基于卷積神經(jīng)網(wǎng)絡(luò)的惡意代碼API分類

梅振輝　方歡

摘 要：惡意代碼已經(jīng)成為威脅網(wǎng)絡(luò)安全的重要因素之一，安全人員一直致力于研究如何有效檢測(cè)惡意代碼，在動(dòng)態(tài)分析方法中可以通過(guò)程序的API調(diào)用序列進(jìn)行分析。通過(guò)對(duì)惡意軟件的API調(diào)用序列進(jìn)行編碼處理，可以獲得圖片格式的數(shù)據(jù)，進(jìn)而使用卷積神經(jīng)網(wǎng)絡(luò)訓(xùn)練出分類模型，從而實(shí)現(xiàn)對(duì)惡意軟件進(jìn)行分類，獲得較高的準(zhǔn)確率，針對(duì)阿里云天池上的數(shù)據(jù)集進(jìn)行實(shí)驗(yàn)驗(yàn)證，實(shí)驗(yàn)使用有向圖編碼方式，采用不同的卷積神經(jīng)網(wǎng)絡(luò)架構(gòu)，對(duì)比不同方法的準(zhǔn)確性。

關(guān)鍵詞：卷積神經(jīng)網(wǎng)絡(luò)；惡意代碼分類；API調(diào)用序列

中圖分類號(hào)：TP309? 文獻(xiàn)標(biāo)識(shí)碼：A? 文章編號(hào)：1673-260X（2023）02-0039-05

1 引言

惡意軟件是當(dāng)今互聯(lián)網(wǎng)面臨的主要安全威脅之一，準(zhǔn)確地檢測(cè)出惡意軟件，并且把惡意軟件進(jìn)行準(zhǔn)確分類對(duì)于防范網(wǎng)絡(luò)攻擊很重要。惡意軟件檢測(cè)技術(shù)主要分為靜態(tài)分析技術(shù)和動(dòng)態(tài)分析技術(shù)[1]，靜態(tài)分析技術(shù)主要通過(guò)語(yǔ)法、語(yǔ)義和控制流來(lái)判斷是否為惡意代碼，動(dòng)態(tài)分析技術(shù)是通過(guò)實(shí)際執(zhí)行代碼，觀察程序的執(zhí)行是否有危害計(jì)算機(jī)操作的行為來(lái)判斷是否是惡意程序。惡意代碼會(huì)有一系列的對(duì)抗技術(shù)來(lái)阻止安全人員對(duì)其檢測(cè)分析，其中包括加殼、代碼混淆技術(shù)和反虛擬技術(shù)。靜態(tài)分析技術(shù)容易受到對(duì)抗技術(shù)影響，在動(dòng)態(tài)分析技術(shù)中可以通過(guò)可執(zhí)行程序的API（Application Programming Interface）序列進(jìn)行分析，惡意代碼在執(zhí)行某些惡意行為時(shí)，要通過(guò)調(diào)用一系列的API來(lái)完成，不同的惡意行為需要調(diào)用不同的API序列，因此正常軟件和惡意軟件所執(zhí)行的API序列特征有很大差異，不同類型的惡意軟件執(zhí)行的API序列特征也有差異。同類惡意家族類型的軟件，產(chǎn)生的API序列具有相似的行為，所以將API序列可視化為圖像之后也具有相同的紋理、結(jié)構(gòu)等特征。此時(shí)，針對(duì)惡意軟件分類的問題，可以轉(zhuǎn)換為圖像分類問題，可以使用機(jī)器學(xué)習(xí)算法和深度學(xué)習(xí)算法的分類器進(jìn)行分類。本文使用有向圖將API序列進(jìn)行編碼為圖像格式的數(shù)據(jù)，然后使用了四種經(jīng)典的卷積神經(jīng)網(wǎng)絡(luò)進(jìn)行訓(xùn)練分類，準(zhǔn)確地分析程序是否為惡意軟件以及惡意程序的類型。

