Detta arbete fokuserar på en specifik front av malware upptäckt vapen-race, nämligen upptäckt av ihållande, disk-bofast malware. Vi utnyttjar normaliserad kompression avstånd (NCD), en information teoretisk åtgärd, tillämpas direkt på binärer. Med tanke på ett zoo av märkta malware och godartade-program, frågar vi om ett misstänkt program är mer lik vår malware eller vår godartadeware. Vår strategi klassificerar malware med 97,1% noggrannhet och en falsk positiv hastighet på 3%. Vi uppnår våra resultat med off-the-shälf kompressorer och en standard maskininlärning klassificerare och utan någon specialiserad kunskap. En slutanvändare behöver bara samla en djurpark av malware och godartade-program och sedan kan omedelbart tillämpa våra tekniker. Vi tillämpar statistisk stringens på våra experiment och vårt urval av data. Vi visar att noggrannheten kan optimeras genom att kombinera NCD med de körbaras kompressibilitetshastigheter. Vi visar att malware rapporteras inom en mer snäv tidsram av några dagar är mer homogen än malware rapporteras under en längre en av två år men att vår metod fortfarande klassificerar den senare med 95,2% noggrannhet och en 5% falsk positiv frekvens. På grund av användningen av kompression är tids- och beräkningskostnaden för vår metod icke-trivial. Vi visar att enkla approximeringsmetoder kan förbättra tids komplexiteten i vår strategi med upp till 63 procent. Vi jämför våra resultat med resultaten av att tillämpa 59 antimalware program som används på VirusTotal webbplats till vår malware. Vårt tillvägagångssätt är bättre än någon av dem och de 59 som används kollektivt.
För detta arbete har vi provat genomförandet av en annan referensdetektor baserad på den information teoretiska metoden för malware upptäckt, liknande de som används av REF.
Detecting Malware with Information Complexity
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Mathematics', 'Computer Science']}