传统防病毒标签对使用动态运行时操作码的恶意软件检测的影响

恶意软件分发者与寻求提供防御措施的人之间的军备竞赛迄今为止更有利于前者。签名检测方法无法应对新二进制文件的攻击，而这些文件受到快速发展的混淆技术的帮助。最近的研究集中在低级操作码的分析上，既有静态分析也有动态分析，作为检测恶意软件的一种方式。尽管在检测恶意软件时有时成功，但静态分析仍无法解开混淆代码，而动态分析则可以让研究人员在运行时调查已揭示的代码。该领域的研究受限于基础数据集；旧的且样本不足的恶意软件可以减少此类数据集的外推潜力。本文的主要贡献是创建一个超过100,000个标记样本的新解析运行时跟踪数据集，以解决这些不足，我们提供该数据集供更广泛的研究社区使用。该数据集支持使用基于计数和基于序列的数据进行分类器的运行跟踪检验。我们发现，当样本被标记为传统防病毒（AV）标签时，恶意软件检测率有所下降。无论是基于计数还是基于序列的算法都无法充分区分AV标签类别。当恶意软件被重新分类为源于无监督学习的标签时，检测率会增加。通过基于序列的学习，检测超过了仅仅将其标记为“恶意软件”的效果。这种方法可能会产生未来的研究工作，其中恶意软件的分类将更为有效.