61、CL - GCN：基于图卷积网络的恶意软件家族相似性计算

CL - GCN：基于图卷积网络的恶意软件家族相似性计算

1. 研究背景与动机

在恶意软件分析领域，如何高效且准确地计算恶意软件家族之间的相似性是一个关键问题。传统的基于图编辑距离和最大频繁子图挖掘的方法在计算图相似性和图匹配时存在高复杂度的问题，属于NP问题。同时，现有的特征选择方法也存在效率不高、无法解决NP完全问题或在指令分布维度高且特征不明显时无法准确进行家族分类等不足。

2. 相关工作

• 恶意软件相似性计算 ：
  • Flake等人提出通过可执行文件的控制流图来判断代码执行语义的相似性。
  • Gupta等人基于恶意软件函数调用图的静态分析，使用图匹配来比较相似性。
  • Kipf等人基于图卷积网络计算恶意软件的相似性，以应对恶意代码函数调用图匹配的高复杂度问题。
• 特征选择 ：
  • Kinable等人应用调用图等高级特征进行同源性分析，但效率不够。
  • Searles等人提出函数调用图匹配方法，并使用并行SPGK算法计算恶意软件调用图之间的相似度，虽提高了分类准确性，但未解决图匹配算法的NP完全问题。
  • Kang等人分析二进制文件之间的公共函数来计算相似性，时间复杂度高。
  • Han等人使用函数指令频率作为特征对恶意软件进行分类和加速分类，但在指令分布维度高且特征不明显时无法准确进行家族分类。

3