ارايه يك رهيافت جديد مبتني بر گراف وابستگي بين فراخواني هاي سيستمي براي استخراج الگوهاي رفتاري مخرب

Providing a New Approach to Discovering Malware Behavioral Patterns Based on the Dependency Graph Between System Calls

افزايش سريع بدافزارها موجب ناكارآمدي راه‌كارهاي شناسايي مبتني بر امضا و بالعكس مطرح شدن راه‌كارهاي كشف مبتني بر رفتار شده است. درحالي‌كه راه‌كارهاي كشف مبتني بر رفتار، راه‌حل‌هاي اميدواركننده‌اي در برابر رشد بي‌رويه توليد گونه‌هاي مختلف از يك خانواده بدافزار هستند اما همچنان از نرخ مثبت كاذب بالايي در كشف بدافزار برخوردار هستنند. براي غلبه بر اين مشكل امروزه محققان به دنبال شناسايي الگوهايي رفتاري مخربي هستند كه به نوعي نشان‌دهنده رفتارهاي مخرب ذاتي مربوط به همه‌ نمونه‌هاي يك‌ خانواده بدافزار باشند. در اين مقاله ما يك راه‌كار نوين مبتني بر كاوش زير گراف‌هاي مهم و تعيين زير گراف‌هاي تفكيك‌پذير، براي استخراج دقيق الگوهاي رفتاري مخرب موجود در هر خانواده بدافزار، پيشنهاد كرده‌ايم. نتايج حاصل از ارزيابي‌هاي ما نشان مي‌دهد كه راه‌كار ما توانسته است الگوهاي رفتاري مخرب متمايزكننده موجود در هر خانواده بدافزار، كه قابليت تميز دادن برنامه‌هاي مخرب از برنامه‌هاي سالم را دارند، را با كسب دقت 94% در شناسايي بدافزارهاي ناشناخته و نرخ خطاي كاذب صفر، در مقايسه با نرخ كشف 55% در ضد بدافزارهاي تجاري و نرخ كشف 86% در بهترين كشف كننده‌ رفتاري ارايه شده تاكنون، استخراج كند.

Most malware producers use obfuscation techniques to bypass signature-based detections. In order to provide proactive and real-time protection, the researchers have begun to develop strategies for behavior-based detection. While behavior-based detection techniques are promising solutions to this growing problem of malwares varieties, but they still suffer from high false positive rate in detecting unknown malware detection. To overcome this problem, we shall seek for identifying patterns, representing malicious intent in all instances of a malware family. In this paper, we propose a new technique, based on discriminative subgraph mining technique to identify discriminative behavioral patterns. The malicious behavioral patterns discovered by our technique from a known malware set allows the detector to reach an 94% detection rate over unknown malware with no false positives. This is a significant improvement over the 55% detection rate observed from commercial antivirus, and the 86% rate reported by the best behavior-based detector.