WEBKT

基于图神经网络与结构相似性的恶意程序家族指纹识别深度解析

2 0 0 0

在现代网络安全攻防中，恶意程序的演进速度早已超越了传统基于特征码（Signature-based）的检测能力。攻击者通过代码混淆、多态和变体技术，可以轻易改变文件的哈希值和静态字节流。然而，无论代码如何变化，其实现特定功能的“逻辑结构”往往具有高度的稳定性。

本文将深入探讨如何利用图神经网络（Graph Neural Networks, GNN）提取恶意程序的结构化指纹，并结合聚类算法实现自动化的家族分类。

1. 核心挑战：从字节流到语义图

传统的恶意代码分析依赖于简单的二进制比对，这在面对“换汤不换药”的代码重构时显得苍白无力。基于图的分析方法认为：一个程序的本质是由其控制流图（Control Flow Graph, CFG）或函数调用图（Function Call Graph, FCG）决定的。

  • CFG (控制流图)： 节点代表基本块（Basic Blocks），边代表跳转指令。它描述了函数内部的执行逻辑。
  • FCG (函数调用图)： 节点代表函数，边代表调用关系。它描述了程序的整体模块化结构。

利用 GNN 的目的，就是将这些复杂的非欧几里得结构数据（Graph）映射到一个低维的稠密向量空间（Embedding），使得同家族的恶意程序在向量空间中彼此接近。

2. 基于 GNN 的指纹提取流程

2.1 图的构建与预处理

首先，利用 IDA Pro、Ghidra 或 Radare2 对二进制文件进行反汇编。提取每个函数的 CFG，并将基本块内的指令转化为特征向量（例如使用 Word2Vec 预训练的操作码向量，或简单的操作码分布统计）。

2.2 图神经网络编码

为了捕获图的结构信息，我们通常采用以下两种模型：

  • GraphSAGE / GCN： 通过邻居聚合机制，每个节点的特征会不断吸收其邻域的结构语义。经过多层迭代，生成的全局向量（Readout）将包含整个函数的拓扑特征。
  • GAT (Graph Attention Networks)： 引入注意机制，自动识别哪些基本块（如关键的加密逻辑、系统调用触发点）在家族识别中占据更高权重。

2.3 相似性度量：孪生网络（Siamese Network）

为了训练 GNN 能够识别“相似性”，通常采用孪生网络结构。输入两个程序的图结构，通过共享权重的 GNN 得到向量 $v_1$ 和 $v_2$，利用余弦相似度或欧氏距离计算两者的差异。损失函数通常选用 Triplet Loss，即拉近正样本（同家族）距离，推开负样本（异家族）距离。

3. 结构相似性聚类算法探索

当通过 GNN 获得了程序的向量表示（Embedding）后，下一步是解决“在没有标签的情况下，如何发现新家族”的问题。

3.1 为什么选择基于密度的聚类？

在恶意程序分析中，我们不推荐使用 K-Means，因为：

  1. 簇的数量（K）未知： 我们无法预知有多少个恶意家族。
  2. 噪声干扰： 样本中存在大量孤立的、不属于任何已知家族的干扰样本。

DBSCAN (Density-Based Spatial Clustering of Applications with Noise) 是更优的选择。它能够自动识别核心点和边界点，并将低密度区域识别为噪声。

3.2 聚类策略优化

  • 层次聚类 (Hierarchical Clustering)： 对于需要追溯家族演变谱系的应用场景，层次聚类可以清晰地展示变体是如何从原始母体演化而来的。
  • 谱聚类 (Spectral Clustering)： 当向量空间的流形结构较为复杂时，谱聚类能通过拉普拉斯矩阵分解，更好地处理结构化数据的相似度矩阵。

4. 落地实战中的关键点

  1. 跨架构挑战： 恶意软件可能同时存在 x86、ARM、MIPS 版本。基于 GNN 的方法可以通过对指令进行抽象化处理（如将指令归类为算术、跳转、访存三类），实现跨平台的结构相似性检索。
  2. 抗混淆能力： 控制流平坦化（Control Flow Flattening）会极大地破坏 CFG 结构。针对此类情况，通常需要在 GNN 输入前进行符号执行（Symbolic Execution）或简单的反混淆预处理。
  3. 计算效率： 大规模图匹配计算量巨大。实践中常用 MinHash 或 LSH (局部敏感哈希) 对 GNN 生成的 Embedding 进行初步筛选，再进行精确聚类。

5. 总结

利用 GNN 提取恶意程序家族指纹，本质上是将程序的逻辑结构转化为数学上的空间坐标。相比于传统的 YARA 规则，这种方法具备更强的泛化能力和抗混淆韧性。随着图学习技术的成熟，基于结构相似性的自动化聚类将成为安全研究员对抗自动化恶意软件工厂的利器。

注：在构建此类系统时，建议优先使用 PyTorch Geometric (PyG) 或 DGL 框架进行图模型的快速搭建。

架构师小K 图神经网络恶意代码分析机器学习安全

评论点评