MetaGNN-Sec：基于异构图神经网络与量子核异常检测的变形木马检测框架

《Journal of Cybersecurity and Privacy》：Metamorphic Malware Detection via Graph-Augmented Neural Semantics and Adversarial Hardening: A Comprehensive Framework

　　

摘要

背景：变形木马是网络安全领域最具持久性的对抗性挑战之一：它在每次传播过程中都会重写自身的指令流，在保持功能语义不变的前提下，呈现出语法上不同的二进制文件，从而规避基于签名的检测手段以及许多基于学习的检测器。 方法：我们提出了MetaGNN-Sec，这是一个图增强神经网络框架，能够从程序结构而非表层字节层面检测变形木马。该框架由四个组件组成，每个组件针对问题的不同方面：(i) 控制流图（CFG）提取，结合语义级操作码嵌入；(ii) 一个异构图神经网络（hGNN），运行于程序依赖图之上，用于捕获变异稳定的控制流与数据流不变量；(iii) 一个源自Wasserstein生成对抗网络（WGAN）的对抗训练循环，以增强分类器对自适应规避变异的鲁棒性；以及 (iv) 一个在PennyLane中实现的量子核异常检测层，用于在高维特征空间中对高度混淆的离群样本进行分离。 结果：实验基于两个公开数据集——VirusShare 2024 与 SOREL-20M 子集——共包含 200,175 个二进制样本（155,175 个恶意样本和 45,000 个良性样本），与本文数据集章节中报告的数据集总量一致。MetaGNN-Sec 取得了 97.83% 的检测率、0.41% 的误报率，以及在保留变形家族测试集上的 分数为 0.978，在干净数据上比次优基线（MalConv+）高出 4.6 个百分点，而在自适应对抗规避下仅下降 5.4 个百分点（基线方法下降 17–31 个百分点）。量子核模块进一步将漏报率降低了 1.2 个百分点，主要集中在变异程度最高的家族上。 结论：该框架提供了一种在图编辑有界变异条件下的异构程序依赖图（PDG）表示及条件分数偏移界，一个提供可衡量对抗鲁棒性的 WGAN 强化循环，一个具备显式成本效益刻画的量子核预过滤器，以及一个可复现、接近实时处理、适用于企业端点部署的完整流水线。