一种基于短比特序列可视化的轻量级恶意软件分类方法

《Engineering Applications of Artificial Intelligence》：A lightweight malware classification method based on short bit sequence visualization

　　张俊宇|郭春|沈国伟|袁平|崔云鹤|陈毅 中国贵州省贵阳市贵州大学计算机科学与技术学院贵州省大数据实验室，邮编550025

摘要
随着恶意软件的迅速增长，基于图像和深度学习的恶意软件分类方法受到了广泛关注。然而，如何在存储开销、计算复杂度、效率与准确性之间取得良好平衡，仍是现有方法面临的挑战。为解决这一问题，我们引入了图像生成效率与模型分类效率的概念，以系统分析影响性能的因素。我们发现，减少额外的处理步骤以及输入图像的维度至关重要。基于这些见解，我们提出了一种恶意软件可视化方法，该方法将原始二进制序列分割成短比特块，并应用马尔可夫填充模式，无需反汇编即可生成紧凑的固定尺寸图像。此外，我们还提出了一种基于短比特序列可视化的恶意软件分类方法（MalCSBSV），该方法将该可视化技术与仅包含5.4万个参数的轻量级卷积神经网络相结合。在Microsoft恶意软件分类挑战赛（BIG 2015）数据集以及用于恶意软件分析的Blue Hexagon开放数据集（BODMAS）上的实验结果表明，MalCSBSV的准确率分别达到了99.02%和98.34%。与几种现有方法相比，它显著降低了模型大小，从原来的大小降至0.21兆字节，同时还将计算成本降低到922万次浮点运算，且仍保持图像尺寸的紧凑性。由于避免了反汇编的开销，MalCSBSV在效率与准确性之间提供了比基于指令的方法更为有利的平衡，因此成为大规模恶意软件分类的实用解决方案。

引言
近年来，恶意软件攻击已成为网络安全领域的重大威胁，对世界各地的企业、政府及其他机构造成了广泛而持久的影响。随着攻击手段的不断演变，对恶意软件防御的需求也日益增加。根据2025年的报告，在记录在案的135,225起网络事件中，恶意软件攻击占了15%的比例（Cyberdefense，2024，2025）。与上一年相比，恶意软件攻击事件增加了约4000起，这凸显出恶意软件在数量和复杂性方面的快速增长。因此，实现准确且高效的恶意软件分类对于抵御日益复杂的恶意软件攻击至关重要。

恶意软件分类主要涉及两项任务。第一项是二元分类，即区分良性软件与恶意软件，以防止恶意软件的传播。第二项是多类分类，即确定恶意样本是否属于已知的恶意软件家族，这有助于有针对性地进行分析，提高对特定威胁的防御效果（Raff和Nicholas，2020）。现有的恶意软件分析技术包括静态分析（Ni等人，2018；Rhode等人，2018；Ajiri等人，2020；Feng等人，2024；Coscia等人，2025）和动态分析（Salehi等人，2017；Leon等人，2021；Trizna等人，2024；Yan等人，2025；Zhen等人，2025）。虽然静态分析基于操作码和API序列，效果不错，但由于反汇编速度较慢，成为了瓶颈。这一计算负担降低了处理速度，影响了其在大规模场景中的实际应用。动态分析虽然能够揭示运行时的行为模式，但需要受控的执行环境，且会产生较大的时间开销。近年来，深度学习在恶意软件分析中的应用逐渐增多。现有研究已经证明了将恶意软件转换为图像并利用深度学习模型进行精确分类的可行性。这种方法被称为基于图像和深度学习的恶意软件分类（Xiao等人，2021；Deng等人，2023；Yuan等人，2021；Shaukat等人，2023；Kumar和Kumar，2024），它属于静态分析的范畴。该方法能够实现自动特征提取，并获得较高的分类准确率，因此受到了广泛关注。

顺应这一趋势，研究人员提出了多种基于图像和深度学习的恶意软件分类方法。这些方法大致可分为两类：一类使用复杂模型以实现高准确率，另一类则采用轻量级架构以加快分类速度。尽管模型架构得到了大量优化，但输入图像往往是通过直接映射领域传统特征（如操作码序列）或通过固定的8位灰度映射来构建原始字节，其生成过程及产生的空间维度往往未被充分优化。由于现有方法通常涉及复杂的预处理过程，并且会生成大规模图像，因此会给存储和计算带来沉重负担。所以，如何在速度、准确性与这些开销之间取得平衡仍然是一个挑战，因此有必要分析影响流程效率的因素，以实现良好的平衡。

基于图像和深度学习的恶意软件分类方法通常包括两个主要阶段：将恶意软件二进制文件转换为视觉表示，以及训练深度学习模型进行分类。为分解这两个阶段的效率，我们引入了三个概念：整体效率、图像生成效率以及模型分类效率（详见第3节）。然后，我们围绕两个问题展开分析：（1）图像生成过程和输入维度如何影响图像生成阶段和分类阶段的各自效率？（2）如何在平衡存储空间、计算复杂度和准确性的同时实现较高的整体效率？

