Malicious code detection: Run trace analysis by LSTM

ICT uygulamalarının günlük hayatta giderek yaygınlaşması sebebiyle zararlı yazılım tehditleri ve tespiti, bilgi güvenliğinin alt alanı olarak önem kazanmaya devam ediyor. Zararlı yazılımlardan koruma sistemlerinin tasarlanmasında ve geliştirilmesinde en büyük zorluk tespit mekanizmasının kapsamı, daha spesifik olarak polimorfik ve metamorfik zararlı yazılımları etkin şekilde tespit edebilecek dinamik analiz methodlarının oluşturulmasıdır. Bu çalışmada zararlı kod parçalarını tespit edebilmek için LSTM ile run trace analizi yapan metadolojik bir framework öneriyoruz. Zararlı ve zararsız çalıştırılabilir dosyaların run trace çıktıları üzerine modeller geliştirdik. Çalıştırılabilir dosyaların dinamik analizinden elde edilen run trace çıktılarından ilk veri setimizi oluşturduk. Elde edilen bu veri setinde diziler asssembly talimatları formatındaydı ve "Instruction as a Sequence Model (ISM)" olarak adlandırıldı. İlk veri setini temel bloklara bölerek "Basic Block as a Sequence Model (BSM)" olarak adlandırdığımız ikinci veri setini elde ettik. Yapılan denemeler ISM modelinin %87,51 doğruluk oranına ve %18,34 yanlış-pozitif oranına ulaştığını gösterirken BSM modelinin %99,26 doğruluk oranına ve %2,62 yanlış-pozitif oranına ulaştığını gösterdi.