本文結(jié)構(gòu)如下，第二節(jié)介紹了相關(guān)工作，第三節(jié)介紹了我們的研究方法，在第四節(jié)中介紹了本文的實(shí)驗(yàn)和結(jié)果分析，最后一節(jié)進(jìn)行了總結(jié)和展望。

2 相關(guān)工作

對(duì)惡意軟件的檢測(cè)，有些研究者研究把惡意的可執(zhí)行程序轉(zhuǎn)化為圖像格式的數(shù)據(jù)，然后使用深度學(xué)習(xí)和群體智能算法對(duì)惡意軟件進(jìn)行分類[2]。本文主要研究如何通過(guò)使用可執(zhí)行軟件的API序列來(lái)對(duì)惡意軟件進(jìn)行分類。

對(duì)于通過(guò)使用API調(diào)用序列來(lái)判斷惡意軟件的類型的工作有很多，主要的思想就提取每種惡意軟件類型中的數(shù)據(jù)信息，對(duì)提取的數(shù)據(jù)信息采用不同的編碼方式進(jìn)行編碼，然后使用機(jī)器學(xué)習(xí)或者深度學(xué)習(xí)建立分類器，從而實(shí)現(xiàn)對(duì)惡意代碼進(jìn)行分類。Xu等人最早提出了在windows平臺(tái)上為已知病毒和可疑代碼構(gòu)建API調(diào)用序列[3]，通過(guò)序列對(duì)比進(jìn)行相似性測(cè)量，判斷程序是否為惡意代碼。不同于傳統(tǒng)的基于序列挖掘和圖匹配檢測(cè)惡意代碼，為了對(duì)抗惡意樣本的反檢測(cè)行為，趙翠镕等人設(shè)計(jì)提出了一種基于程序語(yǔ)義API依賴圖的動(dòng)態(tài)分析方法[4]，使用隨機(jī)森林進(jìn)行分類。不同于其他文獻(xiàn)只使用API調(diào)用序列特征進(jìn)行學(xué)習(xí)，韓蘭勝等人提出使用可執(zhí)行程序運(yùn)行時(shí)API函數(shù)調(diào)用名、API函數(shù)的輸入?yún)?shù)以及兩種特征的組合作為特征[5]，利用信息增益選取關(guān)鍵特征，最后使用決策樹進(jìn)行分類，效果要高于僅使用函數(shù)名作為特征的方法。Acarman等人使用了n-gram提取特征作為向量[6]，用以發(fā)現(xiàn)代表惡意軟件行為的特征，然后使用機(jī)器學(xué)習(xí)分類器訓(xùn)練建立惡意軟件分類模型。Ki等人提出通過(guò)使用提取的API調(diào)用序列模式和關(guān)鍵API調(diào)用序列[7]，利用了DNA序列比對(duì)算法，可以精確地檢測(cè)未知惡意軟件或惡意軟件變體。Schofield等人通過(guò)提取API調(diào)用序列的TF-IDF向量和分類向量[8]，使用一維卷積神經(jīng)網(wǎng)絡(luò)進(jìn)行訓(xùn)練分類。Sun等人提出使用Word2Vec模型訓(xùn)練語(yǔ)言模型對(duì)提取序列中的名稱進(jìn)行向量化[9]，使用時(shí)間卷積網(wǎng)絡(luò)（TCN）訓(xùn)練分類模型。

