Applıcatıon of subspace clusterıng to scalable malware clusterıng

Abstract

Son yıllarda, kötücül yazılım değişkenlerinin çok hızlı çoğalması, kötücül yazılım analizinde daha gelişmiş gruplama tekniklerinin kullanımını bir ihtiyaç haline getirmiştir. Özellikle, çok fazla niteliğe sahip olan büyük kötücül yazılım setlerinden gruplama bilgisini hızlı ve doğru bir şekilde elde edebilmek için uygun gruplama yaklaşımlarının tercih edilmesi çok önemlidir. Biz bu çalışmada, çok büyük kötücül yazılım setlerinin analizi için, altuzay gruplama ve grafik karşılaştırma tekniklerine dayanan ve gelişmiş gruplama yeteneği ve ölçeklenebilir çalışma süreleri sunan bir gruplama yöntemi öneriyoruz. Geleneksel imza tabanlı gruplama tekniklerinden farklı olarak, grafik karşılaştırma ile kötücül yazılımların iç yapılarını karşılaştırarak daha doğru kötücül yazılım grupları elde etmeye amaçladık. Bu gruplama işlemini hızlandırmak ve ölçekleyebilmek amacıyla da bir altuzay gruplama tekniğini yöntemimize entegre ettik. Yöntemimizi doğrulayabilmek için bahsettiğimiz gruplama işlemlerini gerçekleştirebilen bir prototip geliştirdik. Bu prototip, daha detaylı bir kötücül yazılım analizi için, kötücül yazılımlar ve üretilmiş gruplar üzerinde navigasyon imkanı sağlayan grafiksel bir kullanıcı arayüzü sunmaktadır. Geliştirdiğimiz prototipi kullanarak, gerçek kötücül yazılım setleri üzerinde gruplama deneyleri gerçekleştirdik. Deney sonuçları, kötücül yazılımların iç yapılarının karşılaştırılmasına dayanan bir gruplama yönteminin yüzde 98'lik bir doğruluk oranıyla gruplama çıktıları verdiğini gösterdi. Deney sonuçları ayrıca yöntemimizin, gruplama doğruluğunu bozmadan çalışma süresi performansını kayda değer bir şekilde geliştirdiğini gösterdi.

In recent years, massive proliferation of malware variants has made it necessary to employ sophisticated clustering techniques in malware analysis. Choosing an appropriate clustering approach is very important especially for rapidly and accurately mining clustering information from a large malware set with high number of attributes. In this study, we propose a clustering method that is based on subspace clustering and graph matching techniques and presents an enhanced clustering ability and scalable runtime performance for the analysis of large malware sets. Unlike traditional signature-based clustering techniques, we aimed to obtain more accurate malware clusters by comparing internal structures of malware binaries. We also integrated a subspace clustering technique in order to scale and speed up the clustering process. To be able to verify our method, we developed a system prototype that can perform the mentioned clustering processes. This prototype provides a graphical user interface which allows users to navigate over malware binaries and generated clusters for a detailed analysis. We performed clustering experiments on real malware sets by using our system prototype. The experiment results showed that using a clustering method based on comparison of internal structure of malware binaries reveals clustering outputs with a 98% accuracy. Besides, the experiment results demonstrated that our method significantly improves the runtime performance of the clustering process without degrading clustering accuracy.