为解答这些问题，我们对这两个阶段进行了系统分析。我们的研究表明，额外处理步骤的数量对图像生成效率有着重要影响。为了同时减少额外处理步骤并降低空间维度，我们提出了一种直接从原始二进制文件中使用短比特块和马尔可夫填充模式生成的紧凑型图像表示。在分类阶段，我们设计了恶意软件短比特序列轻量级分类网络（MalSBSLCNet）。该轻量级模型专为较小的输入维度设计，通过简化冗余结构，尤其是全连接层中的结构，减少了参数数量。这些组件共同消除了不必要的预处理和结构开销，实现了存储、速度与准确性之间的良好平衡。我们的主要贡献总结如下：
（1）我们将基于图像和深度学习的恶意软件分类流程分为图像生成阶段和模型分类阶段，以此分析其效率。我们的分析表明，所提取的内容以及由此产生的额外处理步骤数量对图像生成效率有着决定性影响。我们还发现，输入维度也会直接影响分类效率。
（2）我们提出了一种恶意软件可视化方法，该方法将原始二进制序列分割成短比特块，并应用马尔可夫填充模式，从而生成短比特序列马尔可夫图像（SBSMI）。与存储容量会随文件大小而增长的变长灰度图像不同，SBSMI能生成紧凑的固定尺寸图像，从而大大减小存储空间，且其生成速度也快于依赖汇编指令或操作码的技术。
（3）我们设计了MalSBSLCNet，这是一种专为紧凑型SBSMI设计的轻量级卷积神经网络。与传统方法使用复杂模型处理大输入维度不同，MalSBSLCNet大幅减少了参数数量，从而实现了较高的分类效率。
（4）我们提出了MalCSBSV，这是一种基于短比特序列可视化的恶意软件分类方法，它将SBSMI与MalSBSLCNet架构相结合。在Microsoft恶意软件分类挑战赛数据集（BIG 2015）（Panconesi和Marian，2015）以及用于恶意软件分析的Blue Hexagon开放数据集（BODMAS）（Yang等人，2021）上的测试表明，MalCSBSV在资源效率与分类准确性之间取得了良好的平衡，非常适合用于大规模恶意软件分类。

本文的其余部分结构如下。第2节回顾相关研究。第3节阐述我们提出该方法的动机。第4节详细介绍所提出的MalCSBSV框架。第5节展示实验结果，第6节进行讨论。最后，第7节对全文进行总结。

片段摘录
基于传统静态和动态特征的恶意软件分类方法
根据是否需要执行恶意软件，特征通常可分为两类：动态特征和静态特征。传统的恶意软件分类方法通常在经典的机器学习框架中运用这些特征。以下各节将通过将这类方法分为基于动态特征的和基于静态特征的方法，来回顾现有文献。

效率分析概述
现有的基于图像和深度学习的恶意软件分类方法往往难以同时平衡存储空间、计算复杂度、效率与准确性，通常会优先考虑某些指标，而忽视其他指标。本研究旨在开发一种能够在这些方面实现有效平衡的方法。为指导这一设计，我们分析了影响效率的因素，并引入了具体的评估指标，包括整体效率、图像……

MalCSBSV
MalCSBSV的整体框架如图2所示。它主要包括以下两个阶段。
阶段1：基于短比特块的恶意软件可视化。该阶段的输入是一个可执行程序。我们首先将该文件转换为由0和1组成的二进制序列。利用预定义的参数l，将该序列分割成长度为l的固定长度子序列。接下来，我们计算相邻子序列之间的原始转移概率，从而构建一个马尔可夫概率矩阵。由于……

实验评估
为评估MalCSBSV的性能，我们在BIG 2015和BODMAS数据集上进行了实验。我们详细介绍了四个方面的内容：实验设置、数据集详情、评估指标以及实验结果。

讨论
通过将短比特块的马尔可夫填充模式与轻量级卷积神经网络架构相结合，MalCSBSV在保持高准确率的同时，降低了在BIG 2015和BODMAS数据集上的计算开销。尽管我们的部署可行性分析（第5.3.7节）表明该方法的延迟和内存占用较低，但在实际应用中还会面临除资源消耗之外的其他操作难题。

因为MalCSBSV完全依赖于静态的块级统计信息，所以在面对……

结论
在本文中，我们研究了基于图像和深度学习的恶意软件分类中分类准确率与计算效率之间的平衡关系。具体而言，我们分析了影响图像生成阶段和模型分类阶段效率的因素。我们的分析表明，额外处理步骤的数量是影响图像生成效率的关键因素，同时输入图像的维度也会对计算复杂度产生影响。基于这些见解，我们提出了一种……

CRediT作者贡献声明
张俊宇：撰写——初稿、软件、方法论、数据整理。郭春：撰写——审阅与编辑、方法论、资金获取、形式分析、概念构思。沈国伟：资源获取、调查、资金获取、形式分析。袁平：撰写——审阅与编辑、方法论。崔云鹤：撰写——审阅与编辑、验证、调查。陈毅：撰写——审阅与编辑、验证、调查。

利益冲突声明
作者声明没有已知的可能会影响本文所报道工作的财务利益或个人关系。

致谢
作者感谢匿名审稿人提出的宝贵意见和建议，这些意见和建议提升了论文的技术内容和呈现质量。本研究得到了中国国家自然科学基金项目（编号62162009）、贵州省重大科技专项项目（编号黔科合重大专项[2024]014）、贵州省高等学校大数据与网络安全创新团队的支持。