[论文解读] MalDetConv: Automated Behaviour-based Malware Detection Framework Based on Natural Language Processing and Deep Learning Techniques

Pascal Maniriho, Abdun Naser Mahmood+1 more|arXiv (Cornell University)|Sep 8, 2022

Advanced Malware Detection Techniques被引用 5

一句话总结

MalDetConv 是一种新颖的深度学习框架，利用自然语言处理技术分析 Windows API 调用序列，实现自动化的基于行为的恶意软件检测。通过结合 CNN-BiGRU 架构、词嵌入技术以及 LIME 的可解释性，其在未见过的零日恶意软件上实现了 99.93% 的准确率，优于多个基准数据集上的现有最先进方法。

ABSTRACT

The popularity of Windows attracts the attention of hackers/cyber-attackers, making Windows devices the primary target of malware attacks in recent years. Several sophisticated malware variants and anti-detection methods have been significantly enhanced and as a result, traditional malware detection techniques have become less effective. This work presents MalBehavD-V1, a new behavioural dataset of Windows Application Programming Interface (API) calls extracted from benign and malware executable files using the dynamic analysis approach. In addition, we present MalDetConV, a new automated behaviour-based framework for detecting both existing and zero-day malware attacks. MalDetConv uses a text processing-based encoder to transform features of API calls into a suitable format supported by deep learning models. It then uses a hybrid of convolutional neural network (CNN) and bidirectional gated recurrent unit (CNN-BiGRU) automatic feature extractor to select high-level features of the API Calls which are then fed to a fully connected neural network module for malware classification. MalDetConv also uses an explainable component that reveals features that contributed to the final classification outcome, helping the decision-making process for security analysts. The performance of the proposed framework is evaluated using our MalBehavD-V1 dataset and other benchmark datasets. The detection results demonstrate the effectiveness of MalDetConv over the state-of-the-art techniques with detection accuracy of 96.10%, 95.73%, 98.18%, and 99.93% achieved while detecting unseen malware from MalBehavD-V1, Allan and John, Brazilian, and Ki-D datasets, respectively. The experimental results show that MalDetConv is highly accurate in detecting both known and zero-day malware attacks on Windows devices.

研究动机与目标

• 解决基于签名的恶意软件检测在识别不断演变和混淆的恶意软件变体方面的局限性。
• 开发一种基于行为的恶意软件检测框架，通过动态分析 API 调用序列，有效识别已知和零日恶意软件。
• 通过集成 LIME 实现深度学习驱动的恶意软件检测中的模型可解释性，提供预测结果的特征级解释。
• 创建一个全新的公开数据集（MalBehavD-V1），包含来自良性和恶意可执行文件的 Windows API 调用序列，供研究使用。
• 展示混合深度学习模型（CNN-BiGRU）结合词嵌入技术在利用系统调用行为进行恶意软件分类方面的有效性。

提出的方法

• 该框架使用 Keras Tokenizer 和嵌入层将 API 调用序列转换为密集向量表示，以捕捉 API 调用之间的语义关系。
• 采用混合 CNN-BiGRU 架构，自动从嵌入的 API 调用序列中提取高层次、具有区分性的特征。
• 提取的特征通过全连接神经网络传递，完成最终的恶意软件分类，划分为良性或恶意类别。
• 该模型集成了 LIME（局部可解释模型无关解释）框架，通过突出显示具有影响力的 API 调用，生成预测的局部、实例级解释。
• 通过 Cuckoo 沙箱执行动态分析，在隔离的虚拟环境中提取 Windows EXE 文件的实时 API 调用序列。
• 该框架利用词嵌入技术将 API 调用序列视为自然语言文本，从而实现基于 NLP 的处理，用于恶意软件行为建模。

实验结果

研究问题

• RQ1 基于 NLP 技术的深度学习模型是否能通过分析系统 API 调用序列，有效检测已知和零日恶意软件？
• RQ2 所提出的 CNN-BiGRU 模型在检测准确率和未见恶意软件泛化能力方面，与现有机器学习及深度学习模型相比表现如何？
• RQ3 LIME 在恶意软件检测背景下，能否提供有意义且人类可理解的模型分类决策解释？
• RQ4 MalBehavD-V1 数据集在支持基于行为的恶意软件检测系统稳健训练与评估方面效果如何？
• RQ5 该框架是否能在多样化的恶意软件家族和操作系统环境中实现泛化，包括较新的 Windows 版本以及其他文件类型（如 PowerShell 脚本或 APK 文件）？

主要发现

• MalDetConv 在 MalBehavD-V1 数据集上对未见过的恶意软件实现了 96.10% 的检测准确率，表明其具备强大的泛化能力。
• 在 Allan 和 John 数据集上，该框架实现了 95.73% 的检测准确率，表明其在多样化恶意软件样本中表现一致。
• 在巴西恶意软件数据集上，该模型达到 98.18% 的准确率，证实其对区域特定恶意软件变体的鲁棒性。
• 在 Ki-D 数据集上，MalDetConv 实现了 99.93% 的卓越检测准确率，凸显其在识别零日和此前未见恶意软件方面的有效性。
• LIME 的集成实现了模型可解释性，使安全分析师能够识别出对分类决策贡献最大的特定 API 调用（如 IsDebuggerPresent 和 FindResourceW）。
• 该框架在检测准确率和精确率方面均优于现有最先进技术，尤其在未见和零日恶意软件样本上表现突出。