Sofistikerade malware författare kan smyga dolda skadlig kod i bärbara körbara filer, och denna kod kan vara svårt att upptäcka, särskilt om krypterade eller komprimerade. När en körbar fil växlar mellan kodsystem (t.ex. inbyggt, krypterat, komprimerat, text och stoppning), sker motsvarande förändringar i filens representation som en entropisignal. I detta dokument utvecklar vi en metod för att automatiskt kvantifiera i vilken utsträckning mönstrade variationer i en fils entropisignal gör den "misstänksam". I experiment 1, använder vi wavelet transformers för att definiera en misstänkt strukturerad Entropic Change Score (SSECS), en skalar funktion som kvantifierar misstänksamheten i en fil baserat på dess distribution av entropisk energi över flera nivåer av rumslig upplösning. Baserat på denna enda funktion, var det möjligt att höja prediktiv noggrannhet på en malware upptäckt uppgift från 50,0% till 68,7%, även om den enda funktionen tillämpades på en heterogen corpus av malware upptäckte "i det vilda." I Experiment 2, beskriver vi hur wavelet-baserade nedbrytningar av programvara entropi kan tillämpas på en parasitisk malware detektion uppgift som omfattar ett stort antal prover och funktioner. Genom att extrahera endast sträng och entropi funktioner (med wavelet decompositioner) från programprover, kan vi få nästan 99% upptäckt av parasitisk malware med färre än 1% falska positiva på bra filer. Dessutom, tillägg av wavelet-baserade funktioner jämnt förbättrad detektion prestanda över rimliga falska positiva frekvenser, både i en sträng-endast modell (t.ex. från 80,90% till 82,97%) och en sträng-plus-entropy modell (t.ex. från 92,10 % till 94,74 % och från 98,63 % till 98,90 %. Sammantaget, våget nedbrytning av programvara entropi kan vara användbart för maskininlärning
När en PE-fil växlar mellan innehållssystem (dvs. Inhemsk kod, krypterad sektion, komprimerad sektion, text, stoppning), det finns motsvarande skift i sin entropi tidsserie REF.
Wavelet decomposition of software entropy reveals symptoms of malicious code
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science', 'Mathematics']}