本文介绍了 Burnyard，一种针对恶意软件分析的新型轻量级二进制仿真平台。当前主流的恶意软件分析实践依赖于沙箱技术，即在大型数据中心的隔离虚拟机中执行可疑二进制文件。然而，这种方法存在若干缺陷：首先，样本可能因网络连接或共享基础设施而无意中暴露给 VirusTotal、MalwareBazaar 等公开平台，导致隐私泄露或样本被公开；其次，沙箱环境资源消耗大、运行时间长，且需要大量管理开销。Burnyard 通过采用二进制仿真技术来替代全系统虚拟化，显著降低了资源占用和启动延迟。它能够捕获二进制文件运行时的关键行为，如系统调用、内存访问、文件操作等，并将这些观测结果记录为结构化的 CSV 事件轨迹。这种轻量级方法不仅加快了分析速度，还减少了对底层宿主机的依赖，使得分析可以在更受限的环境中（如边缘设备）进行。主要贡献包括：提出了基于仿真的低开销恶意软件分析框架；设计了高效的事件记录机制，将运行时行为转化为易于分析的 CSV 格式；实验表明 Burnyard 在检测准确率和性能上可与传统沙箱媲美，但资源消耗大幅降低。该研究适合安全分析师、恶意软件研究员以及需要大规模或远程场景下快速分析样本的团队阅读。

本论文对两种旨在对乌克兰电网实施停电的恶意软件进行了深入分析。研究者设计并实现了一种新型沙箱环境，该沙箱能够模拟变电站中的各类网络拓扑、设备特性和通信协议，从而安全地执行专门针对变电站设备的恶意代码，并详细记录攻击者在变电站设备上可能执行的精确操作序列。通过对恶意软件的动态分析，论文揭示了此前未被记录的恶意行为，例如对MMS（制造报文规范）协议载荷的详细算法还原。此外，论文还探讨了未来类似恶意软件可能造成的不同影响，通过比较攻击不同目标（如断路器、保护继电器等）所产生的物理后果，说明攻击目标的差异会直接导致不同程度的电网扰动或停电范围。该研究的主要贡献包括：首次公开了Industroyer类恶意软件在IEC 61850环境下的具体协议交互细节；提供了一套可复用的沙箱仿真框架用于工控恶意软件分析；以及从攻击者视角系统化阐述了工控系统攻击的潜在影响路径。适合工控安全研究员、电力系统防御工程师及威胁情报分析师阅读。

Android恶意软件分析面临鲁棒分类和检测隐匿攻击的挑战。现代威胁采用代码混淆、动态加载、加壳甚至隐写技术来规避传统静态和动态特征检测，降低了基于签名的系统有效性，并削弱了依赖显式语义指标（如权限、API调用、控制流结构）的机器学习模型的可靠性。本文提出了一种名为\approachname的内存取证恶意软件检测框架，将分析视角从语义程序建模转向基于信号的结构表示。该方法将静态字节码和早期执行内存快照通过直接二进制到波形映射转换为音频波形，无需反汇编或特征工程，保留了低层结构模式。生成的信号使用手工设计的频谱描述符、卷积神经网络和基于transformer的嵌入进行处理。在CICMalDroid2020数据集和VirusTotal恶意软件上的实验表明，\approachname达到了98.0%的准确率，优于静态声纳化方法和当前最先进的技术。本研究为恶意软件分析提供了一种新颖的信号处理视角，展示了音频特征在识别恶意行为方面的潜力。

该论文提出首个能够直接处理编译后可执行文件原始字节的“大字节模型”（Large Byte Model），无需依赖反汇编或反编译等开销高昂且易出错的“提升”工具。传统大语言模型（LLM）无法理解原始字节序列，因此难以直接应用于底层恶意软件分析。作者通过设计一套自定义字节分词器（byte tokenizer）实现词汇扩展，使模型能够原生处理二进制字节流，并回答关于恶意软件二进制文件的复杂问题。实验表明，该模型在恶意软件家族分类任务上达到69%的准确率，在架构分类任务上达到98%的准确率。研究还发现，在训练过程中注入领域知识（如指令、操作码结构等）对模型性能至关重要，而直接使用现有通用LLM则缺乏准确性和洞察力。目前该模型已部署给少量分析师进行试用反馈。本工作为安全分析中的自动化二进制理解提供了新范式，尤其适用于恶意软件检测、分类和逆向工程场景。

