[论文解读] SPAM: Signal Processing to Analyze Malware

Lakshmanan Nataraj, B.S. Manjunath|arXiv (Cornell University)|May 17, 2016

Advanced Malware Detection Techniques参考文献 9被引用 5

一句话总结

本文提出SPAM，一种基于信号与图像处理的恶意软件分类与检索框架，将恶意软件二进制文件视为信号或图像，利用随机投影的稀疏表示实现无需反汇编或执行的快速、轻量级检测。该方法在Malimg和Malheur数据集上达到最先进准确率，通过正交互补检测机制有效抵抗打包器和虚拟机感知型恶意软件的规避攻击。

ABSTRACT

In this article, we explored orthogonal methods to analyze malware motivated by signal and image processing. Malware samples are represented as images or signals. Image and signal-based features are extracted to characterize malware. Our extensive experiments demonstrate the efficacy of our methods on malware classification and retrieval. We believe that our techniques will open the scope of signal-and image-based methods to broader fields in computer security.

研究动机与目标

• 为解决传统恶意软件检测方法的局限性，这些方法依赖静态分析、动态分析或启发式分析，且易被多态型恶意软件绕过。
• 探索正交的、基于信号与图像处理的方法，以补充现有技术，且较少为攻击者所知，从而降低规避成功率。
• 通过最小化预处理，实现快速、轻量级的恶意软件分类与检索，避免反汇编、解包或运行时执行。
• 开发一种平台无关的框架，可在多种恶意软件家族中有效运行，包括Windows、Android、Linux和macOS变种。
• 通过稀疏表示误差建模，识别恶意软件变体及其演化谱系，检测细微的代码差异。

提出的方法

• 通过将字节序列解释为像素强度或信号振幅，将恶意软件二进制文件表示为二维图像或一维信号。
• 使用随机投影（RP）进行特征提取，将高维字节向量降维为低维表示，同时保留结构信息。
• 应用基于稀疏表示的分类（SRC）：将测试样本表示为已知家族训练样本的稀疏线性组合。
• 通过l1-范数最小化计算最稀疏解：min ||α'||₁，约束条件为 w = RAα'，其中w为投影后的测试向量。
• 根据所有家族特异性训练字典中的最小重构误差，分配恶意软件家族。
• 通过分析稀疏表示框架中的误差模型，实现异常值检测与谱系追踪，以定位变体之间的代码差异。

实验结果

研究问题

• RQ1 信号与图像处理技术能否提供一种互补的、正交的恶意软件检测方法，有效抵抗打包器和虚拟机感知型恶意软件的规避？
• RQ2 在无需反汇编或执行的情况下，随机投影结合稀疏表示在恶意软件家族分类中的有效性如何？
• RQ3 稀疏表示框架能否检测恶意软件变体之间的细微代码差异，并追踪其演化谱系？
• RQ4 与GIST和最近邻等现有特征描述符相比，该方法在公开恶意软件数据集上的准确率是否更高？
• RQ5 该框架能否在保持低计算成本的前提下，扩展至包含数千个恶意软件家族和数百万个样本的大规模数据集？

主要发现

• 在Malimg数据集中，随机投影与基于稀疏表示的分类（SRC）相结合，实现了所有测试方法中的最高分类准确率，优于GIST和最近邻方法。
• 在Malheur数据集中，相同的RP-SRC框架表现出优越性能，证明其在多样化恶意软件家族和二进制结构下的鲁棒性。
• 使用随机投影显著降低了维度，同时保持了分类准确率，实现了无需依赖特定特征提取流程的快速计算。
• 该框架成功识别并剔除了恶意软件数据集中的潜在异常值，提升了训练集的完整性。
• 该方法能够精确检测恶意软件变体之间的代码差异，支持谱系追踪，并识别与良性软件捆绑的修补型恶意软件。
• 在包含42,480个恶意软件样本和2,124个家族的大规模评估中，RP-SRC框架保持了高准确率，证实其可扩展性与实际部署可行性。