Breaking the Black Box: Byte-Level Boundary Inference of Real-World Antivirus Systems
该论文关注一个长期存在但缺乏系统化方法的问题：如何理解真实世界杀毒软件（AV）的检测逻辑。作者指出，以往对 AV 检测机理的研究大多停留在黑盒查询层面，只能推断出「恶意/良性」的二元判定结果，无法刻画真正驱动检测决策的细粒度区域。换言之，我
#malware-analysis
共收录 30 条相关情报。
← 返回所有主题Residual Community Prototypes Under-Reject Held-Out Malware Families in FCG-MFD
本文研究的是开放集（open-set）恶意软件家族识别任务中的拒识（rejection）问题：模型既要对训练集中出现过的已知家族正确分类，又要把训练中从未出现过的家族样本判定为「未知」并拒绝归类。作者针对基于函数调用图（FCG）的恶意软件家
ALIBI: Adversarial Legitimacy Injection in Binary Input against LLM Malware Analyzers
该论文研究的是将大语言模型（LLM）引入恶意软件分诊流程后新出现的一类攻击面。当前越来越多的安全团队把 LLM 当作"推理组件"，用来自动汇总静态分析证据（如导入表、节区信息、字符串、签名等），并直接输出面向分析师的结论或严重度评级。作者指
Echo: Learning-based Matching Decompilation using Trusted Back Translation
本文提出 Echo，一个基于“可信反向翻译（trusted back-translation）”的匹配式反编译系统。研究背景是：神经反编译器虽能从二进制中恢复可读、可重新编译的源代码，但其输出缺乏可信度保证——模型可能生成语义上与原始程序不
Using Hyper-V Sockets for Real-time Data Extraction from a Malware Analysis Sandbox
该论文提出在恶意软件分析沙箱中使用 Hyper-V 套接字作为实时数据提取的通信信道，并系统比较其与传统 WinSock TCP 套接字的差异。研究发现，Hyper-V 套接字不受 TCP/IP 层防火墙规则或网络过滤驱动的拦截，也不会被常
U Can't Debug This: Detecting JavaScript Anti-Debugging Techniques in the Wild.
该论文针对Web环境中JavaScript反调试技术（Anti-Debugging Techniques）被恶意网站广泛使用以阻碍动态分析的问题，提出了一种自动化检测与分类方法。作者首先对Alexa Top 100万网站进行了大规模爬取，收
PolyDoc: Surveying PDF Files from the PolySwarm network.
该论文介绍了一个名为 PolyDoc 的工具，用于对从 PolySwarm 众包威胁情报网络获取的 PDF 文件进行格式感知的追踪和分析。PDF 格式因其复杂性和对互操作性与一致呈现的严格要求，成为攻击者编码漏洞和攻击的常见载体。研究旨在探
EGAMA-RC: Risk-Calibrated Evidence-Gated Adaptive Malware Analysis for Robust and Interpretable Memory-Forensic Triage
本文提出了一种名为 EGAMA-RC 的风险校准证据门控自适应恶意软件分析框架，用于内存取证场景下的恶意软件分类与分流。传统机器学习恶意软件检测器在干净数据上准确率较高，但实际运营中的分流任务还需考虑不确定性、新颖性、鲁棒性、可解释性、延迟
Evading and crashing anti-malware solutions via data collection overloading during analysis serialization.
恶意软件分析系统（包括动态分析沙箱和数字取证与事件响应平台）依赖遥测管道（由收集代理、序列化器和数据库后端组成）来捕获程序行为并呈现给分析人员。本文揭示这些数据处理组件本身构成可利用的攻击面，攻击者无需禁用传感器或获取高权限即可触发“分析拒
An Analysis of Architectural and Operational Dynamics of Phishkits in the Wild
本文对2020年至2023年间收集的1300个真实世界中的钓鱼工具包（Phishkits）进行了深度分析，旨在揭示其架构和操作动态。钓鱼攻击一直是攻击者绕过现代防御、渗透关键系统的常用手段，而Phishkits在其中扮演了关键角色，它们通常
An Inside Look into the Practice of Malware Analysis.
