Предложенный в работе метод кластеризации вредоносного программного обеспечения (ВПО) позволяет выполнять обнаружение не только новых образцов уже известных семейств ВПО, но и выделять не известные ранее семейства. С ростом компьютеризации множества сфер жизнедеятельности получают развитие и новые угрозы, в том числе вирусные. Своевременное обнаружение той или иной вирусной угрозы позволяет предотвратить множество негативных последствий ее реализации, однако решение данной задачи сопряжено с множеством трудностей. В данный момент достаточно широко представлены различные методы обнаружения новых образцов для уже известных семейств, что не полностью покрывает обозначенную проблему. В данной работе предлагается решить задачу обнаружения новых семейств вирусных угроз на основе дополнительной информации о вызове тех или иных системных функций с помощью алгоритма обучения без учителя. В результате предложенный метод позволяет достичь до 71?% лучшего результата чем похожие методы. Совпадение выделенных семейств с эталоном составило 85?%, при том что конкурентные методы, используя алгоритмы обучения с учителем, имеют средний результат 93?%.
The proposed method of clustering malicious software allows you to perform detection of not only new samples of already known malware families, but also to detect unknown families. With the growth of computerization of many spheres of life activity, new threats, including viral ones, also develop. Timely detection of a particular virus threat can prevent many negative consequences of its implementation, but the solution of this problem involves a lot of difficulties. At the moment, various methods of detecting new samples for already known families are widely enough represented, which does not completely cover the indicated problem. In this paper, we propose to solve the problem of detecting new malware families based on additional information about the invocation of certain system functions using the learning algorithm without a teacher. As a result, the proposed method allows to achieve 71?% better results than similar methods. The match of the selected families with the reference was 85?%, while competitive methods using learning algorithms with the teacher have an average score of 93?%.
1. Bhardwaj A. et al. Ransomware Digital Extortion: A Rising New Age Threat // Indian Journal of Science and Technology. – 2016. – Т. 9. – Р. 14.
2. Egele M. et al. A survey on automated dynamic malware-analysis techniques and tools // ACM Computing Surveys (CSUR). – 2012. – Т. 44, № 2. – Р. 6.
3. Tobiyama S. et al. Malware Detection with Deep Neural Network Using Process Behavior // Computer Software and Applications Conference (COMPSAC), 2016 IEEE 40th Annual. – IEEE, 2016. – Т. 2. – Р. 577–582.
4. Kolosnjaji B. et al. Deep Learning for Classification of Malware System Call Sequences // Australasian Joint Conference on Artificial Intelligence. – Springer International Publishing, 2016. – Р. 137–149.
5. Wuchner T., Ochoa M., Pretschner A. Malware detection with quantitative data flow graphs // Proceedings of the 9th ACM symposium on Information, computer and communications security. – ACM, 2014. – С. 271–282.
6. Gupta S., Sharma H., Kaur S. Malware Characterization Using Windows API Call Sequences // International Conference on Security, Privacy, and Applied Cryptography Engineering. – Springer International Publishing, 2016. – Р. 271–280.
7. Shijo P.V., Salim A. Integrated static and dynamic analysis for malware detection // Procedia Computer Science. – 2015. – Т. 46. – Р. 804–811.
8. Ester M. et al. A density-based algorithm for discovering clusters in large spatial databases with noise // Kdd. – 1996. – Т. 96, № 34. – С. 226–231.