I n d on e s i an   Jo u r n al   o El e c t r i c al   En gi n e e r i n g   an d   C o m p u te r   S c i e n c e   V o l .   1 6 ,   N o .   1 O c t o b er   2 01 9 ,   pp .   435 ~ 440   IS S N :   2502 - 4752 ,   D O I :   10. 1 1591 / i j e e c s . v 1 6 .i 1 . pp 435 - 440             435       Jou r n al   h o m e pa ge ht t p: / / i ae s c or e . c om / j our na l s / i nde x . php/ i j e e c s   C o m p a r i so n   o f   m a l w a r e   d e t e c t i o n   t e c h n i q u e s usi n g   m a c h i n e   l e a r n i n g   a l g o r i t h m       N u r   S yu h ad S e l am at F a k ar i ah   H an i   M o h d   A l i   F a c ul t y   of   Co m put e r   a n d   M a t h e m a t i c a l   S c i e n c e ,   U ni v e r s i t y   T e c hn o l o g y   M A R A   M a l a y s i a   S ha h   A l a m ,   M a l a y s i a         A r ti c l e   I n fo     A B S TR A C T   Ar t i c l e   h i s t or y :   R e c e i v e d   N ov   1,   2018   R e v i s e F e b   6,   2019   A c c e pt e M a r   1 5,   201 9       C ur r e nt l y ,   t he   v o l um e   o f   m a l w a r e   g r o w s   f a s t e r   e a c y e a r   a n po s e s   a   t ho ug ht f ul   g l o ba l   s e c ur i t y   t hr e a t .   T h e   num be r   o f   m a l w a r e   de v e l o pe d   i nc r e a s e s   a s   c o m put e r s   be c a m e   i nt e r c o nne c t e d ,   a t   a a l a r m i ng   r a t e   i t he   1990s .   T h i s   s c e na r i o   r e s ul t e t he   i nc r e m e nt   o f   m a l w a r e .   I t   a l s o   c a us e m a ny   pr o t e c t i o ns   a r e   bu i l t   t o   f i g ht   t he   m a l w a r e .   U nf o r t un a t e l y ,   t h e   c ur r e n t   t e c hno l o gy   i s   no   l o ng e r   e f f e c t i v e   t o   ha nd l e   m o r e   a dv a nc e d   m a l w a r e .   M a l w a r e   a u t ho r s   ha v e   c r e a t e t h e m   t o   be c o m e   m o r e   di f f i c ul t   t o   be   e v a de d   f r o m   a nt i - v i r us   d e t e c t i o n.   I t he   c ur r e nt   r e s e a r c h,   M a c hi ne   L e a r n i ng   ( M L )   a l g o r i t hm   t e c hni q ue s   b e c a m e   m o r e   po pul a r   t o   t he   r e s e a r c he r s   t o   a na l y z e   m a l w a r e   d e t e c t i o n.   I t h i s   p a pe r ,   r e s e a r c he r s   p r o po s e a   d e f e n s e   s y s t e m   w hi c us e s   t h r e e   M L   a l g o r i t hm   t e c hn i que s   c o m pa r i s o a nd   s e l e c t   t he m   ba s e d   o t he   hi g a c c ur a c y   m a l w a r e   de t e c t i o n.   T he   r e s ul t   i n di c a t e s   t ha t   D e c i s i o T r e e   a l g o r i t hm   i s   t h e   b e s t   de t e c t i o a c c ur a c y   c om pa r e s   t o   o t he r s   c l a s s i f i e r   w i t 9 9%   a nd  0. 021 %   F a l s e   P o s i t i v e   R a t e   ( F P R )   o a   r e l a t i v e l y   s m a l l   da t a s e t .   Ke y w or d s :   D y n a m i c   a na l y s i s   H y b r i a na l y s i s   M a c hi n e   l e a rni n g   M a l w a r e   S t a t i c   a na l y s i s   C opy r i gh t   ©   201 9   I n s t i t ut e   o f   A dv anc e E ng i ne e r i ng   and   S c i e nc e .     A l l   r i gh t s   r e s e r v e d .   Cor r e s pon di n g   Au t h or :   N ur  S y uh a da   S e l a m a t ,   F a c ul t y   of   Co m put e r   a n d   M a t h e m a t i c a l   S c i e n c e ,   U n i v e r s i t y   T e c hn o l o g y   M A R A   M a l a y s i a   4020 S ha h   A l a m ,   S e l a ngo r ,   M a l a y s i a .   E m a i l :   n u r s y uh a da s e l a m a t 8 9@ y a h o o . c o m . m y       1.   