61、CL - GCN：基于图卷积网络的恶意软件家族相似性计算

CL - GCN：基于图卷积网络的恶意软件家族相似性计算

1 研究背景与目的

在恶意软件分析领域，相似性计算和特征选择是关键问题。传统的基于图编辑距离和最大频繁子图挖掘的方法在计算图相似性和图匹配时存在高复杂度的问题，属于 NP 问题。同时，现有的特征选择方法在处理高维特征和不明显特征时也存在局限性。为了解决这些问题，提出了基于图卷积网络（GCN）和主题模型的恶意软件相似性计算模型 CL - GCN。该模型旨在提高计算效率，增强特征的细粒度，实现更准确的恶意软件家族分类。

2 相关工作

• 恶意软件相似性计算
  • Flake 等人提出通过可执行文件的控制流图判断代码执行语义的相似性。
  • Gupta 等人基于恶意软件函数调用图的静态分析，使用图匹配比较相似性。
  • 由于图相似性计算和图匹配的高复杂度，Kipf 等人基于图卷积网络计算恶意软件的相似性。
• 特征选择
  • Kinable 等人应用调用图等高级特征进行同源性分析，但效率不够。
  • Searles 等人提出函数调用图匹配方法，使用并行 SPGK 算法计算相似性，但图匹配算法的 NP 完全问题仍未解决。
  • Kang 等人分析二进制文件之间的公共函数计算相似性，时间复杂度高。
  • Han 等人使用函数指令频率作为特征分类恶意软件，但在指令分布维度高且特征不明显时，无法准确进行家族分类。