该论文针对网络威胁情报中动态恶意软件行为建模的语义精确性问题展开研究。当前业界广泛使用的恶意软件描述标准MAEC和STIX虽然提供了丰富的词汇，但其数据结构复杂且混淆了本体论上的关键区分，例如将持久性恶意软件工件（如文件、注册表键）与执行过程中产生的运行时事件（如进程创建、网络连接）混为一谈，导致无法清晰表达动态行为语义，并限制了基于执行轨迹的推理能力。作者以统一基础本体论（UFO）为理论透镜，对MAEC和STIX中与动态分析相关的核心构造进行了基础本体论分析，揭示了因混淆工件、倾向（dispositions）和运行时事件而引发的本体论失配问题。基于这些洞察，论文提出MAECO-Lite轻量本体，采用模块化结构，核心模块包括样本、进程、动作、系统工件以及MITRE ATT&CK技术，并严格区分持久实体与运行时事件，从而在保持语义清晰的同时支持动态分析数据的处理。初步评估使用描述逻辑概念学习算法，表明该简化本体显著提升了学习性能，证明了基于本体论建模可在语义清晰度和计算可用性两方面带来改进。该工作适合安全分析师、本体工程师及威胁情报平台开发者阅读，以更好地理解和建模恶意软件行为。

虚拟化混淆是一种强大的代码混淆技术，通过将原始程序转换为自定义虚拟机指令，显著增加了逆向分析的难度。该技术被越来越多地应用于恶意软件中，导致分析人员需要投入大量时间和精力。本文提出了一种名为 VMPredator 的自动化分析工具，旨在从混淆代码中提取语义单元，从而恢复程序的原始语义。VMPredator 结合了内存分析和轨迹分析等多种技术，并设计为最小化对特定虚拟机内部结构的依赖，使其能够处理现有工具无法应对的多种虚拟化混淆变种。实验结果表明，该工具能将混淆程序长度平均缩减约85%，并通过验证确认小规模程序可以完整恢复为与原始语义相同的代码。该研究为反混淆领域提供了新的自动化方法，有助于提升恶意软件分析效率和深度。

该论文提出一种结合符号执行与推测性库预加载的静态控制流图（CFG）恢复技术，专门针对依赖动态代码加载来逃避静态分析的加壳软件和现代恶意软件。现有静态分析方法无法处理运行时动态链接引入的间接调用，导致无法恢复完整的CFG。本文方法在符号执行环境中设置自定义软件钩子，拦截动态加载操作（如dlopen、GetProcAddress等），并将实际库加载到分析状态中。系统采用两级架构：底层存储拦截函数，上层跟踪指令，全部在符号执行引擎内完成。通过完全符号执行避免执行潜在恶意代码，从而安全分析恶意软件。实验使用16个合成基准程序，包含加密库名、网络触发加载、环境派生路径、多阶段解密链、无文件执行和手动ELF解析等多种混淆技术。结果表明，与纯静态分析相比，该方法平均多恢复29.8%的CFG节点和26.5%的边，库检测的精确率和召回率均达100%，所有发现均通过Frida动态插桩验证。

本文针对恶意软件分析沙箱中样本执行时间的设置问题进行了首次大规模研究。沙箱在执行恶意软件样本时，执行时间是关键参数：时间过短可能导致恶意行为未被触发，从而漏报；时间过长则会浪费计算资源，降低分析吞吐量。然而，目前缺乏明确的指导原则来选择最佳执行时间。为了填补这一空白，作者基于大规模数据集，系统研究了执行时间对收集到的事件数量和质量的影响。通过测量系统调用序列和代码覆盖率随时间的变化，作者刻画了在沙箱中能够观察到的运行时行为比例。此外，作者还实现了一种基于机器学习的恶意软件检测方法，并将其应用于不同时间窗口收集的数据，以评估不同时间点观察到的事件对检测能力的贡献。实验结果表明，较短的执行时间（如数秒）即可捕获大部分恶意行为的关键特征，但某些样本需要更长时间才能展现完整行为。研究为安全分析师提供了优化沙箱配置的量化依据，有助于在检测效果和资源消耗之间取得平衡。

该论文通过用户研究深入探讨了恶意软件分析的实践过程。研究团队招募了来自18家不同公司的21名专业恶意软件分析师，这些分析师具有多样化的背景。研究旨在回答三个核心问题：（1）实践中恶意分析师的不同目标是什么？（2）典型的专业恶意软件分析工作流包含哪些步骤？（3）当分析师决定进行动态分析时，他们考虑哪些因素来设置动态分析系统？基于参与者的回答，研究人员提出了一种恶意分析师分类法，并识别出五种常见的分析工作流。此外，研究还揭示了分析师在工作流不同阶段面临的挑战。根据这些挑战，论文提出了两个潜在的未来研究方向。最后，研究人员为恶意软件分析工具的开发者提供了改进工具可用性的建议。该研究填补了学术界对实际恶意软件分析流程理解的空白，为安全社区提供了宝贵的实践洞察。