I N TR O D U C TI O N     T o da y s   w o r l i s   ra pi d l y   m ov i n t o w a r ds   d i gi t i z a t i o n.   Co m put e f i e l h a s   ga i n e a   l o t   o f   i m po r t a n c e   i n   o ur   da i l y   l i f e   t o   d e a l   w i t h   m a n y   a s pe c t s   l i ke   b us i n e s s   purpo s e ,   e duc a t i o n   e t c .   T hi s   s c e n a r i o   i s   v e r y   c r uc i a l   fo r   a   c o un t r y   a n   o r ga ni z a t i o i n   t h e   c o n t e xt   o f   pr o t e c t i v e   a nd   s a f e gua r d i n t h e   di gi t a l   r e s o ur c e s   [1].   T h e   w o r M a l w a r e   s t a nds   fo r   m a l i c i o us   s o f t w a r e   a n i t   us ua l l y   s pe c i f i e s   a s   h o s t i l e   s of t w a r e   a ppl i c a t i o n   [2].   M a l i c i o us   s o f t w a r e   h a s   de v e l o p e i nt o   t h e   m o s t   s i g n i f i c a n t   t hr e a t   t o   c o m put e r   s y s t e m ,   f r o m   i t s   v e r y   b e gi nn i n g   i t h e   1 960s . W i t h   t h e   i n c r e a s i ng  o f   t h e   i n t e rn e t   us e r s   i r e c e n t   y e a r s ,   t h e r e   h a s   b e e n   a   po w e r f ul   e vo l ut i o n   i n   o c c ur r e n c e s   of   m a l i c i o us   pr o gra m .   A l o n w i t h   t h e   t e c hn o l o gy   a dv a n c e m e nt ,   t h e   m a l w a r e   a ut h o r s   h a v e   de v e l o pe m a l i c i o us   c o d e   t ha t   ha r d   a nd  d i f f i c ul t   t o   b e   a na l y z e a n de t e c t e by   r e s e a r c h e r s .   F o e xa m pl e ,   m a l w a r e   w r i t e r s   c r e a t e m a l i c i o us   c o d e   w i t h   i m p l e m e n t   n e w   t e c h ni que   m ut a t i o n   c h a ra c t e r i s t i c   o n   t h a t   m a l w a r e   w hi c c a us e s   a e n o rm o us   g r o w t h   i num b e o f   v a r i a t i o n   o f   m a l w a r e .       S i n c e   t h e   n u m b e r   o f   m a l i c i o us   s of t w a r e   r a p i dl y   i n c r e a s i n [ 3 ],   a nt i v i r us   c o m pa ni e s   a r e   c o n t i n uo us l y   l o o ki n f o r   a   t e c hn i que   t ha t   i s   t h e   m o s t   e ffe c t i ve   i n   de t e c t i ng  m a l w a r e .   S i g na t u r e   b a s e de t e c t i o n   i s   t h e   m o s t   po pul a r   m e t h o us e by   a n t i v i r us   c o m pa n y .   H ow e v e r ,   t h e   t r a d i t i o n a l   m a l w a r e   de t e c t i o n   s t r a t e gi e s   a r e   n o t   c a pa b l e   t o   n o t i fy   t h e   un k n o w n   m a l w a r e s   a n o n l y   i de n t i f y   v a r i a n t s   m a l w a r e   t ha t   ha v e   b e e n   pr e v i o us l y   i de nt i f i e d.   M a n y   e f fo r t s   ha v e   a l r e a dy   b e e n   m a de   t o   de t e c t   m a l w a r e .   S e v e r a l   m e t h o ds   h a v e   b e e n   us e i n   m a n y   r e s e a r c pa pe r s   [4].   T h e r e   a r e   d i f fe r e nt   t y pe s   of   m a l w a r e   d e t e c t i o n   a n d   c l a s s i f i c a t i o us i n g   t e c hni que s   s uc h   Evaluation Warning : The document was created with Spire.PDF for Python.
