[论文解读] Random Forest for Malware Classification

Felan Carlo C. Garcia, F.P. Muga|arXiv (Cornell University)|Sep 25, 2016

Advanced Malware Detection Techniques参考文献 4被引用 44

一句话总结

本文提出了一种新颖的恶意软件分类方法，将二进制文件转换为灰度图像，并应用随机森林进行分类。通过利用基于图像的表示方法与集成学习，该方法在识别恶意软件家族方面实现了95.62%的准确率，有效应对代码混淆和基于签名的检测规避。

ABSTRACT

The challenge in engaging malware activities involves the correct identification and classification of different malware variants. Various malwares incorporate code obfuscation methods that alters their code signatures effectively countering antimalware detection techniques utilizing static methods and signature database. In this study, we utilized an approach of converting a malware binary into an image and use Random Forest to classify various malware families. The resulting accuracy of 0.9562 exhibits the effectivess of the method in detecting malware

研究动机与目标

• 解决通过代码混淆规避传统基于签名检测的恶意软件变种分类挑战。
• 探索将二进制恶意软件转换为图像表示以提升机器学习分类性能的可行性。
• 评估随机森林在使用图像编码二进制文件时区分不同恶意软件家族的性能。
• 证明基于图像的特征表示与集成学习相结合可提升恶意软件检测准确率。

提出的方法

• 通过将字节值解释为像素强度，将恶意软件二进制文件转换为灰度图像。
• 图像表示保留了二进制数据中的结构模式，支持视觉特征提取。
• 使用一组决策树在图像数据上训练随机森林，学习将恶意软件分类到预定义家族中。
• 森林中的每棵树基于随机选择的特征和训练数据子集进行分类决策。
• 最终预测通过森林中所有树的多数投票确定。
• 该方法依赖于随机森林对过拟合的鲁棒性及其对高维图像输入的有效处理能力。

实验结果

研究问题

• RQ1 二进制到图像的转换能否有效保留恶意软件分类的判别性特征？
• RQ2 当在图像编码的二进制文件上训练时，随机森林在分类恶意软件家族方面的表现如何？
• RQ3 该方法在多大程度上优于传统的基于签名或静态分析方法？
• RQ4 该方法能否在能够规避常规检测的混淆恶意软件变种上实现泛化？
• RQ5 在真实世界的恶意软件分类任务中，基于图像的随机森林模型的准确率与鲁棒性如何？

主要发现

• 所提出方法在测试的恶意软件数据集上实现了95.62%的分类准确率。
• 基于图像的表示方法有效捕捉了恶意软件二进制文件中的结构模式，支持可靠的家族分类。
• 随机森林在图像编码数据上表现出强大的泛化能力与对过拟合的抵抗能力。
• 该方法成功减轻了通常可规避基于签名检测的代码混淆技术的影响。
• 结果表明，基于图像的特征表示与集成学习相结合，是传统静态分析的可行且有效的替代方案。
• 由于其高准确率与鲁棒性，该方法在实时恶意软件检测系统中具有部署潜力。