Agrupamento de malware por comportamento de execução usando lógica fuzzy

Abstract

A ameaça de variantes de malware aumenta continuamente. Várias abordagens para agrupamento de malware já foram aplicadas para entender melhor como caracterizar suas famílias. Destas, a análise comportamental pode usar tanto métodos de aprendizado supervisionado como não supervisionado. Nesse último caso, a análise é comumente baseada em lógica convencional, em que um dado exemplar deve pertencer a apenas uma família. Neste trabalho, propõe-se uma abordagem de agrupamento comportamental por lógica fuzzy, que atribui um grau de relevância à cada exemplar e permite que este pertença a mais de uma família. Essa abordagem possibilita verificar outros comportamentos das amostras, não visualizados na lógica convencional. Compara-se o algoritmo escolhido — Fuzzy C-Means (FCM) — com o algoritmo K-Means para analisar similaridades e mostrar os benefícios do FCM na análise comportamental de malware. Nos resultados obtidos, verificou-se, nos casos em que há clusters sem rótulos, que o FCM apresentou vantagens na atribuição de um nome ao grupo devido à sua matriz de pertinência. Enquanto que no K-Means quatro clusters permaneceram sem rótulo, no caso do FCM, repetindo o processo, conseguiu-se atribuir rótulos a todos os clusters. Ademais, verificaram-se as semelhanças e divergências na aplicação de ambos os métodos e mensurou-se o tempo de execução dos experimentos. Por fim, conclui-se que outro benefício da aplicação de lógica fuzzy em relação ao método de lógica crisp reside no fato de que os programas maliciosos não se limitam apenas a um comportamento específico de uma dada família, ou seja, podem pertencer a várias delas ao mesmo tempo. Desse modo, a lógica fuzzy modela, de forma mais fidedigna, o real comportamento malicioso exibido durante uma infecção.