                                IS S N :   2502 - 4752   In do n e s i a J   E l e c   E ng  &   Co m S c i ,   V o l .   1 6 ,   N o .   1 O c t o b e r   201 9   :     435   -   440   436   a s   s t a t i c ,   dy n a m i c   a nd  h y b r i f e a t u r e s   [1] . S t a t i c   a n a l y s i s   a l s o   c a l l e a s   c o de   a na l y s i s   [5]  w i t h o ut   e xe c ut e   m a l w a r e   by   e xa m i n i n g   a n d   o b s e r v e s o f t w a r e   c o de   t o   ga i n   i n f o r m a t i o n   o f   h o w   m a l w a r e ’  f un c t i o n s   w o r k.   T h e r e   i s   a   c o m pl e t e l y   di ff e r e n t   t e c hni que   w i t h o ut   us i n t h e   c o de s   b ut   a c c o r di n t o   t h e   r u n t i m e   b e h a v i o r   b y   w a t c h i n g   i t s   b e h a v i o r,   s y s t e m   i nt e ra c t i o n   a nd  e f fe c t s   o n   h o s t   s y s t e m   c a l l e d   a s   dy n a m i c   a na l y s i s   [6].   W h e r e a s   h y b r i a na l y s i s   [7]  i s   a   c o m b i na t i o n   o f   s t a t i c   a nd  dy n a m i c   a na l y s i s .   By   us i n A P c a l l s ,   T i a e t   al .   [8]  p r o po s e a   b i na r y   f e a t ur e   m e t h o fo r   m a l w a r e   de t e c t i o n   a n c l a s s i f i c a t i o n.   I n   t h i s   p a pe r,   t h e   w r i t e r s   a l s o   i n v e s t i ga t e t h e   f r e que n c y   b a s e m e t h o ds   o n   t h e   s a m e   da t a   b ut   n o   upg r a di n w a s   o bs e r v e ov e r   t h e   b i na r y   r e pr e s e nt a t i o n.   I n   s i m i l a r   a pp r o a c h ,   Z . S a l e h i   e t   al   [9]  p r o po s e a   m a l w a r e   de t e c t i o n   b a s e o n   A P c a l l s   a n d   t h e i r   a r gu m e n t s .   T h e   a ut h o r s   us e t hi s   t e c hni que   a s   a   f e a t u r e   a n d   a n a l y z e d   t h e i r   o ut c o m e   o n   t h e   c l a s s i f i c a t i o n   p r o c e s s .   T d e c r e a s e   t h e   n u m b e r   of   fe a t ur e s   f e a t ur e   s e l e c t i o n   a l go ri t hm s   a r e   us e d.   T h e   r e s ul t   f r o m   t h e   e xpe r i m e n t a l   e v a l u a t i o s h o w s   a n   a c c ura c y   of   98. 4%  i n   t h e   b e s t   c a s e   by   us i n ra n do m   f o r e s t   a l go r i t h m .   D.   A r s hi   a nd  M .   S i ng h   [10]  p r o po s e a   m e t h o b a s e o n   be h a v i o ra l   a na l y s i s   o n   m a c h i n e   l e a rni n g   t h a t   f oc us e o n   c l a s s i f i c a t i o n   a n d   c l us t e ri n o f   m a l w a r e . I n   t h e i e xpe r i m e n t ,   t h e y   us e t w o   t y p e s   of  c l a s s i f i e r s   w h i c h   a r e   K - M e a n s   a nd  L o gi c   M o de l   t r e e   a l g o r i t hm s .   T h e   r e s ul t   s h o w e t ha t   82%  a i m e t o   c o r r up t   i n   t h e   c o m put e s y s t e m   o r   n e t w o r r e s o ur c e s   w h i l e   18%  o f   a na l y z e m a l w a r e   w e r e   e m b e dde w i t h   n e t w o r ki n c a p a b i l i t i e s   t o   c o nn e c t   t h e   o ut e r   w o r l d .   P . V . S hi j o   a n A .   S a l i m   [11]  p r o po s e a   m e t h o t ha t   pr o v i de s   t h e   e ff i c i e n t   a ut o m a t e c l a s s i f i c a t i o o f   m a l w a r e s   by   us i n b o t s t a t i c   a n dy n a m i c   f e a t u r e s   o m a l w a r e s   a n by   us i n m a c h i n e   l e a rn i n t e c hni que .   I n   t h e i r   e xpe r i m e nt   ,   t h e   s t a t i c   f e a t ur e s   a r e   e xt r a c t e f r o m   t h e   b i n a r y   c o d e   w h i l e   i dy n a m i c   a na l y s i s   i s   do n e   b y   us i n g   t h e   t o o l   c uc k o o   s a n db o t ha t   f oc us e o n   s y s t e m   c a l l   s e que n c e s . T h e   a ut h o r s   m a de   a   c o m pa ri s o n   by   u s i ng  s t a t i c ,   dy n a m i c   a n i n t e gra t e m e t h o w i t h   us i n t w o   c l a s s i f i e r s   w h i c h   a r e   ra n do m   f o r e s t (R F a n S V M .   T h e   a c c ura c y   de t e c t i o n   s h o w s   fo r   i n t e g ra t e m e t h o i R F   97. 