Intel und Microsoft entwickeln Deep-Learning-Technik zur Malware-Analyse

Microsoft und Intel haben eine neue Technik für die Analyse von Schadsoftware entwickelt, die auf Deep Learning basiert. Bei der Static Malware-as-Image Network Analysis (Stamina) werden Muster von Malware in Graustufen-Bilder umgewandelt und auf spezifische Textur- und Struktur-Muster untersucht.

In einem ersten Schritt wandelten die Forscher beider Unternehmen die Binärdaten einer Datei in Pixel-Rohdaten um. Aus dem eindimensionalen Pixel-Strom erzeugten sie anschließend ein 2D-Foto, dass sich mit normalen Algorithmen zur Bildanalyse untersuchen lässt. Während die Breite des Bilds von der Größe der Ausgangsdatei abhängig ist, wird die Höhe in Abhängigkeit von der Breite und dem Rohdaten-Strom ermittelt.

Zudem reduzierten die Forscher die Größe des 2D-Bilds vor der eigentlichen Analyse, was das Ergebnis nicht negativ beeinflussen soll. Als Vorteil dieses Schritts nannten sie eine schnellere Verarbeitung der sonst mehrere Milliarden Pixel großen Bilder.

Die eigentliche Analyse übernimmt ein Deep Neural Network (DNN), das die Forscher mit 2,2 Millionen infizierten ausführbaren Dateien trainierten. Es soll nun in der Lage sein, schädliche von sauberen Dateien zu unterscheiden.

Bei ihren Tests identifizierte Stamina Malware-Dateien mit einer Genauigkeit von 99,07 Prozent. Der Anteil der False Positives, also der fälschlich als gefährlich erkannten Dateien, lag bei 2,58 Prozent.

„Die Ergebnisse ermutigen zweifellos dazu, Deep Transfer Learning für die Zwecke der Malware-Klassifizierung zu nutzen“, sagten Jugal Parikh und Marc Marino, die zum Microsoft Threat Protection Intelligence Team gehören.

Stamina ist ein Teil von Microsofts Bemühungen, Machine Learning zur Verbesserung der Malware-Erkennung einzusetzen. Derzeit sei die Technik aber noch auf die Bearbeitung kleiner Dateien beschränkt. „Bei größeren Anwendungen wird Stamina aufgrund der Einschränkungen bei der Konvertierung von Milliarden von Pixeln in JPEG-Bilder und deren anschließender Größenänderung weniger effektiv“, heißt es in einem Blogeintrag von Microsoft.

Anfang des Monats hatte Tanmay Ganacharya, Director of Security Research bei Microsoft, im Gespräch mit ZDNet USA erklärt, das Microsoft bei der Erkennung neuer Bedrohungen immer stärker auf Machine Learning setze. Zudem unterscheide sich dieses Modul von denen, die für Kunden und Microsoft-Servern zum Einsatz kämen. Machine Learning diene der Erkennung von Verhaltensmustern und Dateiinhalten. „Jeder kann ein Modell entwickeln, aber die Daten und ihre Quantität und Qualität helfen wirklich dabei, die Modelle des maschinellen Lernens angemessen zu trainieren, und legen somit fest, wie effektiv sie sein werden.“