[论文解读] Virtual Machine Introspection Based Malware Behavior Profiling and Family Grouping

Shun-Wen Hsiao, Yeali S. Sun+1 more|arXiv (Cornell University)|May 4, 2017

Advanced Malware Detection Techniques参考文献 33被引用 8

一句话总结

本文提出了一种基于虚拟机内省（VMI）的恶意软件剖析器（VMP），通过在恶意软件执行过程中捕获包含参数和返回值的详细Windows API调用序列，生成行为特征画像。利用层次聚类和一种新颖的成对分类得分（PCS）评估方法，VMP能有效将恶意软件归类为家族，其家族分类准确率优于大多数商业反恶意软件引擎，同时能清晰区分恶意软件与良性软件。

ABSTRACT

The proliferation of malwares have been attributed to the alternations of a handful of original malware source codes. The malwares alternated from the same origin share some intrinsic behaviors and form a malware family. Expediently, identifying its malware family when a malware is first seen on the Internet can provide useful clues to mitigate the threat. In this paper, a malware profiler (VMP) is proposed to profile the execution behaviors of a malware by leveraging virtual machine introspection (VMI) technique. The VMP inserts plug-ins inside the virtual machine monitor (VMM) to record the invoked API calls with their input parameters and return values as the profile of malware. In this paper, a popular similarity measurement Jaccard distance and a phylogenetic tree construction method are adopted to discover malware families. The studies of malware profiles show the malwares from a malware family are very similar to each others and distinct from other malware families as well as benign software. This paper also examines VMP against existing anti-malware detection engines and some well-known malware grouping methods to compare the goodness in their malware family constructions. A peer voting approach is proposed and the results show VMP is better than almost all of the compared anti-malware engines, and compatible with the fine tuned text-mining approach and high order N-gram approaches. We also establish a malware profiling website based on VMP for malware research.

研究动机与目标

• 为解决从行为相似性中识别恶意软件家族的挑战，特别是针对代码修改变种的识别问题。
• 开发一种运行时恶意软件剖析系统，捕获语义丰富的执行轨迹，超越底层系统调用。
• 构建一个稳健的恶意软件家族分组评估框架，以应对反恶意软件引擎之间不一致的命名方案。
• 基于VMP系统提供一个公开可访问的恶意软件剖析网站，供研究和防御使用。

提出的方法

• VMP系统在虚拟机监视器（VMM）中集成插件，对客户虚拟机执行运行时内省。
• 捕获完整的Windows API调用序列，包括函数参数和返回值，作为行为特征画像。
• 基于API调用序列的距离度量方法用于计算恶意软件样本之间的相似性。
• 应用平均链接的层次聚类方法构建系统发育树，揭示恶意软件家族结构。
• 引入一种新颖的成对分类得分（PCS）以评估多个检测引擎下家族分组结果的一致性。
• 系统部署在分布式任务队列上，通过多个虚拟机实现可扩展的、公开访问的恶意软件剖析服务，并通过专用网站提供服务。

实验结果

研究问题

• RQ1 基于VMI的剖析方法，结合详细的API调用数据，能否有效区分恶意软件家族与良性软件？
• RQ2 所提出的基于VMP的家族分组方法在准确率上与现有反恶意软件引擎及传统聚类方法相比如何？
• RQ3 新颖的成对分类得分（PCS）在多大程度上反映了恶意软件家族分类的一致性与可靠性？
• RQ4 VMP系统能否在真实世界、公开可访问的环境中实现对多样化恶意软件样本的可扩展剖析？
• RQ5 在API调用中包含参数和返回值对恶意软件行为剖析的保真度有何影响？

主要发现

• VMP系统成功基于行为相似性将恶意软件样本归类为家族，且与良性软件有明显区分。
• 基于VMP画像构建的系统发育树准确反映了已知的恶意软件家族关系，表现出高度的内部一致性。
• 成对分类得分（PCS）评估表明，VMP在家族分组准确率上优于几乎所有对比的反恶意软件引擎。
• VMP系统在家族分类性能上与最先进的方法（如Text_Mining和N-Gram_N）相当或更优。
• 公开的恶意软件剖析网站支持对上传样本的实时分析，样本执行约5分钟后即可下载其剖析画像。