Un enfoque en línea para el agrupamiento de malware

Los ataques de Malware han aumentado mucho en los últimos años, volviéndose más avanzados y complicados. Por eso, encontrar y clasificar malware es super importante para mantener la información segura. Hay un montón de Muestras de malware por ahí, así que es necesario clasificarlas por sus características dañinas. Por eso se están usando más métodos de Agrupamiento en la seguridad informática para ver cómo actúa el malware y para identificar nuevos grupos de malware. Los métodos de agrupamiento en línea nos ayudan a entender cómo se comporta el malware y a responder más rápido a nuevos peligros.

#La Necesidad de Detección de Malware

En el campo de la detección de malware, hay dos grupos principales. Un grupo crea malware, generalmente para obtener ganancias, mientras que el otro trabaja para encontrarlo y detenerlo antes de que cause daño. Antes, crear software dañino tomaba mucho tiempo y requería conocimientos especializados sobre sistemas informáticos, redes y programación. Hoy en día, hacer programas dañinos es mucho más rápido y fácil. Hay herramientas disponibles que pueden generar malware sin necesidad de tener un conocimiento profundo. Algunas de estas herramientas se pueden encontrar gratis, pero otras son difíciles de conseguir, ya que pueden estar en la darknet o tener un costo.

Al usar un generador de malware, se ingresan un conjunto de parámetros específicos y se produce un tipo específico de malware. Diferentes parámetros pueden llevar a diferentes tipos de malware. Dependiendo del generador, puedes encontrar diferencias entre los tipos de malware basándote solo en los parámetros usados. Por ejemplo, dos tipos de malware pueden ser similares en lo que hacen pero pueden usar diferentes métodos para ocultar sus acciones dañinas.

Los investigadores creen que el malware creado por el mismo generador mostrará similitudes. Piensan que si miramos lo suficientemente de cerca, podremos ver que las muestras hechas por el mismo generador son parecidas. Por lo tanto, podemos relacionar ciertos generadores con Familias de malware específicas. Estudios anteriores sobre la clasificación de malware asumieron que el malware de la misma familia será similar y distinto de otras familias y archivos inofensivos.

Agrupar malware en familias es útil para las compañías antivirus, ya que reciben muchas nuevas muestras dañinas cada día. El objetivo es clasificar estas muestras en grupos donde los artículos en el mismo grupo pertenezcan a la misma familia. Esto ayudará a los analistas de malware a obtener muestras similares a la vez, haciendo su trabajo más rápido.

El agrupamiento de malware también es importante para la investigación porque ayuda a rastrear cómo cambian las diferentes familias de malware con el tiempo. Esta información puede ser usada para predecir futuros tipos de malware. Es crítico para el sector de antivirus, ya que puede acortar el tiempo que toma detectar y eliminar malware.

#Modelo de Agrupamiento en Línea Propuesto

Este documento discute un nuevo método que usa aprendizaje automático para agrupar muestras dañinas en sus familias correspondientes en línea. Este modelo puede agrupar muestras individualmente y no requiere que todas las muestras estén presentes a la vez. Una nueva regla ayuda a determinar si una muestra pertenece a una familia conocida o a una nueva emergente. Las muestras se procesan a medida que llegan, y los resultados muestran que este método funciona mejor que simplemente aplicar Algoritmos de agrupamiento directamente.

La organización de este documento incluye una revisión de trabajos relacionados, la introducción de tres algoritmos de agrupamiento en línea, la presentación del sistema propuesto y los resultados de los experimentos. El documento concluye con sugerencias sobre lo que se puede hacer a continuación.

#Trabajo Relacionado

Hay un creciente interés en usar métodos no supervisados para tareas como la detección de malware, el análisis de imágenes y la comunicación inalámbrica. Estudios recientes se han centrado en usar técnicas de aprendizaje no supervisado para clasificar o encontrar malware.

Un método llamado MalFamAware usa agrupamiento en línea para identificar y categorizar familias de malware automáticamente. Actualiza los grupos a medida que llegan nuevas muestras sin necesidad de analizar todo el conjunto de datos de nuevo. Otro estudio usó métodos de agrupamiento en dos pasos que combinan resultados de varios algoritmos para mejorar los resultados finales de categorización.

Hay otros estudios que combinan mapas autoorganizados con otros métodos de agrupamiento para mejorar los resultados. Algunos investigadores propusieron nuevos marcos basados en aprendizaje no supervisado que ayudan a identificar aplicaciones maliciosas de Android. Otros trabajaron en sistemas que agrupan automáticamente sitios web dañinos o malware en familias basadas en características compartidas usando conjuntos de grupos.

Otro estudio introdujo un algoritmo genético para agrupar tipos desconocidos de malware. Usaron un conjunto de datos populares de malware para mejorar el agrupamiento de comportamiento a través de técnicas avanzadas. Algunos estudios se centraron en cómo diferentes familias de malware se relacionan entre sí analizando datos de bytes y usando técnicas de agrupamiento.

