《Journal of Cybersecurity and Privacy》：Feature-Engineered Trojan Malware Detection on Windows-Based IoT Gateways Using a Custom Deep Neural Network and Automated Monitoring Pipeline
编辑推荐：
物联网（IoT）环境的增长扩大了现代系统的攻击面。特洛伊木马攻击是一个主要挑战，因为它们能逃避传统检测机制并在合法进程中静默运行。本文提出了一种针对基于Windows的物联网网关的自动化特洛伊木马检测框架。该框架结合了自定义数据集生成、信息性特征工程和深度学习
物联网（IoT）环境的增长扩大了现代系统的攻击面。特洛伊木马攻击是一个主要挑战，因为它们能逃避传统检测机制并在合法进程中静默运行。本文提出了一种针对基于Windows的物联网网关的自动化特洛伊木马检测框架。该框架结合了自定义数据集生成、信息性特征工程和深度学习驱动的分析。通过受控沙箱执行和取证监控，创建了一个包含3000个现实世界可执行样本的数据集。该过程捕获了行为、静态和网络级特征。初始特征集包含146个提取的特征。一个多阶段特征选择过程确定了33个信息性属性。这一步实现了高效学习并保留了判别能力。研究人员开发了一个名为TrDNN的自定义深度神经网络模型，使用这些特征捕获与特洛伊木马活动相关的复杂非线性模式。该框架与五个经典机器学习模型进行了评估，并与五个深度学习基线进行了比较。结果表明，TrDNN实现了强大的检测性能，准确率为0.975，精确率为0.972，召回率为0.969，F1分数为0.970。研究还考察了推理时间和能耗，表明该模型在检测效果、计算成本和能效之间取得了平衡，使其适用于资源受限的物联网网关部署。检测模型被集成到一个自动化实时监控管道中，该系统通过Windows命令行自动化实现持续进程监控，且操作开销最小。统计验证使用了配对t检验、Wilcoxon符号秩检验和McNemar卡方检验，性能提升具有统计显著性，且未显示过拟合。该框架为现代物联网系统中的特洛伊木马检测提供了可靠、高效且可部署的解决方案。
**论文解读：基于特征工程与自定义深度神经网络的Windows物联网网关特洛伊木马检测框架**
**研究背景与问题**
随着物联网（IoT）环境的快速扩展，现代系统的攻击面显著增加。特洛伊木马（Trojan）作为一种隐蔽性极强的恶意软件，能够伪装成合法应用，逃避传统基于签名的检测机制，静默地在系统中建立后门、窃取敏感数据或加入僵尸网络（botnet）。在工业物联网（IIoT）场景中，资源受限、补丁更新滞后且监控薄弱的设备更易成为攻击入口，单个节点的沦陷可能引发连锁式网络渗透。现有检测方法存在局限性：静态分析易被混淆和加壳技术绕过；动态分析虽能捕获运行时行为，但面临可扩展性差、对未知变种检测能力弱等问题；机器学习模型依赖手工特征且易过拟合，而通用深度学习模型（如LSTM、CNN）在处理结构化表格化安全遥测数据时并非最优。因此，亟需一种高效、实时、可部署的特洛伊木马检测方案，以平衡检测精度、计算开销和能效，适应IoT/IIoT网关的受限环境。
**研究内容与结论**
研究人员提出了一套完整的自动化特洛伊木马检测框架，涵盖数据集构建、特征工程、深度神经网络（DNN）设计及实时监控管道集成。首先，利用ANY.RUN平台（一个包含超过200万样本的恶意软件仓库及交互式沙箱环境）收集了3000个Windows可执行样本，包括700个确认的木马、500个可疑样本和1800个良性样本，经沙箱动态执行生成详细行为报告。通过多阶段特征选择，从146个初始特征中提炼出33个高判别力特征，涵盖持久化机制、隐蔽执行、网络通信、内存操作及系统级异常等维度。基于此，研究人员设计了一种自定义深度神经网络模型TrDNN，采用扩展-压缩架构（512→256→128→64→33神经元），配合Dropout和批归一化防止过拟合。与10个基线模型（包括经典机器学习模型如随机森林、支持向量机，以及深度学习模型如CNN-1D、LSTM、TabNet等）对比，TrDNN在准确率（0.975）、精确率（0.972）、召回率（0.969）和F1分数（0.970）上均取得最优。学习曲线和统计检验（配对t检验t=7.84，p<0.0001；Wilcoxon符号秩检验p=0.001；McNemar检验χ2=12.6，p=0.0004）证实了性能提升的显著性和一致性。最后，模型被集成到基于Windows命令行的自动化实时监控管道中，每3分钟轮询一次系统进程，提取特征并实时分类，在标准企业级工作站上运行稳定，推理时间和能耗均低于其他深度学习基线。该研究发表在《Journal of Cybersecurity and Privacy》。
