The rapid growth of malicious software (malware) production in recent decades and the increasing number of threats posed by malware to network environments, such as the Internet and intelligent environments, emphasize the need for more research on the security of computer networks in information security and digital forensics. The method presented in this study identifies “species” of malware families, which are more sophisticated, obfuscated, and structurally diverse. We propose a hybrid technique combining aspects of signature detection with machine learning based methods to classify malware families. The method is carried out by utilizing Profile Hidden Markov Models (PHMMs) on the behavioral characteristics of malware species. This paper explains the process of modeling and training an advanced PHMM using sequences obtained from the extraction of each malware family’s paramount features, and the canonical sequences created in the process of Multiple Sequence Alignment (MSA) production. Due to the fact that not all parts of a file are malicious, the goal is to distinguish the malicious portions from the benign ones and place more emphasis on them in order to increase the likelihood of malware detection by having the least impact from the benign portions. Based on “consensus sequences”, the experimental results show that our proposed approach outperforms other HMM-based techniques even when limited training data is available. All supplementary materials including the code, datasets, and a complete list of results are available for public access on the Web.1

中文翻译：

---

用于恶意软件检测的高级配置文件隐藏马尔可夫模型

近几十年来，恶意软件（恶意软件）产品的快速增长以及恶意软件对网络环境（如Internet和智能环境）构成的威胁的数量不断增加，凸显了在信息安全和安全性方面需要对计算机网络安全性进行更多研究的必要性。数字取证。本研究中介绍的方法可识别恶意软件家族的“种类”，它们更加复杂，混淆且结构多样。我们提出一种混合技术，将签名检测的各个方面与基于机器学习的方法相结合，以对恶意软件家族进行分类。该方法是通过利用配置文件隐马尔可夫模型（PHMM）对恶意软件物种的行为特征进行实施的。本文介绍了使用从提取每个恶意软件家族最重要特征中获得的序列以及在多序列比对（MSA）生产过程中创建的规范序列建模和训练高级PHMM的过程。由于并非文件的所有部分都是恶意的，因此我们的目标是将恶意部分与良性部分区分开，并更加重视它们，以通过对良性部分的影响最小来增加恶意软件检测的可能性。 。基于“共识序列”，实验结果表明，即使可获得有限的训练数据，我们提出的方法也优于其他基于HMM的技术。所有补充材料，包括代码，数据集和完整的结果列表，都可以在Web上公开获取。1 由于并非文件的所有部分都是恶意的，因此我们的目标是将恶意部分与良性部分区分开，并更加重视它们，以通过对良性部分的影响最小来增加恶意软件检测的可能性。 。基于“共识序列”，实验结果表明，即使有限的训练数据可用，我们提出的方法也优于其他基于HMM的技术。所有补充材料，包括代码，数据集和完整的结果列表，都可以在Web上公开获取。1 由于并非文件的所有部分都是恶意的，因此我们的目标是将恶意部分与良性部分区分开，并更加重视它们，以通过对良性部分的影响最小来增加恶意软件检测的可能性。 。基于“共识序列”，实验结果表明，即使有限的训练数据可用，我们提出的方法也优于其他基于HMM的技术。所有补充材料，包括代码，数据集和完整的结果列表，都可以在Web上公开获取。1 基于“共识序列”，实验结果表明，即使有限的训练数据可用，我们提出的方法也优于其他基于HMM的技术。所有补充材料，包括代码，数据集和完整的结果列表，都可以在Web上公开获取。1 基于“共识序列”，实验结果表明，即使有限的训练数据可用，我们提出的方法也优于其他基于HMM的技术。所有补充材料，包括代码，数据集和完整的结果列表，都可以在Web上公开获取。1