Detección de malware por comportamiento mediante minería de datos

Los casos de malware aumentan tanto en número como en letalidad. Los piratas informáticos diseñan programas maliciosos para comprometer la seguridad de los sistemas, sobre todo la confidencialidad, la integridad y la disponibilidad. Existen técnicas de eliminación del malware, pero primero hay que detectarlo. Las técnicas de detección de programas maliciosos siguen presentando puntos débiles, con altos índices de falsos positivos/negativos. La emergencia de malware polimórfico ha empeorado la situación. Estudios recientes han demostrado que la minería de datos es prometedora para identificar el malware mediante el análisis de las llamadas a la API. Sin embargo, en este enfoque, un archivo se detecta como malicioso o no. No se clasifica en función de la clase de malware a la que pertenece. Esto dificulta su eliminación, ya que los esquemas de eliminación se basan principalmente en clases. La clasificación como proceso posterior a la detección es importante si se quiere eliminar el malware del sistema. Experimentamos con el uso de un enfoque de minería de datos para clasificar el malware utilizando llamadas al sistema de la API 4-gram. Utilizamos ejecutables portátiles (PE) de Windows con sus correspondientes llamadas API. Usamos el sandbox Cuckoo. Las características relevantes de las llamadas a la API de 4 gamas se extraen utilizando Term Frequency-Inverse Document Frequency (TF-IDF). A continuación, se aplican algoritmos de aprendizaje automático para clasificar el malware.