基于行为特征的PowerShell恶意代码检测模型  

作　　者：雷鑫焱 高见[1,2] 王凯悦 LEI Xinyan;GAO Jian;WANG Kaiyue

机构地区：[1]中国人民公安大学信息网络安全学院,北京100038 [2]安全防范与风险评估公安部重点实验室,北京102623

出　　处：《信息技术与信息化》2024年第4期58-61,共4页Information Technology and Informatization

摘　　要：随着网络攻击技术的发展,PowerShell恶意代码被广泛应用于无文件攻击中。为了有效检测PowerShell恶意代码,提出一种基于行为特征的PowerShell恶意代码检测模型。首先,通过搭建CAPE沙箱运行分析PowerShell脚本提取API序列。随后,使用一维卷积层提取获取API序列的短距离依赖关系,在应用Bi-LSTM获取API序列之间的时序依赖关系后,利用Transformer编码器捕获序列间的长距离依赖和全局关系。最后,使用全连接层实现恶意性检测。实验结果表明,模型能够有效检测PowerShell恶意代码。

关 键 词：POWERSHELL 恶意代码检测 动态分析 API序列 深度学习 

分 类 号：TP309[自动化与计算机技术—计算机系统结构] TP311.52[自动化与计算机技术—计算机科学与技术]