[論文レビュー] Improving Malware Detection Accuracy by Extracting Icon Information

Pedro Silva, Sepehr Akhavan-Masouleh+1 more|arXiv (Cornell University)|Dec 10, 2017

Advanced Malware Detection Techniques参考文献 17被引用数 3

ひとこと要約

本稿では、機械学習モデルの精度を向上させるために、ポータブル実行可能ファイル（PE）におけるマルウェア検出を、アイコン特徴量の抽出とクラスタリングによって強化することを提案する。手動で設計された特徴量、勾配のヒストグラム（HOG）、畳み込みオートエンコーダーを組み合わせて、アイコンから1,114の特徴量を抽出し、それらを1つの情報量の多い特徴量にクラスタリングする。実験の結果、予測モデルにアイコンクラスタを組み込むことで、マルウェア検出の平均精度が10%向上することが示された。

ABSTRACT

Detecting PE malware files is now commonly approached using statistical and machine learning models. While these models commonly use features extracted from the structure of PE files, we propose that icons from these files can also help better predict malware. We propose an innovative machine learning approach to extract information from icons. Our proposed approach consists of two steps: 1) extracting icon features using summary statics, histogram of gradients (HOG), and a convolutional autoencoder, 2) clustering icons based on the extracted icon features. Using publicly available data and by using machine learning experiments, we show our proposed icon clusters significantly boost the efficacy of malware prediction models. In particular, our experiments show an average accuracy increase of 10% when icon clusters are used in the prediction model.

研究の動機と目的

• アイコンメタデータがマルウェア検出において潜在的な悪意あるパターンを明らかにできるにもかかわらず、その活用が不十分であるという問題に対処する。
• マルウェアが検出を回避するために使用する微細な変更に脆弱な、ピクセルベースのアイコン分析の限界を克服する。
• 一般的なアイコンのごまかし（ぼかしや色相の変更など）に対して耐性を持ちつつ、意味のある視覚的情報を保持する、堅牢な特徴抽出パイプラインを開発する。
• アイコンクラスタリングが、機械学習ベースのマルウェア分類器の性能を向上させる強力で低次元の特徴量として機能できることを示す。
• 公開済みのデータセットと複数の分類モデルを用いた厳密な実験を通じて、アイコンベースの特徴量の有効性を検証する。

提案手法

• 3つの補完的技術を用いてアイコン特徴量を抽出する：RGBチャネルおよび画像領域の平均値と標準偏差に基づく手動で作成された（MC）特徴量、形状とテクスチャを捉えるための勾配のヒストグラム（HOG）、深層特徴量学習のための畳み込みオートエンコーダー。
• 抽出された1,114の特徴量を1つの統合された特徴ベクトルに統合し、微小な歪みに対して頑健なアイコンの視覚的特徴を表現する。
• 統合された特徴ベクトルに対してクラスタリング（k-means）を適用し、視覚的に類似したアイコンを離散的なクラスタにグループ化することで、1つのファイルあたりの次元数を1つのカテゴリカル特徴量に削減する。
• 得られたアイコンクラスタIDを、従来の機械学習モデル（L1/L2正則化付きロジスティック回帰と線形SVM）に新たな特徴量として統合する。
• 過学習を防ぐために、正則化強度αを最適化するハイパーパramータチューニングを伴う、ストラティファイド4分割交差検証を実施する。
• 標準誤差を用いて統計的有意性を評価する標準指標（正解率、真正陽性率（TPR）、真陰性率（TNR）、AUC）を用いて、ホールドアウトテストセットでモデルを評価する。

実験結果

リサーチクエスチョン

• RQ1 PEファイルから抽出したアイコン特徴量は、機械学習ベースのマルウェア検出モデルの精度を向上させることができるか？
• RQ2 手動で作成された特徴量、HOG、オートエンコーダーの3つの特徴抽出技術を組み合わせることで、一般的なごまかし手法に対しても、アイコンから意味のある視覚的パターンを的確に捉えることができるか？
• RQ3 アイコン特徴量を意味的グループにクラスタリングすることで、生の特徴量やアイコン情報なしの状態と比較して、マルウェア検出モデルの予測力が向上するか？
• RQ4 アイコンクラスタ情報の組み込みが、さまざまな分類器（例：ロジスティック回帰、SVM）および評価指標（例：AUC、TPR、TNR）において、モデル性能にどの程度向上効果をもたらすか？
• RQ5 検出精度の向上が、複数のモデルアーキテクチャおよび評価プロトコルにおいて、統計的に有意かつ一貫しているか？

主な発見

• アイコンクラスタ特徴量の組み込みにより、アイコン特徴量を含まないモデルと比較して、マルウェア予測モデルの平均検出精度が10%向上した。
• lassoロジスティック回帰（LR L1）、リッジロジスティック回帰（LR L2）、線形SVMという3つのテスト済みモデルすべてが、アイコンクラスタIDの追加により、テスト正解率、AUC、TPR、TNRで一貫した向上を示した。
• 最も性能の優れたモデル（アイコンクラスタを含むLR L1）は、テスト正解率84.4%、TPR 80.2%、TNR 88.6%、AUC 0.918を達成し、アイコン特徴量を含まない同じモデルと比較して顕著に優れていた。
• 図4のROC曲線は、アイコンクラスタ特徴量を含むモデルと含まないモデルの間で明確な分離が生じていることを示しており、改善の堅牢性と一貫性を裏付けている。
• 交差検証およびテストセットの結果から、正則化とストラティファイドサンプリングを用いたため、過学習による改善ではないことが示された。
• アイコン情報はしばしば無視されがちであるが、適切に抽出・クラスタリングされれば、マルウェア検出において非常に関連性が高く、意味のある識別的パターンを含んでいることが示された。