文獻(xiàn)中提出的方法都使用阿里云天池中的惡意代碼數(shù)據(jù)集進(jìn)行驗(yàn)證。Chai等人采用了一種LGMal[10]惡意軟件檢測(cè)框架結(jié)合了堆疊卷積神經(jīng)網(wǎng)絡(luò)和圖卷積網(wǎng)絡(luò)，使用堆疊卷積神經(jīng)網(wǎng)絡(luò)學(xué)習(xí)API調(diào)用序列中的局部語(yǔ)義特征，使用圖卷積網(wǎng)絡(luò)用于學(xué)習(xí)API調(diào)用語(yǔ)義圖結(jié)構(gòu)信息以捕獲全局語(yǔ)義特征。Xu等人提出一種基于卷積神經(jīng)網(wǎng)絡(luò)（CNN）和長(zhǎng)短期記憶（LSTM）網(wǎng)絡(luò)的混合深度學(xué)習(xí)結(jié)構(gòu)[11]，將API的調(diào)用順序與其他統(tǒng)計(jì)特征相結(jié)合，得到的向量信息通過(guò)卷積輸入LSTM單元進(jìn)行訓(xùn)練。Zhang等人提出了一種基于譜的有向圖網(wǎng)絡(luò)（SDGNet）架構(gòu)[12]來(lái)對(duì)有向圖進(jìn)行分類。王天歌使用了兩種方法[13]訓(xùn)練分類模型，一種使用n-gram算法對(duì)API序列進(jìn)行特征提取，然后用隨機(jī)森林進(jìn)行訓(xùn)練模型，另一種使用詞向量的方法對(duì)API序列進(jìn)行向量化表示提取特征，最后用卷積神經(jīng)網(wǎng)絡(luò)學(xué)習(xí)進(jìn)行訓(xùn)練[14]。

現(xiàn)有的惡意軟件API分類的文獻(xiàn)中的編碼方式主要提取不同API名稱的數(shù)量信息，或者使用n-gram和詞向量提取特征，其中使用數(shù)量的編碼方式，并不能包含序列中的行為信息，使用n-gram和詞向量的方式也只能夠包含惡意執(zhí)行序列的部分行為信息。針對(duì)以上的問題，本文提出了使用有向圖編碼的方式，對(duì)API執(zhí)行的序列編碼為圖像格式，使用經(jīng)典的卷積神經(jīng)網(wǎng)絡(luò)進(jìn)行訓(xùn)練，可以充分利用卷積神經(jīng)網(wǎng)絡(luò)提取API執(zhí)行序列中的行為信息，從而對(duì)不同種類的惡意軟件進(jìn)行分類。

3 研究方法

卷積神經(jīng)網(wǎng)絡(luò)（Convolutional Neural Network）是目前基于深度學(xué)習(xí)的計(jì)算機(jī)視覺領(lǐng)域中重要的研究方向之一，因?yàn)槠渚哂袕?qiáng)大的特征學(xué)習(xí)與特征表達(dá)能力，被廣泛應(yīng)用于圖像分類和分割、目標(biāo)檢測(cè)等的應(yīng)用中。卷積神經(jīng)網(wǎng)絡(luò)最初被LeCun提出用于手寫字識(shí)別，CNN有多層結(jié)構(gòu)組成：包括卷積層、非線性層、池化層和全連接層。卷積層和全連接層有參數(shù)，池化層和非線性層沒有參數(shù)。

LeNet[15]是Yan LeCun在1998年引入的用于手寫數(shù)字識(shí)別的網(wǎng)絡(luò)。他的網(wǎng)絡(luò)模型共有7層，包含了三個(gè)卷積層、兩個(gè)池化層、一個(gè)輸入層、輸出層，其網(wǎng)絡(luò)如下圖1所示。

AlexNet[16]是由Hinton研究組于2012年提出的一種模型。其主要貢獻(xiàn)在于：（1）采用ReLU作為非線性激活函數(shù)，緩解了梯度消失問題；（2）使用Dropout方法用于防止過(guò)擬合；（3）通過(guò)參數(shù)優(yōu)化策略增強(qiáng)CNN的學(xué)習(xí)能力；（4）使用CUDA加速深度卷積網(wǎng)絡(luò)的訓(xùn)練，利用GPU強(qiáng)大的并行計(jì)算能力處理神經(jīng)網(wǎng)絡(luò)訓(xùn)練時(shí)大量的矩陣運(yùn)算。ResNet[17]由何凱明等人在2015年提出，解決了一般網(wǎng)絡(luò)模型增加卷積層數(shù)，造成誤差率上升的問題。MobileNet[18]由Google團(tuán)隊(duì)在2017年提出，核心思想是使用深度可分離卷積代替標(biāo)準(zhǔn)的卷積操作，它是一個(gè)輕量級(jí)的深度神經(jīng)網(wǎng)絡(luò)，計(jì)算復(fù)雜度也較低，適合移動(dòng)和嵌入式應(yīng)用。

