ProcGCN: Erkennung von bösartigen Prozessen im Speicher basierend auf DGCNN

Die Kombination von Speicherforensik und Deep Learning zur Malware-Erkennung hat gewisse Fortschritte erzielt, aber die meisten bestehenden Methoden konvertieren den Prozessdump in Bilder zur Klassifikation, die weiterhin auf der Klassifikation von Prozess-Byte-Features basieren. Nachdem die Malware in den Speicher geladen wurde, ändern sich die ursprünglichen Byte-Features. Im Vergleich zu Byte-Features können Funktionsaufruf-Features die Verhaltensweisen von Malware robuster darstellen. Daher schlägt dieser Artikel das ProcGCN-Modell vor, ein Deep-Learning-Modell basierend auf DGCNN (Deep Graph Convolutional Neural Network), um bösartige Prozesse in Speicherabbildern zu erkennen. Zunächst wird der Prozessdump aus dem gesamten Systemspeicherabbild extrahiert; anschließend wird der Funktionsaufrufgraph (FCG) des Prozesses extrahiert, und Merkmalsvektoren für den Funktionsknoten im FCG werden basierend auf dem Bag-of-Words-Modell generiert; schließlich wird der FCG in das ProcGCN-Modell zur Klassifikation und Erkennung eingegeben. Mit einem öffentlichen Datensatz für Experimente erreichte das ProcGCN-Modell eine Genauigkeit von 98,44 % und einen F-1-Score von 0,9828. Es zeigt ein besseres Ergebnis als die bestehenden Deep-Learning-Methoden, die auf statischen Features basieren, und seine Erkennungsgeschwindigkeit ist schneller, was die Wirksamkeit der Methode, die auf Funktionsaufruf-Features und graphenbasiertem Lernen in der Speicherforensik basiert, demonstriert.