På grund av deras mångsidiga funktionalitet och utbredda antagande har PDF-dokument blivit en populär väg för användarexploatering som sträcker sig från storskaliga phishing attacker till riktade attacker. I detta dokument presenterar vi en ram för robust upptäckt av skadliga dokument genom maskininlärning. Vår strategi är baserad på funktioner som extraheras från dokumentmetadata och struktur. Med hjälp av verkliga datauppsättningar, visar vi lämpligheten av dessa dokument egenskaper för malware upptäckt och hållbarheten av dessa funktioner över nya malware varianter. Vår analys visar att Random Forests klassificeringsmetod, en ensemble klassificerare som slumpmässigt väljer funktioner för varje enskild klassifikation träd, ger den bästa detektionsfrekvensen, även på tidigare osedda malware. Faktum är att med hjälp av flera datauppsättningar som innehåller ett aggregat på över 5 000 unika skadliga dokument och över 100.000 godartade, förblir vår klassificeringsgrad långt över 99% samtidigt som låga falska positiva av 0,2% eller mindre för olika klassificeringsparametrar och experimentella scenarier. Dessutom har klassificeraren möjlighet att upptäcka dokument som skapats för riktade attacker och skilja dem från brett distribuerade skadliga PDF-dokument. Anmärkningsvärt, vi upptäckte också att genom att artificiellt minska påverkan av de bästa funktionerna i klassificeringsapparaten, kan vi fortfarande uppnå en hög hastighet av detektion i en kontradiktorisk miljö där angriparen är medveten om både de bästa funktionerna som används i klassificeringsapparaten och vår normalitet modell. Klassifieraren är därför motståndskraftig mot imiteringsattacker även med kunskap om dokumentegenskaperna, klassificeringsmetoden och träningssättet.
REF presenterar en annan metod baserad på maskininlärning som syftar till att upptäcka sårbarheter.
Malicious PDF detection using metadata and structural features
{'venue': "ACSAC '12", 'journal': None, 'mag_field_of_study': ['Computer Science']}