ÿþI n t e r n a t i o n a l J o u r n a l o f C o m p u t a t i o n a l I n t e l l i g e n c e R e s e a r c h .
I S S N 0 9 7 3 - 1 8 7 3 V o l . 2 , N o . 1 ( 2 0 0 6 ) , p p . 1 0 0 - 1 0 4
© R e s e a r c h I n d i a P u b l i c a t i o n s h t t p : / / w w w . i j c i r . i n f o
U s i n g S u p p o r t V e c t o r M a c h i n e t o D e t e c t U n k n o w n
C o m p u t e r V i r u s e s
B o - y u n Z h a n g 1 , 2 , J i a n - p i n g Y i n 1 , J i n - b o H a o 1 , D i n g - x i n g Z h a n g 1 a n d S h u - l i n W a n g 1
1
S c h o o l o f C o m p u t e r S c i e n c e , N a t i o n a l U n i v e r s i t y o f D e f e n s e T e c h n o l o g y ,
C h a n g s h a 4 1 0 0 7 3 , C h i n a
h n j x z b y @ y a h o o . c o m . c n
2
D e p a r t m e n t o f C o m p u t e r S c i e n c e , H u n a n P u b l i c S e c u r i t y C o l l e g e ,
C h a n g s h a 4 1 0 1 3 8 , C h i n a
I n t h e f o l l o w i n g s e c t i o n s , w e f i r s t d e s c r i b e r e l a t e d r e s e a r c h
A b s t r a c t : A n o v e l m e t h o d b a s e d o n s u p p o r t v e c t o r m a c h i n e
i n t h e a r e a o f c o m p u t e r v i r u s e s d e t e c t i o n . T h e n w e i l l u s t r a t e
( S V M ) i s p r o p o s e d f o r d e t e c t i n g c o m p u t e r v i r u s . B y u t i l i z i n g
t h e a r c h i t e c t u r e o f o u r d e t e c t m o d e l i n s e c t i o n I I I . S e c t i o n I V
S V M , t h e g e n e r a l i z i n g a b i l i t y o f v i r u s d e t e c t i o n s y s t e m i s s t i l l
i n t r o d u c e s t h e c l a s s i f i c a t i o n a l g o r i t h m . S e c t i o n V d e t a i l s t h e
g o o d e v e n t h e s a m p l e d a t a s e t s i z e i s s m a l l . F i r s t , t h e r e s e a r c h
m e t h o d o f e x t r a c t i o n f e a t u r e f r o m p r o g r a m , a n d s t a t i n g t h e
p r o g r e s s o f c o m p u t e r v i r u s d e t e c t i o n i s r e c a l l e d a n d a l g o r i t h m o f
d e t e c t i o n e n g i n e w o r k p r o c e d u r e . S e c t i o n V I s h o w s t h e
S V M t a x o n o m y i s i n t r o d u c e d . T h e n t h e m o d e l o f a v i r u s
i m p l e m e n t a t i o n a n d e x p e r i m e n t r e s u l t s . W e s t a t e o u r
d e t e c t i o n s y s t e m b a s e d o n S V M a n d v i r u s d e t e c t i o n e n g i n e a r e
p r e s e n t e d r e s p e c t i v e l y . A n e x p e r i m e n t u s i n g s y s t e m A P I
c o n c l u s i o n i n S e c t i o n V I I .
f u n c t i o n c a l l t r a c e i s g i v e n t o i l l u s t r a t e t h e p e r f o r m a n c e o f t h i s
m o d e l . F i n a l l y , c o m p a r i s o n o f d e t e c t i o n a b i l i t y b e t w e e n t h e
I I . R e l a t e d w o r k
a b o v e d e t e c t i o n m e t h o d a n d o t h e r i s g i v e n . I t i s f o u n d t h a t t h e
d e t e c t i o n s y s t e m b a s e d o n S V M n e e d s l e s s p r i o r i k n o w l e d g e
S o f a r , t h e r e h a v e b e e n f e w a t t e m p t s t o u s e m a c h i n e l e a r n i n g
t h a n o t h e r m e t h o d s a n d c a n s h o r t e n t h e t r a i n i n g t i m e u n d e r t h e
a n d d a t a m i n i n g f o r t h e p u r p o s e o f i d e n t i f y i n g n e w o r
s a m e d e t e c t i o n p e r f o r m a n c e c o n d i t i o n .
u n k n o w n m a l i c i o u s c o d e .
I n a n e a r l y a t t e m p t , L o e t a l . [ 2 ] c o n d u c t e d a n a n a l y s i s o f
K e y w o r d s : c o m p u t e r v i r u s , A P I f u n c t i o n c a l l s , S u p p o r t V e c t o r
s e v e r a l p r o g r a m s e v i d e n t l y b y h a n d a n d i d e n t i f i e d t e l l - t a l e
m a c h i n e , v i r u s d e t e c t i o n .
s i g n s , w h i c h s u b s e q u e n t l y b e u s e d t o f i l t e r n e w p r o g r a m s .
R e s e a r c h e r s a t I B M ' s T . J . W a t s o n R e s e a r c h C e n t e r h a v e
I . I n t r o d u c t i o n
i n v e s t i g a t e d n e u r a l n e t w o r k s f o r v i r u s d e t e c t i o n [ 3 ] a n d h a v e
E x c e l l e n t t e c h n o l o g y e x i s t s f o r d e t e c t i n g k n o w n m a l i c i o u s
i n c o r p o r a t e d a s i m i l a r a p p r o a c h f o r d e t e c t i n g b o o t - s e c t o r
e x e c u t a b l e s . S o f t w a r e f o r v i r u s d e t e c t i o n h a s b e e n q u i t e
v i r u s e s i n t o I B M ' s A n t i - V i r u s s o f t w a r e .
s u c c e s s f u l , a n d p r o g r a m s s u c h a s M c A f e e V i r u s S c a n a n d
M o r e r e c e n t l y , i n s t e a d o f f o c u s i n g o n b o o t - s e c t o r v i r u s e s ,
N o r t o n A n t i V i r u s a r e u b i q u i t o u s . T h e s e p r o g r a m s s e a r c h
S c h u l t z e t a l . [ 4 ] u s e d d a t a m i n i n g m e t h o d s , s u c h a s n a ï v e
e x e c u t a b l e c o d e f o r k n o w n p a t t e r n s , a n d t h i s m e t h o d i s
B a y e s , t o d e t e c t m a l i c i o u s c o d e . T h e B l o o d h o u n d t e c h n o l o g y
p r o b l e m a t i c . O n e s h o r t c o m i n g i s t h a t o n e m u s t o b t a i n a c o p y
o f S y m a n t e c I n c . , u s e s h e u r i s t i c s f o r d e t e c t i n g m a l i c i o u s c o d e
o f a m a l i c i o u s p r o g r a m b e f o r e e x t r a c t i n g t h e p a t t e r n
[ 5 ] . S z a p p a n o s [ 6 ] u s e d c o d e n o r m a l i z a t i o n t e c h n i q u e s t o
n e c e s s a r y f o r i t s d e t e c t i o n . O b t a i n i n g c o p i e s o f n e w o r
d e t e c t p o l y m o r p h i c v i r u s e s . N o r m a l i z a t i o n t e c h n i q u e s
u n k n o w n m a l i c i o u s p r o g r a m s u s u a l l y e n t a i l t h e m i n f e c t i n g o r
r e m o v e j u n k c o d e &