Page 205 - 《软件学报》2026年第6期

2524 软件学报 2026 年第 37 卷第 6 期

数据时效性威胁: 实验使用的两个数据集样本均采集于 2021 年前, 然而恶意软件家族变种迭代速度快, 导致
模型对新恶意软件的相似性度量能力可能会明显下降. 计划从 MalwareBazaar 网站持续获得新样本, 并设计增量
学习机制, 动态更新模型参数.
大规模图处理瓶颈: 由于 HGMSim 的复杂度较高, 当函数调用图结构过大 (如图节点数量超过 10 ) 时, 难以
4
满足实时检测需求. 同时图结构过大也会对设备内存提出挑战. 后续将尝试对函数调用图结构进行优化, 在保留关
键语义的前提下缩减图的大小.

6 总 结

本文提出基于异质图匹配网络的恶意软件相似性度量方法 HGMSim, 该方法充分挖掘恶意软件函数调用图
中的异质语义信息, 同时提出局部点图匹配方法来处理不同家族高相似样本难以区分的问题, 提升了模型的相似
性度量性能. 模型对比实验表明, 本文所提方法 HGMSim 在分类指标和检索类指标上, 同多种基线相比都有较大
提高. 在效率方面, HGMSim 的测试耗时和基于图的基线方法耗时接近. 消融实验结果表明, 本文提出的函数调用
图异质语义挖掘方法和函数调用图之间局部点图匹配方法的有效性. 除了有效性威胁中提及的内容, 后续工作还
将从以下 2 个方面开展.
(1) 相同的源代码, 由于编译器版本、编译优化选项、编译平台的不同, 在生成的二进制文件层面会产生巨大
差异, 该场景下如何有效度量恶意软件的相似性.
(2) 二进制感染型病毒通常只修改合法文件的少量信息就能达到自身目的, 从文件角度看感染前后的二进制
文件具有很高的相似性, 该场景下如何区分感染前后的二进制文件.

致谢 本工作得到了北京邮电大学超算平台的支持.

References
[1] Ugarte-Pedrero X, Graziano M, Balzarotti D. A close look at a daily dataset of malware samples. ACM Trans. on Privacy and Security
(TOPS), 2019, 22(1): 6. [doi: 10.1145/3291061]
[2] Sihwail R, Omar K, Ariffin KAZ. A survey on malware analysis techniques: Static, dynamic, hybrid and memory analysis. Int’l Journal
on Advanced Science, Engineering and Information Technology, 2018, 8(4-2): 1662–1671. [doi: 10.18517/ijaseit.8.4-2.6827]
[3] Gu YH, Wang YF, Liu WX, Wu TJ, Meng GZ. Malware similarity measurement method based on multiplex heterogeneous graph. Ruan
Jian Xue Bao/Journal of Software, 2023, 34(7): 3188–3205 (in Chinese with English abstract). http://www.jos.org.cn/1000-9825/6538.
htm [doi: 10.13328/j.cnki.jos.006538]
[4] Deng XY, Mirkovic J. Polymorphic malware behavior through network trace analysis. In: Proc. of the 14th Int’l Conf. on Communication
Systems & Networks (COMSNETS). Bangalore: IEEE, 2022. 138–146. [doi: 10.1109/COMSNETS53615.2022.9668396]
[5] Haq IU, Caballero J. A survey of binary code similarity. ACM Computing Surveys (CSUR), 2021, 54(3): 51. [doi: 10.1145/3446371]
[6] Oliver J, Cheng C, Chen YG. TLSH—A locality sensitive hash. In: Proc. of the 4th Cybercrime and Trustworthy Computing Workshop.
Sydney: IEEE, 2013. 7–13. [doi: 10.1109/CTC.2013.9]
[7] Adkins F, Jones L, Carlisle M, Upchurch J. Heuristic malware detection via basic block comparison. In: Proc. of the 8th Int’l Conf. on
Malicious and Unwanted Software: “The Americas” (MALWARE). Fajardo: IEEE, 2013. 11–18. [doi: 10.1109/MALWARE.2013.
6703680]
[8] Hsiao SC, Kao DY, Liu ZY, Tso R. Malware image classification using one-shot learning with Siamese networks. Procedia Computer
Science, 2019, 159: 1863–1871. [doi: 10.1016/j.procs.2019.09.358]
[9] Wu LF, Xu M, Xu J, Zheng N, Zhang HP. A novel malware variants detection method based on function-call graph. In: Proc. of the 2013
IEEE Conf. Anthology. IEEE, 2013. 1–5. [doi: 10.1109/ANTHOLOGY.2013.6784887]
[10] Hu X, Chiueh TC, Shin KG. Large-scale malware indexing using function-call graphs. In: Proc. of the 16th ACM Conf. on Computer and
Communications Security. Chicago: ACM, 2009. 611–620. [doi: 10.1145/1653662.1653736]
[11] Zeng ZP, Tung AKH, Wang JY, Feng JH, Zhou LZ. Comparing stars: On approximating graph edit distance. Proc. of the VLDB
Endowment, 2009, 2(1): 25–36. [doi: 10.14778/1687627.1687631]
[12] Tan WH, Gao X, Li YY, Wen GQ, Cao P, Yang JZ, Li WP, Zaiane OR. Exploring attention mechanism for graph similarity learning.
Knowledge-based Systems, 2023, 276: 110739. [doi: 10.1016/J.KNOSYS.2023.110739]