On Malware Diversity and Similarity : Understanding Variability Across Malware Families
Sur la diversité et la similarité des malwares : comprendre la variabilité entre les familles de malwares
Résumé
The growing volume of malware circulating daily, combined with its increasing structural diversity, presents substantial challenges for automated malware analysis. Machine-learning classifiers, widely adopted for malware detection and family classification, often struggle to generalize when confronted with new malware families or datasets affected by labeling inconsistencies, class imbalance, and incomplete feature sets. Beyond classification, the structural variability observed within malware families complicates similarity measurement. Malware authors actively use techniques such as packing and deliberate binary modifications to generate diverse variants from the same code base. In addition to these challenges, many malware datasets collected from live feeds contain truncated samples—files that are incomplete due to errors during collection or transmission. While truncation is not a source of meaningful diversity, it introduces noise that pollutes datasets and wastes analysis resources when processed by tools or sandboxes. At the same time, unrelated malware samples often display misleading structural similarities due to common build environments, shared packers, and recurring compiler toolchains. These inter-family artifacts undermine the precision of static similarity features, leading to clustering errors and incorrect associations between distinct malware families. This thesis addresses these challenges through a measurement-driven investigation of malware diversity across three perspectives: the impact of dataset composition and feature selection on machine-learning classifiers, the extent and nature of intra-family polymorphism in malware binaries, and the structural factors driving false similarities between unrelated families. Together, these studies provide a comprehensive empirical foundation for improving the design, evaluation, and reliability of malware classification and similarity analysis techniques.
Le volume croissant de programmes malveillants circulant quotidiennement, combiné à leur diversité structurelle toujours plus grande, représente un défi majeur pour l'analyse automatisée des malwares. Les classificateurs basés sur l'apprentissage automatique, largement adoptés pour la détection et la classification des familles de malwares, peinent souvent à généraliser lorsqu'ils sont confrontés à de nouvelles familles ou à des jeux de données affectés par des incohérences de labellisation, des déséquilibres de classes ou des ensembles de caractéristiques incomplètes. Au-delà de la classification, la variabilité structurelle observée au sein des familles de malwares complique considérablement la mesure de similarité. Les auteurs de malwares recourent activement à des techniques telles que le packing et les modifications binaires intentionnelles pour générer des variantes diverses issues d'une même base de code. À ces défis s'ajoute la présence fréquente d'échantillons tronqués dans les jeux de données collectés à partir de flux en temps réel. Bien que ces fichiers incomplets ne constituent pas une source de diversité significative, ils introduisent du bruit et gaspillent des ressources d'analyse lorsqu'ils sont traités par des outils ou des sandboxes. Parallèlement, des échantillons provenant de familles de malwares totalement distinctes présentent souvent des similarités structurelles trompeuses, résultant d'environnements de compilation communs, de packers partagés ou de chaînes d'outils de compilation récurrentes. Ces artefacts inter-familles compromettent la précision des caractéristiques de similarité statique, entraînant des erreurs de regroupement et des associations incorrectes entre familles distinctes. Cette thèse aborde ces défis à travers une étude empirique de la diversité des malwares selon trois perspectives : l'impact de la composition des jeux de données et du choix des caractéristiques sur les performances des classificateurs, l'ampleur et la nature du polymorphisme intra-famille dans les binaires malveillants, et les facteurs structurels à l'origine des similarités trompeuses entre familles non apparentées. Ensemble, ces travaux offrent une base empirique solide pour améliorer la conception, l'évaluation et la fiabilité des techniques de classification et d'analyse de similarité des malwares.
| Origine | Version validée par le jury (STAR) |
|---|---|
| Licence |
