基于改进CNN的恶意软件分类方法

作者：轩勃娜; 李进

来源：电子学报, 2023, 51(05): 1187-1197.

• 网络安全
• 恶意代码分类
• RGB图像
• 汇编信息
• 语义关系
• 坐标注意力模块
• 空洞空间金字塔

越来越多的恶意软件变种给网络安全带来了巨大的威胁，导致了现有基于CNN(Convolutional Neural Networks)的恶意软件分类方法的泛化能力弱和准确性不足.为了解决这些问题，本文提出了一种新的方法，即基于改进CNN的恶意软件RGB(Red Green Blue)可视化的分类方法，可以抵御变种和混淆性恶意软件.首先，提出了一种基于RGB图像的特征表示方法，该方法更加关注恶意软件的二进制和汇编信息、API信息间的语义关系，生成具有更丰富纹理信息的图像，可以挖掘恶意代码原始与变种之间更深层的依赖关系.其次，针对恶意软件的加密和混淆问题，使用坐标注意力模块（Coordinate Attention Module,CAM）获取更大范围的空间信息来强化特征.最后，结合空洞空间金字塔池化（Atrous Spatial Pyramid Pooling,ASPP）来改进CNN模型，解决因图像尺寸归一化导致的信息丢失和冗余.实验结果表明，上述方法在最近的先进方法中脱颖而出，对Kaggle数据集和DataCon数据集的准确率分别达到99.48%和97.78%.与其它方法相比，该方法对Kaggle数据集的准确率提高了0.22%，对DataCon数据集的准确率提高了0.80%.本文方法可以有效地分类恶意软件和恶意软件家族变种，具有良好的泛化能力和抗混淆能力.

• 单位
  空军工程大学防空反导学院