Kontrollfluss-basierte Malware-Variantenerkennung

Die statische Erkennung von Malware-Varianten spielt eine wichtige Rolle in der Systemsicherheit, und der Kontrollfluss hat sich als eine effektive Eigenschaft erwiesen, die polymorphe Malware repräsentiert. In unserer Forschung schlagen wir eine Ähnlichkeitssuche von Malware vor, um diese Varianten mithilfe neuartiger Distanzmetriken zu erkennen. Wir beschreiben eine Malware-Signatur durch die Menge der Kontrollflussgraphen, die die Malware enthält. Wir verwenden eine Distanzmetrik, die auf der Distanz zwischen Merkmalsvektoren von string-basierten Signaturen basiert. Der Merkmalsvektor ist eine Zerlegung der Graphenmenge in entweder feste Größe k-Untergraphen oder q-Gramm-Strings des hochsprachen Quellcodes nach der Dekompilierung. Wir verwenden diese Distanzmetrik zur Durchführung einer Vorfilterung. Außerdem schlagen wir eine effektivere, aber weniger recheneffiziente Distanzmetrik vor, die auf der minimalen Übereinstimmungsdistanz basiert. Die minimale Übereinstimmungsdistanz verwendet die String-Bearbeitungsdistanzen zwischen den dekompilierten Kontrollflussgraphen der Programme und das Problem der linearen Summenzuweisung, um eine minimale Summenlastübereinstimmung zwischen zwei Mengen von Graphen zu konstruieren. Wir implementieren die Distanzmetriken in einem vollständigen Malware-Variantenerkennungssystem. Die Evaluierung zeigt, dass unser Ansatz sehr effektiv ist hinsichtlich einer begrenzten falsch positiven Rate und unser System erkennt mehr Malware-Varianten im Vergleich zu den Erkennungsraten anderer Algorithmen.