Diferenciando malware de cleanware usando análise comportamental

Este artigo propõe uma abordagem escalável para distinguir arquivos maliciosos de arquivos limpos, investigando as características comportamentais utilizando logs de várias chamadas de API. Também propomos, como uma alternativa ao método tradicional de identificação manual de arquivos de malware, um sistema de classificação automatizado usando características em tempo de execução de arquivos de malware. Para ambos os projetos, usamos uma ferramenta automatizada executando em um ambiente virtual para extrair características de chamadas de API de executáveis e aplicar algoritmos de reconhecimento de padrões e métodos estatísticos para diferenciar entre os arquivos. Nossos resultados experimentais, com base em um conjunto de dados de 1368 arquivos de malware e 456 arquivos limpos, fornecem uma precisão superior a 97% na distinção entre malware e cleanware. Nossas técnicas oferecem uma precisão similar para classificar malware em famílias. Em ambos os casos, nossos resultados superam técnicas comparáveis publicadas anteriormente.