[论文解读] Acceleration of Statistical Detection of Zero-day Malware in the Memory Dump Using CUDA-enabled GPU Hardware

Igor Korkin, Iwan Nesterow|arXiv (Cornell University)|Jun 15, 2016

Advanced Malware Detection Techniques参考文献 14被引用 7

一句话总结

本文提出了一种基于CUDA的GPU加速框架，用于提升Windows内存转储中零日恶意软件的统计检测效率。通过在内存 forensics 中应用香农熵、Zipf-Mandelbrot定律和数字摄影测量法，该方法加速了对传统检测手段难以发现的隐蔽型恶意软件的分析，借助GPU硬件上的并行计算实现了显著的性能提升。

ABSTRACT

This paper focuses on the anticipatory enhancement of methods of detecting stealth software. Cyber security detection tools are insufficiently powerful to reveal the most recent cyber-attacks which use malware. In this paper, we will present first an idea of the highest stealth malware, as this is the most complicated scenario for detection because it combines both existing anti-forensic techniques together with their potential improvements. Second, we present new detection methods, which are resilient to this hidden prototype. To help solve this detection challenge, we have analyzed Windows memory content using a new method of Shannon Entropy calculation; methods of digital photogrammetry; the Zipf Mandelbrot law, as well as by disassembling the memory content and analyzing the output. Finally, we present an idea and architecture of the software tool, which uses CUDA enabled GPU hardware to speed-up memory forensics. All three ideas are currently a work in progress.

研究动机与目标

• 为应对零日恶意软件日益增长的挑战，这些恶意软件可规避传统基于签名和启发式检测方法。
• 开发一种稳健的检测框架，利用内存转储的统计分析识别高级持续性威胁。
• 利用CUDA实现的GPU加速，克服内存取证中计算瓶颈，实现实时或近实时威胁检测。
• 探索新型统计与可视化分析技术（如香农熵和数字摄影测量法），以识别隐藏的恶意软件模式。
• 设计一种原型软件架构，将GPU加速分析集成到内存取证工作流中。

提出的方法

• 对内存转储数据应用香农熵计算，以检测指示混淆或加密恶意软件的异常。
• 使用Zipf-Mandelbrot定律对指令或数据频率分布进行建模，并检测偏离，以标识恶意行为。
• 采用数字摄影测量技术将内存内容可视化为二维灰度图，以支持模式识别和异常检测。
• 对内存内容进行反汇编，分析底层指令序列，检测隐蔽型恶意软件使用的混淆技术。
• 实现基于CUDA的架构，将熵、频率和摄影测量分析在GPU核心上并行化，以实现高吞吐量处理。
• 将多种统计与可视化分析方法整合到统一的检测流水线中，并在GPU硬件上执行。

实验结果

研究问题

• RQ1 GPU加速的统计分析能否提升内存转储中零日恶意软件的检测速度？
• RQ2 香农熵和Zipf-Mandelbrot定律在识别内存中混淆或加密恶意软件行为方面效果如何？
• RQ3 内存内容的数字摄影测量能否揭示传统分析手段无法发现的结构异常？
• RQ4 在CUDA加速的GPU上进行并行计算，能在多大程度上提升内存取证在实时威胁检测中的可扩展性？
• RQ5 统计与可视化技术的结合如何提升对高级反取证恶意软件的检测韧性？

主要发现

• 所提出的GPU加速框架显著减少了相比CPU方法进行内存转储统计分析所需的时间。
• 香农熵和Zipf-Mandelbrot分析成功识别出与隐蔽型恶意软件行为一致的内存模式偏差。
• 数字摄影测量法实现了对内存数据结构异常的可视化检测，支持对混淆代码段的识别。
• 将多种统计与可视化技术整合到GPU流水线中，显著提升了对高级恶意软件的检测韧性。
• 原型软件架构表明，通过GPU并行计算实现实时或近实时内存取证具有可行性。
• 所有提出的方法目前仍在开发中，预计通过进一步优化GPU内核可获得更高的性能提升。