[论文解读] Integration of Static and Dynamic Analysis for Malware Family Classification with Composite Neural Network

Yao Saint Yen, Zhe Wei Chen+2 more|arXiv (Cornell University)|Dec 24, 2019

Advanced Malware Detection Techniques参考文献 25被引用 8

一句话总结

本文提出一种复合神经网络，整合静态分析与动态分析特征，以提升Windows恶意软件家族分类性能。通过利用层次注意力机制与卷积神经网络（CNN），将API调用统计、调用图嵌入、DCT变换的邻接矩阵以及参数感知的API序列嵌入进行融合，该方法实现了83.17%的准确率，优于单一特征方法，且表明静态与动态特征之间具有显著互补性。

ABSTRACT

Deep learning has been used in the research of malware analysis. Most classification methods use either static analysis features or dynamic analysis features for malware family classification, and rarely combine them as classification features and also no extra effort is spent integrating the two types of features. In this paper, we combine static and dynamic analysis features with deep neural networks for Windows malware classification. We develop several methods to generate static and dynamic analysis features to classify malware in different ways. Given these features, we conduct experiments with composite neural network, showing that the proposed approach performs best with an accuracy of 83.17% on a total of 80 malware families with 4519 malware samples. Additionally, we show that using integrated features for malware family classification outperforms using static features or dynamic features alone. We show how static and dynamic features complement each other for malware classification.

研究动机与目标

• 解决现有恶意软件分类方法仅使用静态或动态分析特征，而未同时结合两者的问题。
• 通过深度学习融合静态与动态分析中的互补特征，提升分类准确率。
• 评估在仅考虑序列之外引入API调用参数，是否能显著增强行为语义的捕捉能力。
• 在复合神经网络框架下，设计并比较多种融合策略（早期融合、晚期融合、迭代融合）。
• 证明集成特征在恶意软件家族分类中优于孤立的静态或动态特征。

提出的方法

• 使用API调用统计、以邻接矩阵表示的程序调用图，以及基于DCT的低频分量提取方法提取静态特征。
• 通过沙箱执行生成动态特征，捕获带参数的API调用序列，并构建共现矩阵。
• 应用图嵌入模型将调用图转换为向量表示，并使用CNN从共现矩阵中提取结构模式。
• 采用层次注意力网络与段落向量模型，将可变长度的追踪文件嵌入为固定长度表示。
• 分别对静态与动态特征独立训练多个预训练神经网络，再通过早期融合、晚期融合或迭代融合策略进行融合。
• 采用复合神经网络框架，整合预训练组件，通过联合优化提升分类性能。

实验结果

研究问题

• RQ1 与单独使用任一类型特征相比，集成静态与动态分析特征是否能提升恶意软件家族分类的准确率？
• RQ2 静态与动态特征在捕捉恶意软件行为与结构方面如何实现互补？
• RQ3 在序列之外引入API调用参数，是否能显著提升分类性能？
• RQ4 在复合神经网络设置下，哪种融合策略——早期融合、晚期融合或迭代融合——能获得最佳分类准确率？
• RQ5 集成特征在多大程度上减少了单一特征类型导致的误分类错误？

主要发现

• 所提出的复合神经网络在80个恶意软件家族（共4,519个样本）上实现了83.17%的分类准确率，优于所有基线方法。
• 与仅使用静态或仅使用动态特征相比，集成特征显著提升了分类准确率，表明两者具有强互补性。
• 包含关联参数的API语句序列编码器优于仅使用API调用序列的编码器，在序列长度为300时分别达到68.80%与50.90%的准确率。
• 在案例研究中，集成特征修正了单一静态或动态模型的误判，同时保留了正确来源的高置信度预测，并抑制了误报。
• 迭代融合神经网络架构表现最佳，表明对融合表示进行迭代优化可增强分类鲁棒性。
• 结果证实，在API序列中包含参数信息可生成更具判别性的行为嵌入，尤其在结合注意力机制与基于CNN的结构特征提取时效果更显著。