在本文中，我們將使用以上四種結(jié)構(gòu)的卷積神經(jīng)網(wǎng)絡(luò)，對(duì)經(jīng)過(guò)有向圖編碼后的惡意代碼數(shù)據(jù)進(jìn)行分類，本文的實(shí)驗(yàn)框架如下圖2所示。

4 實(shí)驗(yàn)和結(jié)果分析

4.1 數(shù)據(jù)集描述

本次試驗(yàn)使用阿里云天池大數(shù)據(jù)平臺(tái)上的公開數(shù)據(jù)集[14]，數(shù)據(jù)集提供的數(shù)據(jù)來(lái)自windows可執(zhí)行程序經(jīng)過(guò)沙箱程序模擬運(yùn)行后的API指令序列，數(shù)據(jù)經(jīng)過(guò)脫敏處理，樣本數(shù)據(jù)收集于互聯(lián)網(wǎng)，其中惡意文件的類型有勒索病毒、感染型病毒、木馬程序、挖礦程序、DDOS木馬等。天池平臺(tái)提供了訓(xùn)練集和測(cè)試集樣本，其中訓(xùn)練集共有13887個(gè)數(shù)據(jù)樣本，具體每種樣本信息如表1所示。其中因?yàn)闇y(cè)試樣本沒有提供標(biāo)簽，所以在本次試驗(yàn)中，我們只使用13877個(gè)數(shù)據(jù)樣本，把這些樣本劃分訓(xùn)練集和測(cè)試集，我們采用了5折交叉驗(yàn)證，驗(yàn)證對(duì)比了不同CNN網(wǎng)絡(luò)架構(gòu)訓(xùn)練的兩種編碼方法的準(zhǔn)確率。

4.2 數(shù)據(jù)預(yù)處理

首先我們對(duì)Windows API具有相同含義但是函數(shù)名不同的API進(jìn)行處理，例如CopyFileW、CopyFileExW和CopyFileA三個(gè)函數(shù)有相同的含義，但是分別以W、ExW和A結(jié)尾，是因?yàn)橛?jì)算機(jī)系統(tǒng)對(duì)于不同的編碼提供的API不同，以W結(jié)尾的API主要對(duì)UNICODE編碼使用，Ex表示拓展的API函數(shù)，A結(jié)尾主要是針對(duì)ASCII編碼格式使用。對(duì)于這種情況，如果把這三個(gè)API都作為一個(gè)單獨(dú)的特征，會(huì)使生成的圖像數(shù)據(jù)很稀疏，因此，對(duì)于這三個(gè)API，我們把它們統(tǒng)一用CopyFile替換，對(duì)于其他的也類似處理，這樣可以有效地減少特征空間。

本節(jié)介紹如何把序列數(shù)據(jù)轉(zhuǎn)化為圖像格式的數(shù)據(jù)，為了實(shí)現(xiàn)這一目標(biāo)，我們要解決兩個(gè)問題，第一問題，是如何把API序列轉(zhuǎn)為圖像，第二個(gè)問題，是每個(gè)API序列的長(zhǎng)度不固定，如何轉(zhuǎn)化為固定大小的矩陣？第一個(gè)問題的解決方法是，通過(guò)記錄相鄰的API名稱在序列中出現(xiàn)的次數(shù)，構(gòu)成有向圖矩陣，矩陣中的每個(gè)數(shù)值可以作為一個(gè)像素值，同時(shí)用圖像的形式存儲(chǔ)API序列，圖的長(zhǎng)度由所有不同的API名稱的數(shù)量決定，所以使用有向圖的形式存儲(chǔ)為圖像可以容納任意長(zhǎng)度的API序列，第二個(gè)問題也得以解決。因?yàn)閿?shù)據(jù)集中的程序執(zhí)行的不同線程之間沒有順序關(guān)系，所以首先我們將每個(gè)文件子線程順序調(diào)用的序列連接在一起，然后連接不同線程之間序列，組成一條API序列，對(duì)于這個(gè)序列，提取所有序列中所有的API名稱組成字母表，通過(guò)把序列轉(zhuǎn)為有向圖向量，可以獲得一個(gè)圖像格式的數(shù)據(jù)。提取兩種序列特征，一種是提取兩個(gè)相鄰API序列，構(gòu)成一個(gè)有向圖組成圖像格式數(shù)據(jù)，另一種是分別從API序列中提取間隔為1、2、3的三個(gè)相鄰的序列組成3通道的圖片格式。