本文是一篇针对恶意软件分析实践的用户研究论文，旨在填补学术界对实际恶意软件分析工作流程认知的空白。尽管已有大量研究关注恶意软件分析技术本身，但从业者实际采用的分析流程、目标及决策因素却鲜有研究。作者对来自18家不同公司的21名专业恶意软件分
From Obfuscated to Obvious: A Comprehensive JavaScript Deobfuscation Tool for Security Analysis.
该论文针对JavaScript恶意代码混淆与反混淆领域展开研究。随着JavaScript的广泛使用，攻击者利用复杂混淆技术隐藏恶意行为，而现有反混淆工具普遍存在输入格式支持有限、只能处理特定混淆类型、输出结果难以理解等缺陷，严重制约了实际安
Latent Stability Analysis of Malware Representations Under Feature-Space Perturbations
本文提出了一种用于恶意软件表征的隐空间稳定性分析管道，旨在评估在特征空间扰动下恶意软件嵌入表示的稳定性。传统恶意软件检测器通常使用准确率、F1、ROC AUC等干净样本指标评估，但这些指标无法揭示当特征向量受到扰动时，学习到的表征如何变化、
Small, Free, and Effective: Orchestrating Open-Weight Small Language Models to Outperform Single LLM for Malware Analysis
恶意软件分析需要快速解读复杂的爆炸报告（包含文件系统、网络和进程行为）。虽然大型语言模型（LLM）在技术性工件解释方面表现出色，但闭源顶尖模型的不透明性和不断上涨的API成本促使研究者探索开源替代方案。然而，许多开源模型体积庞大，需要大量计
Does Every Second Count? Time-based Evolution of Malware Behavior in Sandboxes.
本文针对恶意软件分析沙箱中执行时间参数的选择问题展开研究。沙箱执行时间过长会降低可扩展性，过短则可能导致恶意行为未被完全触发，影响数据收集的质量。然而，目前缺乏关于如何选择最优执行时间的明确指南。为了填补这一空白，作者首次开展了大规模研究，
Burnyard: Future of Malware Analysis
本文介绍了 Burnyard，一种针对恶意软件分析的新型轻量级二进制仿真平台。当前主流的恶意软件分析实践依赖于沙箱技术，即在大型数据中心的隔离虚拟机中执行可疑二进制文件。然而，这种方法存在若干缺陷：首先，样本可能因网络连接或共享基础设施而无
A Tale of Two Industroyers: It was the Season of Darkness.
本论文对两种旨在对乌克兰电网实施停电的恶意软件进行了深入分析。研究者设计并实现了一种新型沙箱环境，该沙箱能够模拟变电站中的各类网络拓扑、设备特性和通信协议，从而安全地执行专门针对变电站设备的恶意代码，并详细记录攻击者在变电站设备上可能执行的
The Sound of Malware: A Memory Forensics Approach for Android Malware Analysis via Audio Signals
Android恶意软件分析面临鲁棒分类和检测隐匿攻击的挑战。现代威胁采用代码混淆、动态加载、加壳甚至隐写技术来规避传统静态和动态特征检测，降低了基于签名的系统有效性，并削弱了依赖显式语义指标（如权限、API调用、控制流结构）的机器学习模型的
Large Byte Model: Teaching Language Models About Compiled Code
该论文提出首个能够直接处理编译后可执行文件原始字节的“大字节模型”（Large Byte Model），无需依赖反汇编或反编译等开销高昂且易出错的“提升”工具。传统大语言模型（LLM）无法理解原始字节序列，因此难以直接应用于底层恶意软件分析
MAECO-Lite: Modular Ontology for Dynamic Malware Analysis
该论文针对网络威胁情报中动态恶意软件行为建模的语义精确性问题展开研究。当前业界广泛使用的恶意软件描述标准MAEC和STIX虽然提供了丰富的词汇，但其数据结构复杂且混淆了本体论上的关键区分，例如将持久性恶意软件工件（如文件、注册表键）与执行过