6、利用人工智能进行恶意软件分析及结果可解释性研究

利用人工智能进行恶意软件分析及结果可解释性研究

1. 引言

近年来，恶意软件的数量和攻击次数呈指数级增长，例如向沙箱（如 Virustotal 或 Any.run）的在线提交数量不断增加。同时，恶意软件的检测难度也越来越大，因为它们采用了复杂的逃避技术，如多态性，这使得基于签名的检测方法逐渐过时。因此，研究人员和企业开始转向人工智能方法来处理大量复杂的恶意软件。

本研究主要关注恶意软件的静态分析，因为动态分析虽然效果好，但对于需要处理大量可疑文件的企业来说，会消耗大量的资源和时间。

2. 现有技术状态

恶意软件的检测和分析是非常活跃的研究领域，近年来提出了多种方法：
- 基于签名的检测 ：该方法通过存储良性和恶意文件的代码片段（签名），将可疑文件的签名与签名数据库进行比较。但它的弱点是需要先获取文件，确定其性质并记录签名。
- 动态分析 ：在安全环境（物理或虚拟沙箱）中运行可疑文件，让分析师安全地研究文件的行为。这种方法在检测新的恶意软件或经过混淆技术修改的已知恶意软件方面特别有效，但可能会浪费时间和资源，而且有些恶意软件能够检测到虚拟环境并停止运行以隐藏其性质。
- 静态分析与机器学习结合 ：旨在不运行文件的情况下研究其目的和性质。常见的方法是基于二进制文件的位统计（熵、分布等）提取特征，然后使用机器学习算法进行二进制分类，如随机森林、XGBoost 和 LightGBM 等。不同的研究在这方面有不同的进展：
- Anderson 等人提供了 Ember 数据集用于训练机器学习算法。
- Ra