John-A0/Greedy-Memorization-Research

# 🛡️ 贪婪记忆化引发安全风险 ### 基于 PE 元数据的集成学习静态恶意软件检测     ## 📌 摘要 基于特征码的检测系统通常无法应对现代代码混淆技术。本研究评估了四种仅使用可移植可执行（PE）头元数据进行静态恶意软件检测的集成学习算法。尽管所有模型都达到了 99.6% 以上的准确率，但我们证明它们极易受到对抗性模仿攻击，即恶意软件通过复制良性元数据来绕过检测。这暴露了基于元数据的静态分析的一个关键局限性。 ## 🎯 研究目标 - 在 PE 元数据上比较集成学习模型 - 分析操作权衡（假阳性 vs 假阴性） - 研究特征重要性集中度与贪婪学习行为 - 通过对抗性 PE 头 manipulation 测试鲁棒性 ## 🧪 评估的模型 随机森林 (Bagging) XGBoost (Boosting) LightGBM (Boosting) 直方图梯度提升 (Boosting) ## 📊 数据集 样本总数：34,054 个 Windows PE 可执行文件 良性：18,626 恶意软件：15,428 特征：54 个 PE 头属性 提取工具：pefile (Python) 划分：80% 训练集 / 20% 测试集 特征类别包括链接器版本、操作系统版本、入口点、镜像基址、节对齐、校验和以及结构性头部属性。 ## ✅ 结果摘要 所有模型均实现了极高的基准性能（准确率 >99.6%）： HistGradientBoosting — 准确率：99.80%，FP：6，FN：8 XGBoost — 准确率：99.78%，FP：8，FN：7 LightGBM — 准确率：99.75%，FP：7，FN：10 随机森林 — 准确率：99.65%，FP：19，FN：5 操作层面的解释： HistGradientBoosting 因假阳性率最低，最适合面向用户的系统；而随机森林因假阴性率最低，更适合后端安全。 ## ⚠️ 特征重要性风险：贪婪记忆化 Boosting 模型对少量元数据特征表现出极端依赖，尤其是 Minor Linker Version。这导致了单点故障，仅修改一个头部字段即可逃避检测。随机森林将重要性分布在多个特征上，使其更加稳定，但仍然无法完全免疫逃避攻击。 ## 🧨 对抗性模仿攻击 攻击方法： 一个最初被所有模型检测到的恶意软件样本，仅通过复制合法的 Windows 计算器（calc.exe）的链接器版本元数据进行了修改。恶意 payload 保持不变。 结果： 所有模型均将修改后的恶意软件错误分类为良性。 HistGradientBoosting — 良性（置信度 99.6%） LightGBM — 良性（置信度 99.3%） XGBoost — 良性（置信度 97.9%） 随机森林 — 良性（置信度 62%） 随机森林表现出不确定性，但依然未能成功拦截，这证实了仅基于元数据的分析从根本上容易受到攻击。 ## ⚠️ 案例研究：AnyDesk 假阳性 合法的远程管理工具 AnyDesk.exe 由于链接器版本过时以及压缩引起的高熵，被持续归类为恶意软件。这表明模型检测到的是结构性混淆模式，而这些模式在恶意软件和合法的隐私工具中可能存在重叠。 ## 🧠 结论 基于元数据的集成模型在基准数据集上提供了快速且高度准确的恶意软件检测，但缺乏对抗性鲁棒性。即使是简单的头部篡改也能完全绕过检测。因此，PE 元数据分类器绝不应作为独立的安全解决方案使用。 推荐部署方式： 严格将基于元数据的模型用作高速预过滤层，并结合更深层次的内容检查方法，如字节级 n-gram 分析、导入地址表（IAT）哈希和动态沙箱测试。 ## 📚 引用 Kostandy, J. (2026). Greedy Memorization Creates Security Risks: How Metadata Overfitting Enables Trivial Malware Evasion. ITMO University. ## ⚠️ 免责声明 本仓库仅供学术研究和教育目的使用。请勿在您不拥有或未获得明确测试许可的系统上执行恶意软件分析或逃避测试。 ⭐ 如果您觉得此研究有用，请考虑为本仓库点个 Star。

标签：Apex, DNS 反向解析, DNS 解析, PE文件分析, 云安全监控, 对抗样本, 机器学习, 逆向工具, 集成学习, 静态分析