Además, los mapas autoorganizados se usaron para crear grupos que muestran similitudes en el comportamiento del malware. Estos métodos han tenido diferentes grados de éxito en mejorar el análisis y la clasificación de muestras dañinas.

#Metodología

Los algoritmos de agrupamiento ayudan a agrupar objetos similares en grupos. Este trabajo se centra en métodos de agrupamiento en línea que procesan datos a medida que llegan con el tiempo. Nos enfocamos en tres métodos usados en nuestros experimentos: Online -means, Basic Sequential Algorithmic Scheme (BSAS) y Self-Organizing Map (SOM). Aplicamos estos métodos para asociar muestras con familias de malware.

#Online -means (OKM)

Este método es una variación de las técnicas de agrupamiento tradicionales, donde nuevas muestras son agrupadas y el centro de ese grupo se actualiza inmediatamente. La desventaja es que el número de grupos debe establecerse de antemano.

#Self-Organizing Map (SOM)

El SOM es un tipo de técnica de aprendizaje no supervisado que organiza datos basándose en la similitud. Reduce datos complejos a una cuadrícula bidimensional más simple. El algoritmo selecciona el nodo que es más similar a la entrada dada, actualizando las conexiones basadas en esta similitud. El SOM aprende a través de las interacciones entre nodos, permitiéndole crear grupos.

#Basic Sequential Algorithmic Scheme (BSAS)

El algoritmo BSAS analiza cada nuevo punto de datos y lo agrupa en un grupo existente o crea uno nuevo. Lo hace basándose en umbrales preestablecidos de distancia y número de grupos. El número de grupos puede crecer naturalmente a medida que llegan nuevos datos, haciendo el método flexible.

#Distance-weighted -nearest Neighbor (WKNN)

Este clasificador se usa para asignar nuevos datos a familias de malware conocidas basándose en la distancia. Da más importancia a los vecinos más cercanos en sus decisiones.

#Enfoque Propuesto

Nuestro modelo se enfoca en el agrupamiento tanto de un conjunto de datos fijo de muestras etiquetadas como de un flujo de nuevas muestras. El objetivo es agrupar estas muestras de manera efectiva mientras se proporciona una alta pureza en los grupos.

#Preparación de Datos

El conjunto de datos contiene muchas características relacionadas con muestras de malware. Los datos en streaming consisten en muestras recientemente emergentes. Al procesar ambos conjuntos de datos, el sistema puede identificar rápidamente similitudes y agruparlas en consecuencia.

#Proceso de Agrupamiento

Una vez que el conjunto de datos está preparado, las muestras se procesan individualmente. Cada nueva muestra se clasifica para ver si pertenece a una familia existente o a una nueva. El modelo propuesto ayuda a expandir los grupos al permitir que se agreguen nuevas muestras basándose en ciertas condiciones.

#Resultados Experimentales

Los experimentos evaluaron el modelo de agrupamiento en línea propuesto con tres algoritmos diferentes. Cada método aborda cómo agrupar malware recién emergente basándose en reglas establecidas.

#Rendimiento de Métodos de Agrupamiento

Los resultados mostraron que los tres algoritmos lograron una pureza de grupo decente, siendo OKM generalmente el que mejor rendimiento tuvo. La eficiencia de agrupamiento también se midió usando coeficientes de silueta, indicando qué tan bien separados estaban los grupos.

#Comparación con Otros Métodos

Cuando se comparó el modelo de agrupamiento en línea propuesto con métodos tradicionales, mostró un mejor rendimiento. La pureza del agrupamiento fue más alta, indicando una agrupación más efectiva de las muestras.

#Eficiencia Computacional

Se midió el tiempo que tomó cada algoritmo de agrupamiento. Todos los métodos completaron el agrupamiento en menos de un segundo para el número promedio de muestras. OKM resultó ser el más rápido entre los algoritmos probados.

#Conclusión

El trabajo presentado involucra el agrupamiento en línea de muestras de malware en streaming con el objetivo de agruparlas en familias. Usando varios algoritmos, el estudio demostró que este enfoque puede ser efectivo. Los resultados indicaron que el modelo de agrupamiento en línea logró grupos con mayor pureza que los métodos tradicionales.

#Trabajo Futuro

Hay potencial para mejorar este modelo para manejar más familias mientras se mantiene una alta pureza de grupo. Explorar métodos como el aprendizaje semi-supervisado podría mejorar el agrupamiento al utilizar un conjunto más pequeño de muestras conocidas.

Esta investigación enfatiza el valor de agrupar correctamente las muestras de malware, lo cual es crucial para acelerar el proceso de análisis y ayudar a predecir nuevas variantes de malware.