基于深度学习与计算语言学的恶意代码作者身份识别研究

The author attribution of malicious code, especially the advanced persistent threat code, can play an important role in judging the responsibility of attack event and restoring the attack scene, and so on. At present, the automatic analysis and detection of malicious code has become mature. However, the author attribution mainly depends on manual analysis, which is inefficient. The challenge of automatic identification is that most of the features of malicious code reflect function, structure information, which can not reflect the relationship with author; Malicious code always use advanced writing or hiding techniques, feature extraction is more complex; And the sample sets for specific organizations or author are smaller, it is impossible to use machine learning to carry out large-scale training. The subject intends to carry out malicious code authorship attribution based on deep machine learning and computational linguistics. which inspired from the methods of author attribution in natural language texts in computational linguistics. Firstly, we analyze and extract the characteristics of malicious code style which reflect the characteristics of code authors, to describe the author from the perspective of style, and formalize the identity attribute information of the author. Then we use the method of deep learning to train the processed features, modeling the authors , and finally apply the model to identify unknown malicious code authors. Then study the clustering of malicious code for the same author, form a portrayal of the evolution of the author's work.

对恶意代码特别是高级可持续攻击代码进行作者身份识别能够对攻击事件责任判定、攻击场景还原等工作产生重要作用。目前恶意代码的自动化分析与检测虽已趋于成熟，但作者身份的识别主要依赖人工分析，效率低下。自动化的身份识别挑战在于：恶意代码的特征大多反映功能、结构的信息，反映与作者关系的特征较少；采用高级的编写或隐藏技术，特征的提取更加复杂；针对特定组织的样本集较小，无法使用机器学习开展大规模训练。课题拟开展基于深度机器学习和计算语言学的恶意代码作者身份识别，借鉴计算语言学中自然语言文本作者身份识别的方法，首先分析和提取反映代码作者特点的恶意代码风格特征，从风格的角度抽象刻画作者，并对作者身份属性信息进行形式化描述；然后研究采用深度学习的方法对处理后的特征进行训练，完成作者的建模，并最终用于未知恶意代码作者的识别；之后研究针对同一作者的恶意代码的聚类，形成对作者作品演变的刻画。

本项目针对基于深度机器学习的恶意代码分类和作者身份识别开展相关工作，在理论研究的同时，通过实验验证了相关方法的有效性。项目研究主要包含恶意代码的多层次特征获取、恶意代码测试基准集的建立，以及深度学习模型的设计与调优。项目执行3年期间，已经完成项目计划中的上述研究任务，取得一系列的研究进展，具体包括：1）在恶意代码特征获取方面，采用静态和动态结合的方式，在文件格式、字节、指令、基本块、控制流图、函数等多个层次进行了特征提取，提出了基于代码进化的恶意代码沙箱规避检测技术，实现了对可执行文件信息的全面自动化获取。2）提出了恶意软件基准测试集生成方法，通过特征聚类和遗传抽样及测试集合的信息熵计算，解决不同的恶意代码分类模型间的能力比较问题，有效规避代码检测过程中的不确定性，提高恶意代码分类过程的效率和准确度。3）设计了一种在效率和时间消耗上都优于传统注意机制的可扩展的注意力机制网络模型，在可扩展注意层中有多个子层，用于产生多维注意向量，而每个子层包含多个神经元。可扩展注意层中各子层神经元均可进行激活操作。模型在标准测试集上取得了较好的分类性能，有效扩展了利用深度学习对恶意代码检测和分类的相关研究。