基于Mamba的门控静态操作码融合技术在Windows PE恶意软件检测中的应用

《Scientific Reports》：Mamba-based gated static-opcode fusion for Windows PE malware detection

　　

摘要

针对Windows便携式可执行文件（PE）恶意软件的检测，需要构建能够在低假阳性率下保持高分类性能的模型。我们将这项任务定义为基于样本对齐的双视角静态检测方法。所提出的框架通过学习到的门控机制，将PE/capa风格的静态特征与有界操作码序列表示相结合。其方法论优势在于采用了SHA256级别的视图对齐、选择性状态空间操作码编码、以门控为核心的消融实验以及考虑部署场景的低假阳性率评估方式。序列处理部分比较了GRU、Transformer和Mamba三种编码器，而静态处理部分则提供了一种简洁的PE级别基准模型。所有模型均通过统一的评估标准进行测试，评估指标包括ROC-AUC、PR-AUC、准确率、F1分数、固定假阳性率下的真正例率、参数数量、处理延迟以及门控功能诊断。在Hybrid-RAW方案中，采用学习型门控机制的Mamba混合模型取得了ROC-AUC 0.978、PR-AUC 0.979、准确率0.958和F1分数0.961的优异表现。在假阳性率分别为10^?2、10^?3和10^?4时，该模型的真正例率分别为0.811、0.602和0.356。与GRU混合模型相比，Transformer混合基准模型性能有所提升，而采用学习型门控机制的Mamba混合模型在整体性能及低假阳性率场景下的表现依然更优。门控功能消融实验表明，基于学习的融合方法优于固定融合方法和以通道特性为主的融合方法。这些结果说明，在所评估的静态分析条件下，选择性的操作码序列建模以及带门控的静态序列融合技术能够有效提升Windows PE恶意软件的检测能力。