Key points are not available for this paper at this time.
A corrida armamentista entre os distribuidores de malware e aqueles que buscam fornecer defesas tem favorecido até agora os primeiros. Métodos de detecção por assinatura não conseguiram lidar com a enxurrada de novos binários auxiliados por técnicas de ofuscação que se desenvolvem rapidamente. Pesquisas recentes se concentraram na análise de opcodes de baixo nível, estáticos e dinâmicos, como uma maneira de detectar malware. Embora às vezes bem-sucedida na detecção de malware, a análise estática ainda falha em desvendar código ofuscado, enquanto a análise dinâmica permite que os pesquisadores investiguem o código revelado em tempo de execução. A pesquisa na área tem sido limitada pelos conjuntos de dados subjacentes; malware antigo e amostras inadequadamente coletadas podem diminuir o potencial de extrapolação desses conjuntos de dados. A principal contribuição deste artigo é a criação de um novo conjunto de dados de rastreamento de tempo de execução analisado com mais de 100.000 amostras rotuladas, que abordará essas deficiências, e oferecemos o próprio conjunto de dados para uso pela comunidade de pesquisa mais ampla. Este conjunto de dados fundamenta a exame dos rastros de execução usando classificadores em dados baseados em contagem e sequência. Descobrimos que as taxas de detecção de malware são reduzidas quando as amostras são rotuladas com rótulos tradicionais de antivírus (AV). Nem algoritmos baseados em contagem nem em sequência conseguem distinguir suficientemente entre as classes de rótulos de AV. A detecção aumenta quando o malware é reclassificado com rótulos gerados a partir de aprendizado não supervisionado. Com aprendizado baseado em sequência, a detecção excede a rotulagem como simplesmente “malware” apenas. Essa abordagem pode resultar em trabalhos futuros, onde a triagem de malware pode ser mais eficaz.
Carlin et al. (Sun,) estudou essa questão.