该论文提出了一种针对加壳识别工具（packer identification tools）的语义验证框架，旨在解决现有工具可能返回语义错误标签、导致解壳失败及下游分析不可靠的问题。核心思想是利用解壳器（unpackers）作为可执行语义契约：若工具预测为某加壳族，则对应的解壳器应能恢复出可分析的程序内容，从而自动生成测试预言（test oracle），无需人工标注真值。基于此，作者构建了一套系统化流程，用于检测、定位并修复11款开源加壳识别工具及6款VirusTotal专有工具的语义缺陷。大规模实证研究表明，语义错误普遍存在且反复出现，主要源于不完整的签名和不稳定的启发式逻辑。修复后，加壳识别覆盖率最高提升58.6%，下游恶意软件分类性能平均提升超过13.6%。该工作对构建可信的恶意软件分析流水线具有重要价值。

该论文针对商业代码虚拟化混淆器（如Themida、VMProtect）提出了一种名为“选定指令攻击”（Chosen-Instruction Attack）的新方法。代码虚拟化是一种高级混淆技术，通过自定义虚拟机（VM）模拟原始指令的语义，使得逆向工程极其困难。恶意软件开发者常滥用此类商业混淆器隐藏恶意行为。由于商业混淆器的内部机制是黑盒，分析人员需要在大规模高度混淆的程序上进行逆向工程，成本高且不精确。论文的核心思想是：攻击者可以主动选择并输入特定指令，观察混淆器对这些指令的翻译输出，从而推断虚拟机内部的操作码、执行逻辑等关键信息。该方法不需要对混淆器进行静态逆向，而是通过动态多对一的指令映射分析，逐步恢复原始程序的语义。实验结果表明，该攻击能够有效针对多个商业混淆器，显著降低反混淆的复杂度和时间开销。论文的主要贡献包括：揭示了商业混淆器的可攻击性，提出了一种实用的黑盒分析方法，并提供了评估基准。适合逆向工程、恶意软件分析和软件安全领域的研究人员与从业者阅读。

该论文提出 MalwarePT，一个面向二进制级别的恶意软件分析基础模型。现有自动化恶意软件分析方法大多依赖手工特征或针对特定任务设计的模型，缺乏通用性和可迁移性。近期二进制级基础模型的发展为可重用的程序表示提供了可能，但它们在恶意软件分析中的应用尚未充分探索，且多数模型仍采用字节级分词，难以捕获多字节代码模式。MalwarePT 基于 ModernBERT 架构的编码器，在 Windows PE 可执行文件的代码段字节上进行掩码语言模型预训练。研究核心问题是：单一预训练编码器能否在不同粒度的恶意软件分析任务间迁移，以及分词设计如何影响这种迁移。为此，作者在代码段字节上训练了字节对编码分词器，将频繁出现的多字节模式压缩到固定上下文窗口内。在三个下游任务上评估了模型：API 调用预测（token级）、功能分类（函数级）和恶意软件检测（程序级，并考虑了时间漂移）。实验表明：预训练在 API 调用预测和功能分类上带来显著增益；增大 BPE 词汇量（超越字节级基线）可提升性能，在词汇量 1024 时达到最佳权衡；在误报率约 0.001 的恶意软件检测中，MalwarePT 优于神经网络基线，并与依赖 PE 结构特征工程模型互补。与现有二进制基础模型对比，MalwarePT 的设计选择在所有下游任务上均取得改进。该工作为构建统一的二进制级基础模型用于恶意软件分析提供了实证依据。

FreeMOCA 是一项针对恶意代码分析中持续学习挑战的研究。每年超过 2 亿个新恶意软件样本被发现，传统的反病毒系统仅在新样本上重新训练会导致灾难性遗忘和可利用盲区，而使用全部数据集重新训练则计算成本高昂。FreeMOCA 提出了一种无记忆（memory-free）且计算高效的持续学习框架，通过自适应逐层插值（adaptive layer-wise interpolation）在连续任务更新之间保留先前知识，其核心是利用热启动任务最优（warm-started task optima）在参数空间中由低损失路径连接的特性。方法不依赖存储旧样本，避免内存开销。实验在 Windows（EMBER）和 Android（AZ）恶意软件基准上进行，涵盖类增量（Class-IL）和域增量（Domain-IL）两种设置。结果显示，FreeMOCA 在 Class-IL 设置中表现显著，在 EMBER 和 AZ 上均优于 11 个基线方法；同时大幅减少遗忘，实现最佳保留性能，在 EMBER 和 AZ 上准确率分别提升高达 42% 和 37%。作者发布代码，表明参数空间中的热启动插值可作为基于回放的持续恶意软件检测的可扩展且有效的替代方案。该研究为安全领域持续学习提供了实用思路。

