了一种安全、高效的恶意软件分类的方法，通过提取可执行文件字节视图、汇编视图、PE 视图3个方面的静态特征，并利用特征融合和分类器集成学习2种方式，提高模型的泛化能力，实现了特征与分类器之间的互补，实验证明，在样本上取得了稳定的F1-score（93.56%）。

关键词: 恶意软件, 家族分类, 静态分析, 机器学习, 模型融合

Abstract:

In recent years,the amount of the malwares has tended to rise explosively.New malicious samples emerge as variability and polymorphism.By means of polymorphism,shelling and confusion,traditional ways of detecting can be avoided.On the basis of massive malicious samples,a safe and efficient method was designed to classify the mal-wares.Extracting three static features including file byte features,assembly features and PE features,as well as im-proving generalization of the model through feature fusion and ensemble learning,which realized the complementarity between the features and the classifier.The experiments show that the sample achieve a stable F1-socre (93.56%).

Key words: malware, family classification, static analysis, machine learning, model fusion

中图分类号:

TP309.5

孙博文,黄炎裔,温俏琨,田斌,吴鹏,李祺. 基于静态多特征融合的恶意软件分类方法[J]. 网络与信息安全学报, 2017, 3(11): 68-76.

Bo-wen SUN,Yan-yi HUANG,Qiao-kun WEN,Bin TIAN,Peng WU,Qi LI. Malware classification method based on static multiple-feature fusion[J]. Chinese Journal of Network and Information Security, 2017, 3(11): 68-76.

图/表 12

表1

表2

图1

表3

表4

图2

表5

表6

表7

表8

表9

表10

参考文献 21

[1]	卡巴斯基年报[EB/OL]. .
	Kabasiji annual report[EB/OL]. .
[2]	赛门铁克年报[EB/OL]. .
	Symantec annual report[EB/OL]. .
[3]	SCHULTZ M G , ESKIN E , ZADOK E , et al. Data mining methods for detection of new malicious executables[C]// 2001 IEEE Sympo-sium on Security and Privacy(S＆P 2001), 2001: 38-49.
[4]	MEHDI B , AHMED F , KHAYYAM S A , et al. Towards a Theory of Generalizing System Call Representation for In-Execution Mal-ware Detection[C]// IEEE International Conference on Communica-tions, 2010: 1-4.
[5]	PARK Y , REEVES D , MULUKUTLA V , et al. Fast malware classi-fication by automated behavioral graph matching[C]// AMIA Annu Symp Proc, 2010: 1-4.
[6]	SANTOS I , BREZO F , UGARTE-PEDRERO X , et al. Opcode sequences as representation of executables for data-mining-based unknown malware detection[J]. Information Sciences, 2013,231(9): 64-82.
[7]	GRINI L S , SHALAGINOV A , FRANKE K . Study of soft compu-ting methods for large-scale multinomial malware types and fami-lies de-tection[C]// The World Conference on Soft Computing, 2016.
[8]	RIECK K , HOLZ T , WILLEMS C , et al. Learning and classifica-tion of malware behavior[C]// The International Conference on Detection of Intrusions ＆ Malware, 2008: 108-125.
[9]	SALEHI Z , SAMI A , GHIASI M . Using feature generation from API calls for malware detection[J]. Computer Fraud ＆ Security, 2014,2014(9): 9-18.
[10]	KOLOSNJAJI B , ZARRAS A , WEBSTER G ， et al. Deep learning for classi-fication of malware system call sequences[M]// AI 2016:Advances in Artificial Intelligence. Berlin： Springer， 2016.
[11]	韩晓光，曲武，姚宣霞，等. 基于纹理指纹的恶意代码变种检测方法研究[J]. 通信学报， 2014,35(8): 125-136.
	HAN X G , QU W , YAO X X , et al. Research on malicious code variants detection based on texture fingerprint[J]. Journal on Communications. 2014,35(8): 125-136.
[12]	Digital bread crumbs:seven clues to identifying who's behind advanced cyber attacks[EB/OL]. .
[13]	IDA pro website[EB/OL]. .
[14]	PE Exeinfo website[EB/OL]. .
[15]	Mastiff website[EB/OL]. .
[16]	Yara-rules website[EB/OL]. .
[17]	Top maliciously used APIs[EB/OL]. .
[18]	Scikit-learn website[EB/OL]. .
[19]	VirusShare website[EB/OL]. .
[20]	Naming scheme-caro-computer antivirus research organization[EB/OL]. .
[21]	Free online virus,malware and url scanner[EB/OL]. .