為了便于讀者理解，我們以字母表為{A，B，C，D，E}中構(gòu)成的序列AABDDCDCBD進(jìn)行說(shuō)明，他們被編碼為類圖像格式如下圖3和圖4所示。本文的數(shù)據(jù)處理以及模型訓(xùn)練的代碼公開在https：//github.com/meiief/Malicious-code-classification。

4.3 實(shí)驗(yàn)環(huán)境

為了更加高效和穩(wěn)定地進(jìn)行模型搭建和模型參數(shù)的訓(xùn)練，本文采用了基于pytorch的深度學(xué)習(xí)框架，實(shí)驗(yàn)具體的硬件環(huán)境和軟件環(huán)境如表2所示。對(duì)每次訓(xùn)練我們?cè)O(shè)置訓(xùn)練最大迭代次為50輪，并使用早停技術(shù)，當(dāng)連續(xù)5次準(zhǔn)確度沒有提高時(shí)，停止訓(xùn)練。對(duì)于訓(xùn)練神經(jīng)網(wǎng)絡(luò)使用的參數(shù)，我們采用隨機(jī)梯度下降（stochastic gradient descent）優(yōu)化器優(yōu)化器，動(dòng)量為0.5，學(xué)習(xí)率參數(shù)設(shè)置為0.001。

4.4 結(jié)果分析

對(duì)于每種方法的試驗(yàn)結(jié)果準(zhǔn)確度如下表3所示，為了直觀展示，我們繪制了圖5。由圖可以清楚地發(fā)現(xiàn)，在使用3通道的編碼方法訓(xùn)練的結(jié)果中，四種經(jīng)典卷積神經(jīng)網(wǎng)絡(luò)中三種網(wǎng)絡(luò)的準(zhǔn)確度比1通道的準(zhǔn)確度高，這是因?yàn)?通道的編碼方式提取了更多的行為信息，但是同時(shí)也耗費(fèi)了更多的訓(xùn)練時(shí)間和內(nèi)存資源。

5 總結(jié)

本文通過(guò)把API序列編碼為圖像格式的數(shù)據(jù)，提取了API序列中更多的行為信息，把惡意代碼分類問題轉(zhuǎn)化為圖像分類問題，采用了四種經(jīng)典的卷積神經(jīng)網(wǎng)絡(luò)架構(gòu)進(jìn)行訓(xùn)練模型，并使用真實(shí)的數(shù)據(jù)集進(jìn)行試驗(yàn)，得到了較好的結(jié)果。其中對(duì)API序列進(jìn)行三通道編碼的準(zhǔn)確度明顯高于1通道的編碼，這是因?yàn)?通道包含的行為特征更多，同時(shí)訓(xùn)練的時(shí)間也更長(zhǎng)，對(duì)于未來(lái)的研究，我們將計(jì)劃考慮數(shù)據(jù)集中的數(shù)據(jù)特征，如關(guān)鍵每個(gè)出現(xiàn)的次數(shù)、每個(gè)程序的線程數(shù)量等，同時(shí)使用更有效的編碼方式，使得編碼后的數(shù)據(jù)更多包含API序列中的行為，這對(duì)提高準(zhǔn)確度可能會(huì)更有效。

——————————

參考文獻(xiàn)：

〔1〕汪嘉來(lái)，張超，戚旭衍.Windows平臺(tái)惡意軟件智能檢測(cè)綜述[J].計(jì)算機(jī)研究與發(fā)展，2021，58（05）：977-94.