该论文提出了一种从网络攻击内存镜像中预测恶意软件能力的新方法。研究背景在于，传统恶意软件分析通常需要动态执行或静态反编译，而内存镜像中包含了恶意软件执行时的完整状态，但直接从中提取高级语义能力（如持久化、逃避检测、横向移动等）较为困难。作者设计了一个基于机器学习的框架，首先从内存镜像中提取底层特征（如API调用序列、内存操作模式、注册表修改等），然后通过特征工程和分类模型将这些特征映射到恶意软件的高阶能力标签（如C2通信、数据窃取、权限提升等）。实验使用了大量真实恶意软件样本和模拟攻击生成的内存镜像数据集，验证了模型能够以较高的准确率（>85%）预测恶意软件的能力类别。该方法有助于安全分析师在无需运行样本的情况下快速评估恶意软件的威胁等级，提升应急响应效率。主要贡献包括：1）定义了从内存镜像到恶意软件能力的映射框架；2）公开了标注数据集；3）实验证明了预测的有效性。

本论文提出 LCC-LLM，一个面向恶意软件归因与多任务静态分析的代码中心基准数据集与证据驱动框架。研究背景是当前基于 LLM 的恶意软件归因受限于不支持的指标以及缺乏代码级别的证据支持，难以准确识别恶意和脆弱代码片段。为解决这些问题，作者构建了 LCCD 数据集，包含约 34,000 个 PE 样本，通过大规模逆向工程流水线处理，以反编译 C 代码、汇编代码、CFG/FCG 结构、十六进制数据、PE 元数据、可疑 API 证据和结构特征等多种形式表示。框架层面，LCC-LLM 整合了 LangGraph 编排的静态分析与多源网络安全知识，采用七层检索增强生成流水线、基于 CoVe 的 IoC 验证以及多维质量门控机制，提升事实可靠性和面向分析师的决策支持。使用课程顺序指令数据对 DeepSeek-R1-Distill-Qwen-14B 和 Qwen3-Coder-30B-A3B 进行 QLoRA 微调。在 43 种恶意软件分析任务类型上的评估显示平均语义相似度达到 0.634，在结构化报告生成、IoC 提取、漏洞评估、恶意软件配置提取和恶意软件类别检测等任务上表现最佳。基于 MalwareBazaar 样本的真实案例研究中，证据驱动流水线实现了 10/10 的结构化分析通过率，生成了 CFG/FCG 证据、MITRE ATT&CK 映射、检测指南和分析师就绪报告。结果表明代码中心表示、检索基础验证和推理指导提升了 LLM 辅助恶意软件归因的可靠性和实用价值。

该论文针对大型语言模型（LLM）在恶意软件分析中的应用进行了实证研究，重点评估检索增强生成（RAG）技术对解释质量的影响。研究背景是：安全分析师常借助LLM来自动总结和解释恶意软件行为，而RAG被认为可以通过注入外部安全知识来提升解释质量。作者以VirusTotal报告作为结构化输入，在多个LLM上对比了有无RAG时的解释效果。实验发现，RAG在大多数情况下反而降低了解释质量，具体表现为：引入分散注意力的弱相关上下文、增加叙述噪声或生成泛泛的写实性描述。这表明，当结构化安全证据已经足够时，RAG会产生反效果。作者因此提出，恶意软件解释本质上是信号提取任务，而非知识检索问题，并基于此给出了安全开发工作流的设计建议。该研究挑战了RAG在安全关键型管道中的普遍适用性，为未来设计更可靠的LLM辅助分析工具提供了重要参考。

该论文针对Android住宅代理应用程序（一种潜在的不受欢迎程序，PUP）的静态归因问题展开研究。这类应用会偷偷通过终端用户设备路由第三方流量，被高级威胁行为者用于广告欺诈、凭证滥用和绕过地理位置控制。由于代码复用、SDK嵌入和混淆技术，将未知APK归属到特定代理网络非常困难。论文提出了一种静态分析流水线，用于自动化的代理软件家族归属。该流水线从包含四个商业代理网络的3,365个Android代理应用标注语料库中提取图结构表示（控制流图和函数调用图）以及行为签名。研究者评估了单独使用Weisfeiler-Lehman图核特征以及将其与二进制能力向量融合后，在多个分类器上的表现。通过5折DEX分组交叉验证防止数据泄漏，SGD在扩展数据集上达到了0.985的宏F1分数。为了支持可解释性，论文将分类器决策映射到自动生成的Yara规则，在过滤非判别性签名后，每个家族的准确率最高可达88.45%。最后，论文在更广泛的生态背景下讨论了这些结果：扩展数据集中，仍可从APKPure获取的多数应用（51.4%）仍然包含嵌入的代理SDK代码。对开发者账户的进一步分析显示，有23名开发者负责其他包含此类功能的应用，表明代理提供商与开发者之间存在持续的商业合作关系。