特征名称	特征描述
hex_filesize	样本大小
hex_filelines	样本字节视图行数
hex_str_len_*	样本字符串相应长度的次数
hex_1gram_*	样本字符出现次数
hex_entropy_*	样本熵值
asm_register_*	寄存器出现次数
asm_opcode_*	操作码出现次数
asm_dd_*	dd出现次数
asm_dw_*	dw出现次数
asm_symbol_*	特殊符号出现次数
pe_API	API出现次数
pe_dll	dll出现次数
pe_imports	引用数量
pe_exports	导出数量
pe_mastiff_*	mastiff报告信息
pe_alertAPI	恶意API统计次数
pe_compile	编译环境类别

检测引擎	家族名称
Bkav	HW32.Packed.F519
McAfee	Ransomware-FUO!638C98B55FEE
Baidu	Win32.Trojan.WisdomEyes.16070401.9500.9925
Symantec	Trojan.Gen.2
Kaspersky	not-a-virus:HEUR:Downloader.Win32.LMN.gen
Microsoft	Ransom:Win32/Cerber!rfn
Tencent	Win32.Trojan.Cerber.Wnwm
Panda	Trj/GdSda.A
Qihoo-360	HEUR/QVM20.1.7BA9.Malware.Gen

卡巴斯基检测家族名称	数量
Backdoor.Win32.Hlux	27
HEUR:Trojan-Downloader.Win32.Generic	41
HEUR:Trojan.Win32.Generic	578
HEUR:Trojan.Win32.Invader	53
Packed.Win32.Tpyn	20
Trojan-Clicker.Win32.Agent	39
Trojan-Downloader.Win32.Agent	41
Trojan-Dropper.Win32.Injector	18
Trojan.Win32.Agent	196
Trojan.Win32.AntiFW	1 480
Trojan.Win32.Buzus	46
Trojan.Win32.Inject	28

预测类别	实际类别	次数
Trojan.Win32.AntiFW.a	HEUR:Trojan.Win32.Generic	271
Trojan.Win32.AntiFW.a	Trojan.Win32.Agent	93
Trojan.Win33.AntiFW.a	HEUR:Trojan.Win32.Invader	25
Trojan.Win34.AntiFW.a	Trojan.Win32.Inject.vbet	19
Trojan.Win35.AntiFW.a	Trojan-Downloader.	19
	Win32.Agent.hfug
HEUR:Trojan.Win32.Generic	Trojan.Win32.AntiFW.a	8
HEUR:Trojan.Win32.Generic	Trojan.Win32.Agent	4

特征类别	特征分数
asm_dd_para5	0.045 3
asm_opcode_wait	0.039 2
pe_alertapi_StartupInfoW	0.025 4
pe_alertapi_GetModuleHandleW	0.022 4
Colnitialize	0.010 7
asm_dd_para4	0.009 5
pe_alertapi_LoadLibraryW	0.008
asm_opcodes_fdiv	0.007 5
pe_compile	0.004 9
pe_alertapi_GetProcAddress	0.004 5
asm_opcodes_cwd	0.004 3
asm_regs_ecx	0.002 6

基于静态多特征融合的恶意软件分类方法

Malware classification method based on static multiple-feature fusion

在线阅读

pdf下载

可视化

被引次数

摘要/Abstract

引用本文

使用本文

图/表 12

参考文献 21

相关文章 15

Metrics

推荐阅读 0

分类器/特征集合	字节视图特征	汇编视图特征	PE视图特征	全部特征
GNB	61.467 2%	86.301 8%	52.026 4%	73.730 0%
RF	85.904 5%	89.977 6%	85.421 6%	87.520 0%
GBDT	85.124 5%	89.456 4%	83.751 4%	88.339 0%
ET	81.900 2%	90.152 7%	79.174 8%	85.582 7%
DT	77.506 1%	44.114 8%	57.567 0%	81.882 9%
SVM	65.399 9%	52.872 7%	60.235 7%	64.114 8%
KNN	78.561 6%	82.634 1%	78.797 2%	81.791 6%
AB	57.312 8%	64.015 7%	48.605 8%	64.913 2%

融合方法	集成策略	字节视图特征融合后	汇编视图特征融合后	PE视图特征融合后	全部特征融合后
	Average of Probabilities	78.4720%	82.4035%	86.1256%	87.7300%
Voting
	Majority Voting	63.5502%	71.7669%	69.7124%	67.1198%
	J48	80.2417%	87.1749%	81.6689%	92.0740%
Stacking
	BayesNet	87.6839%	88.3260%	81.3020%	93.5660%
Bagging	Random Forest	85.1330%	87.3974%	78.1261%	86.4870%
	Adaboost	84.6372%	79.1950%	86.4609%	90.7526%
Boosting	GBDT	76.4684%	89.8672%	79.2185%	86.3200%
	XGBoost	84.1474%	90.8446%	76.2524%	90.6736%