〔2〕JIN X， XING X， ELAHI H， et al. A malware detection approach using malware images and autoencoders; proceedings of the 2020 IEEE 17th International Conference on Mobile Ad Hoc and Sensor Systems （MASS）， F， 2020 [C]. IEEE.

〔3〕XU J-Y， SUNG A H， CHAVEZ P， et al. Polymorphic malicious executable scanner by API sequence analysis; proceedings of the Fourth International Conference on Hybrid Intelligent Systems （HIS'04）， F， 2004 [C]. IEEE.

〔4〕趙翠镕，方勇，劉亮.基于語(yǔ)義API依賴圖的惡意代碼檢測(cè)[J].四川大學(xué)學(xué)報(bào)：自然科學(xué)版，2020，57（03）：488-94.

〔5〕韓蘭勝，高昆侖，趙保華.基于API函數(shù)及其參數(shù)相結(jié)合的惡意軟件行為檢測(cè)[J].計(jì)算機(jī)應(yīng)用研究，2013，30（11）：3407-10.

〔6〕PEKTAA， ACARMAN T. Malware classification based on API calls and behaviour analysis [J]. IET Information Security， 2018， 12（02）： 107-17.

〔7〕KI Y， KIM E， KIM H K. A novel approach to detect malware based on API call sequence analysis [J]. International Journal of Distributed Sensor Networks， 2015， 11（06）： 659101.

〔8〕SCHOFIELD M， ALICIOGLU G， BINACO R， et al. Convolutional neural network for malware classification based on API call sequence; proceedings of the Proceedings of the 8th International Conference on Artificial Intelligence and Applications （AIAP 2021）， F， 2021 [C].

〔9〕SUN J， LUO X， GAO H， et al. Categorizing malware via a Word2Vec-based temporal convolutional network scheme[J]. Journal of Cloud Computing， 2020， 9（01）： 1-14.

〔10〕CHAI Y， QIU J， SU S， et al. LGMal： A joint framework based on local and global features for malware detection; proceedings of the 2020 International Wireless Communications and Mobile Computing （IWCMC）， F， 2020 [C]. IEEE.

〔11〕XU A， CHEN L， KUANG X， et al. A hybrid deep learning model for malicious behavior detection; proceedings of the 2020 IEEE 6th Intl Conference on Big Data Security on Cloud （BigDataSecurity）， IEEE Intl Conference on High Performance and Smart Computing，（HPSC） and IEEE Intl Conference on Intelligent Data and Security （IDS）， F， 2020 [C]. IEEE.

〔12〕ZHANG Z， LI Y， DONG H， et al. Spectral-based directed graph network for malware detection [J]. IEEE Transactions on Network Science and Engineering， 2020， 8（02）： 957-70.

〔13〕王天歌.基于API調(diào)用序列的Windows平臺(tái)惡意代碼檢測(cè)方法[D].北京：北京交通大學(xué)，2021.

〔14〕CLOUD Alibaba. Alibaba Cloud Malware Detection Based On Behaviors [Z]. 2018.

〔15〕LECUN Y， BOTTOU L， BENGIO Y， et al. Gradient-based learning applied to document recognition [J]. Proceedings of the IEEE， 1998， 86（11）： 2278-324.

〔16〕KRIZHEVSKY A， SUTSKEVER I， HINTON G E. Imagenet classification with deep convolutional neural networks [J]. Advances in neural information processing systems， 2012， 25.

〔17〕HE K， ZHANG X， REN S， et al. Deep residual learning for image recognition; proceedings of the Proceedings of the IEEE conference on computer vision and pattern recognition， F， 2016 [C].

〔18〕HOWARD A G， ZHU M， CHEN B， et al. Mobilenets： Efficient convolutional neural networks for mobile vision applications [J]. arXiv preprint arXiv：170404861， 2017.

收稿日期：2022-09-22

通訊作者：方歡（1982-），女，安徽池州人，博士，碩士生導(dǎo)師，教授。研究方向：Petri網(wǎng)理論與應(yīng)用、行為輪廓、變化挖掘、過(guò)程挖掘。

基金項(xiàng)目：國(guó)家自然科學(xué)基金（61902002）