[论文解读] Artificial Intelligence Based Malware Analysis

Avi Pfeffer, Brian E. Ruttenberg+13 more|arXiv (Cornell University)|Apr 27, 2017

Advanced Malware Detection Techniques参考文献 19被引用 4

一句话总结

MAAGI 系统应用人工智能和生物启发式方法——如系统发育分析和概率建模——以自动化恶意软件分类、行为预测和溯源。通过将恶意软件建模为基因谱系，它利用系统功能语法和约束求解来分析 API 调用模式，实现了对银行家家族恶意软件行为的准确表征，并支持可扩展的、AI 增强的恶意软件生态系统理解。

ABSTRACT

Artificial intelligence methods have often been applied to perform specific functions or tasks in the cyber-defense realm. However, as adversary methods become more complex and difficult to divine, piecemeal efforts to understand cyber-attacks, and malware-based attacks in particular, are not providing sufficient means for malware analysts to understand the past, present and future characteristics of malware. In this paper, we present the Malware Analysis and Attributed using Genetic Information (MAAGI) system. The underlying idea behind the MAAGI system is that there are strong similarities between malware behavior and biological organism behavior, and applying biologically inspired methods to corpora of malware can help analysts better understand the ecosystem of malware attacks. Due to the sophistication of the malware and the analysis, the MAAGI system relies heavily on artificial intelligence techniques to provide this capability. It has already yielded promising results over its development life, and will hopefully inspire more integration between the artificial intelligence and cyber--defense communities.

研究动机与目标

• 通过自动化分析应对日益复杂和庞大的恶意软件挑战，超越基于签名的检测方法。
• 克服人工恶意软件分析在追踪演变中的恶意软件家族和检测新型威胁方面的局限性。
• 通过 AI 驱动的建模与预测，使恶意软件分析师能够理解过去、现在和未来的恶意软件行为。
• 将多种 AI 技术——概率模型、分层聚类和约束求解——整合到统一系统中，以实现恶意软件分析。
• 通过展示一个可扩展、可扩展的恶意软件生态系统分析框架，推动人工智能与网络防御社区的深度融合。

提出的方法

• 使用系统功能语法（SFG）对恶意软件行为进行建模，将操作和命令结构表示为语言学遍历。
• 通过 Copris 应用约束求解，评估恶意软件行为中有效特征组合，从语法规则生成布尔表达式。
• 使用分层聚类和概率模型，基于 API 调用模式和行为相似性对相似恶意软件进行分组。
• 利用生物启发技术——如系统发育分析和基因谱系建模——推断恶意软件家族之间的关系和演化路径。
• 当静态分析限制了对这些特征的直接访问时，使用调用图距离作为时间接近度和数据流接近度的代理。
• 根据 API 调用的平均接近度对潜在实现进行排序，从而实现对最可能行为解释的优先排序。

实验结果

研究问题

• RQ1 如何利用人工智能技术对恶意软件家族的演化进行建模与预测？
• RQ2 生物启发方法（如系统发育学）在多大程度上可应用于理解恶意软件关系和传播机制？
• RQ3 尽管静态分析对数据流和时间特征的捕获有限，功能语法表示能否有效捕捉并区分恶意软件行为？
• RQ4 AI 增强的系统如何改善恶意软件分析师的分类与深度分析工作流？
• RQ5 基于约束的解析和概率建模在自动化恶意软件溯源与行为表征中扮演何种角色？

主要发现

• MAAGI 系统成功表征了 283 个未打包的银行家家族恶意软件样本的命令与控制行为及个人信息窃取模式。
• 使用 SFG 解析器的功能分析在多种恶意软件样本中表现出可靠性能，支持准确的行为建模。
• 该系统识别出多种恶意软件行为的有效实现，并按 API 调用模式的接近度排序，提升了可解释性与优先级排序能力。
• 尽管静态分析在捕捉数据流和时间特征方面存在局限，系统仍成功使用调用图距离作为时间接近度的可行代理。
• AI 技术的整合——包括概率模型和分层聚类——实现了对恶意软件家族关系和行为趋势的可扩展检测。
• 该框架具备可扩展性，设计用于整合未来的人工智能进展，支持恶意软件防御能力的持续演进。