类别	数量/个	时间/s
卡巴斯基引擎检测时间	65 536	7 023
样本预处理时间	2 798	6 013
PE Exeinfo处理时间	11 651	1 141
字节视图特征提取时间	2 798	2 822
汇编视图特征提取时间	2 798	4 020
PE视图特征提取时间	2 798	2 035
特征融合时间	2 798	447
算法运行时间	2 798	＜5
算法融合时间	2 798	669

[1]	夏锐琪, 李曼曼, 陈少真. 基于机器学习的分组密码结构识别[J]. 网络与信息安全学报, 2023, 9(3): 79-89.
[2]	韦南, 殷丽华, 宁洪, 方滨兴. 本科“机器学习”课程教学改革初探[J]. 网络与信息安全学报, 2022, 8(4): 182-189.
[3]	黄诚, 孙明旭, 段仁语, 吴苏晟, 陈斌. 面向项目版本差异性的漏洞识别技术研究[J]. 网络与信息安全学报, 2022, 8(1): 52-62.
[4]	超凡, 杨智, 杜学绘, 韩冰. 基于多因素聚类选择的Android应用程序分类风险评估方法[J]. 网络与信息安全学报, 2021, 7(2): 161-173.
[5]	张颖君,刘尚奇,杨牧,张海霞,黄克振. 基于日志的异常检测技术综述[J]. 网络与信息安全学报, 2020, 6(6): 1-12.
[6]	周天昱,申文博,杨男子,李金库,秦承刚,喻望. Docker组件间标准输入输出复制的DoS攻击分析[J]. 网络与信息安全学报, 2020, 6(6): 45-56.
[7]	付溪,李晖,赵兴文. 网络钓鱼识别研究综述[J]. 网络与信息安全学报, 2020, 6(5): 1-10.
[8]	超凡,杨智,杜学绘,孙彦. 基于深度神经网络的Android恶意软件检测方法[J]. 网络与信息安全学报, 2020, 6(5): 67-79.
[9]	何康,祝跃飞,刘龙,芦斌,刘彬. 敌对攻击环境下基于移动目标防御的算法稳健性增强方法[J]. 网络与信息安全学报, 2020, 6(4): 67-76.
[10]	袁福祥,刘粉林,刘翀,刘琰,罗向阳. MLAR：面向IP定位的大规模网络别名解析[J]. 网络与信息安全学报, 2020, 6(4): 77-94.
[11]	尹小康,刘鎏,刘龙,刘胜利. PPC和MIPS指令集下二进制代码中函数参数个数的识别方法[J]. 网络与信息安全学报, 2020, 6(4): 95-103.
[12]	骆子铭,许书彬,刘晓东. 基于机器学习的TLS恶意加密流量检测方案[J]. 网络与信息安全学报, 2020, 6(1): 77-83.
[13]	张斌,李立勋,董书琴. 基于改进SOINN算法的恶意软件增量检测方法[J]. 网络与信息安全学报, 2019, 5(6): 21-30.
[14]	黄伟,刘存才,祁思博. 针对设备端口链路的LSTM网络流量预测与链路拥塞方案[J]. 网络与信息安全学报, 2019, 5(6): 50-57.
[15]	宋蕾, 马春光, 段广晗. 机器学习安全及隐私保护研究进展[J]. 网络与信息安全学报, 2018, 4(8): 1-11.

恶意API名称
API_GetProcAddress
API_LoadLibraryA
API_GetModuleHandleA
API_ExitProcess
API_VirtualAlloc
API_WriteFile
API_GetModuleFileNameA
API_CloseHandle
API_RegCloseKey
API_VirtualFree

分类器/特征集合	字节视图特征	汇编视图特征	PE视图特征	全部特征
GNB	62.677 0%	83.354 4%	48.371 8%	75.485 4%
RF	85.879 2%	89.184 0%	83.674 4%	92.694 2%
GBDT	85.534 7%	91.668 6%	83.897 3%	90.374 6%
ET	81.739 9%	91.234 9%	76.766 5%	86.940 2%
DT	79.534 0%	49.371 6%	57.130 9%	83.379 5%
SVM	69.568 6%	56.180 3%	66.807 0%	71.711 8%
KNN	74.747 9%	80.255 2%	74.232 4%	84.218 6%
AB	64.125 9%	68.835 9%	49.153 2%	71.271 1%