**主要关键技术方法**
研究人员采用以下关键技术方法：
1. **动态沙箱分析**：利用ANY.RUN平台在受控沙箱中执行每个样本，采集行为、静态、网络和进程级特征，生成结构化报告。
2. **多阶段特征选择**：基于领域知识和相关性分析，从146个原始特征中筛选出33个最终特征，去除冗余和低判别力属性（如特权令牌操纵、LOLBin滥用等）。
3. **自定义深度神经网络（TrDNN）**：设计五层全连接网络，采用ReLU激活、Dropout（0.4~0.15）和批归一化，输出层使用Softmax进行三分类（恶意、可疑、良性）。
4. **自动化实时监控管道**：通过Windows命令行脚本（cmd.exe）实现进程枚举、特征提取、数据格式化，并将训练好的模型部署于主机，实现每3分钟一轮的连续检测。
样本队列来源：ANY.RUN平台（超过200万样本的公开仓库）。
**研究结果**
- **数据集构建与类分布**：生成了3000个样本的数据集，其中良性样本占多数（1800个），恶意（700个）和可疑（500个）样本为少数类，模拟真实环境中的类不平衡，有助于模型学习正常行为基线并降低误报。
- **特征选择与重要性分析**：通过相关性分析和特征重要性排序，最终保留33个特征。其中，代理/浏览器配置更改、防火墙规则更改、WriteProcessMemory使用、OpenProcess访问和进程注入等特征重要性最高，反映了木马在C2通信、内存操作和持久化方面的典型行为。
- **模型性能对比**：TrDNN在准确率、精确率、召回率和F1分数上均优于所有10个基线模型，表明其架构设计（扩展-压缩路径与正则化）能有效捕获木马行为的高阶非线性模式，并具有强泛化能力。
- **学习曲线分析**：随着训练数据比例增加，TrDNN的验证F1分数持续上升，且训练-验证差距较小，说明模型未过拟合，而是从数据中学习到可泛化的信号。
- **统计显著性检验**：配对t检验、Wilcoxon符号秩检验和McNemar检验均证实TrDNN的性能提升具有统计显著性，且在不同运行和样本级别上表现一致。
- **计算开销评估**：TrDNN的推理时间和能耗低于LSTM、BiLSTM等深度学习基线，与经典ML模型相比虽略高，但性能增益显著，适合资源受限的IoT网关部署。
**讨论与结论总结**
讨论部分指出，尽管框架在检测精度和操作稳定性上表现优异，但仍存在若干局限性：数据集规模相对较小（3000样本），虽已验证可学习鲁棒特征，但扩展更多木马家族和变种可增强韧性；木马可能长期休眠，若在监控周期内无行为触发则无法检出，需设计无限或高频轮询策略，但会带来能耗和存储开销；沙箱依赖ANY.RUN，高级木马可能采用反沙箱技术（如时间延迟、硬件指纹检测），导致行为报告不完整，未来可引入多沙箱或混合静态-动态分析；实时监控管道仅支持Windows系统，而许多IoT设备运行Linux或嵌入式系统，需扩展跨平台模块。
研究结论部分（翻译）：特洛伊木马因其隐蔽设计、伪装合法进程、建立长期持久化和保持隐蔽命令与控制通信的能力，成为IoT和IIoT环境中最持久且最具破坏性的威胁之一。这些风险在异构、资源受限、补丁不足且部署可见性有限的IoT/IIoT系统中被放大。传统的基于签名的防御和许多现有ML/DL方法难以检测现代木马，主要原因是它们依赖过时数据集或未能捕获当代攻击的细微高阶行为模式。为应对这些挑战，本研究引入了一个基于行为的木马检测框架，采用动态沙箱分析和系统特征精炼。利用ANY.RUN构建了包含3000个Windows可执行文件的真实数据集，保留自然类不平衡并捕获多样化恶意行为。通过多阶段选择，146个初始指标被提炼为33个高诊断特征，平衡了判别力、可解释性和计算效率。特征重要性分析证实，有效检测源于网络操纵、内存滥用、持久化机制和二进制级异常的综合影响。随后设计了一个深度神经网络以匹配此结构化特征表示。与10个已建立的ML和DL基线相比，TrDNN在所有指标上均取得更优性能，达到0.975准确率、0.972精确率、0.969召回率和0.970 F1分数。学习曲线分析显示稳定收敛和强泛化，统计检验（配对t检验t=7.84，p<0.0001；Wilcoxon符号秩检验p=0.001；McNemar检验χ2=12.6，p=0.0004）确认了这些增益的显著性和一致性。最后，模型被集成到全自动实时检测管道中，能够在标准企业硬件上持续监控活动进程，以最小开销高效运行，实现实用的始终在线木马检测。总体而言，这项工作提供了一个经过严格验证、行为驱动且可操作部署的解决方案，显著增强了IoT和IIoT系统对现代木马威胁的防御能力。
