logo móvil
Contáctanos

Función de similitud utilizando contexto familiar

Autores: Black, Paul; Gondal, Iqbal; Vamplew, Peter; Lakhotia, Arun

Idioma: Inglés

Editor: MDPI

Año: 2020

Descargar PDF

Acceso abierto

Artículo científico
2020

Función de similitud utilizando contexto familiar


Categoría

Ingeniería y Tecnología

Subcategoría

Ingeniería Eléctrica y Electrónica

Palabras clave

Encontrar
Funciones similares
Atribución de malware
FSFC
Máquina de Vectores de Soporte
Similitud de funciones

Licencia

CC BY-SA – Atribución – Compartir Igual

Consultas: 27

Citaciones: Sin citaciones


Descripción
Encontrar funciones cambiadas y similares entre un par de binarios es un problema importante en la atribución de malware y para la identificación de nuevas capacidades de malware. Este artículo presenta una nueva técnica llamada Similitud de Funciones usando Contexto Familiar (FSFC) para este problema. FSFC entrena un modelo de Máquina de Vectores de Soporte (SVM) utilizando pares de funciones similares de dos variantes de programas. Este método mejora la investigación previa llamada Similitud de Funciones Contextuales entre Versiones Cruzadas (CVCFS) representando una función utilizando características extraídas no solo de la función en sí misma, sino también de otras funciones con las que tiene una relación de llamante y llamado. Presentamos los resultados de un experimento inicial que muestra que el uso de características adicionales del contexto de una función disminuye significativamente la tasa de falsos positivos, evitando la necesidad de un pase separado para limpiar los falsos positivos. El hallazgo más sorprendente e inesperado es que el modelo SVM producido por FSFC puede abstraer características de similitud de funciones de un par de variantes de programas para encontrar funciones similares en un par no relacionado de variantes de programas. Si se valida mediante un estudio más amplio, esta nueva propiedad lleva a la posibilidad de crear clasificadores genéricos de funciones similares que pueden ser empaquetados y distribuidos en herramientas de ingeniería inversa como IDA Pro y Ghidra.

Otros recursos que podrían interesarte

Temas Virtualpro