68%   w h i l e   98 . 71%   us i n g   S V M   a l go r i t h m .   M . S . A n u a r   &   M . A i z a i ni   [12]  p r o po s e a n   i m p r o v e m e n t   de c i s i o n   t r e e   a l go ri t hm   t o   c l a s s i fy   m a l w a r e   a n b e ni g n .   O n   b i na r y   c l a s s   t h e y   a c h i e v e a c c ur a c y   94. 6%  b y   us i n A P a s   f e a t u r e   e xt r a c t i o n .   L i e t   a l   [1 3],   us e N e ur a l   n e t w o r f o r   de t e c t i o n .   T h e   a u t h o r s   m o s t l y   us e   t h e   s t a t i c   f e a t u r e s   ga i n e by   a n t i - c o m pi l a t i o A P K .   T h e s e   s t a t i c   f e a t ur e s   i n c l ude   s t ri n g ,   s e n s i t i v e   A P I,   c e r t i f i c a t e s   a n a ppl i c a t i o n   pe r m i s s i o n s .   Y a n e t   a l   [1 4],   s ugge s t e a n   a dv a n c e r a ndo m   f o r e s t   a l go ri t hm   t o   de t e c t   a n c l a s s i f i e m a l w a r e .   S a n t o s   e t   a l   [15 p ri m a r i l y   us e t h e   s t a t i c   f e a t ur e   o f   P E   f i l e s .   I n   t h i s   p a pe r ,   t h e y   r e c o m m e n de a   n e w   m e t h o d   t o   de t e c t   u n k n o w n   m a l w a r e   f a m i l i e s   b a s e o n   t h e   f r e que n c y   of   t h e   a ppe a ra n c e   o f   o pc o d e   s e que n c e s .   C.   I.   F u n   et  al .   [ 16],   s ugge s t e t e c hni que s   o f   h o o ki n t o   t ra c d y n a m i c   s i g na t u r e s   t ha t   t h e   m a l w a r e   t r i e s   t o   h i de   by   us i n da t a   m i ni n m e t h o ds .   T hi s   t e c hn i que   de t e c t e di ffe r e nt   b e h a v i o r s   o f   m a l w a r e   a n t h e y   c o m pa r e   i t   w i t h   t h e   b e n i g n   da t a .   By   a ppl y i n 80  a t t ri b ut e s ,   t h e   de t e c t i o n   ra t e   w a s   95%  w h i c h   m a ke s   t h e   t e c hn i q ue   t h e y   us e i n c r e a s e de t e c t i o n   ra t e   w i t h   de c r e a s i ng  c o m pl e xi t y .   M .   Be l a o ue &   S .   M a z o uz i   [17]   s ugge s t e a   r e a l - t i m e   P E   m a l w a r e   de t e c t i o n   s y s t e m   b a s e o t h e   a n a l y s i s   of   t h e   i n f o r m a t i o n   s t o r e i n   t h e   P E - o pt i o n a l   h e a de r   f i l e ds .   F o r   f e a t u r e s   s e l e c t i o n ,   t h e   w r i t e r s   u s e P h i c o e ff i c i e n t   a n c h i   s qua r e   w i t h   s e l e c t e d   f e a t ur e s   R o t a t i o f o r e s t   c l a s s i f i e r   w a s   t ra i n e d   a n d   t e s t e d.   T h e i r   r e s ul t e r e a c h e a t   9 7%  a c c ura c y .   H a s s e n   e t   a l   [18]  pr o po s e a   n e w   t e c h n i que   fo r   m a l w a r e   c l a s s i f i c a t i o n   us i n s t a t i c   a n a l y s i s   b a s e o n   c o n t r o l   s t a t e m e n t   s hi n g l i n g .   I t h e i w o r k,   us i n g   a   d a t a s e t   o f   10, 260   m a l w a r e   i n s t a n c e s ,   t h e y   r e po r t e up  t o   99. 21 a c c ur a c y   by   u s i n g   di s a s s e m b l e m a l i c i o us   b i n a ri e s   a s   a   e xt r a c t e f e a t ur e s .     In   t h i s   p a pe r,   r e s e a r c h e r s   p r e s e n t s   a   c o m pa r i s o n   o f   m a l w a r e   de t e c t i o n   t e c hni que s   us i n m a c h i n e   l e a rn i ng  a l go r i t hm   w h i c h   a r e   K - N e a r e s t   N e i g h b o r s   (K - N N ),   D e c i s i o n   T r e e   (D T a n S uppo rt   V e c t o r   M a c hi n e   (S V M f o r   m a l w a r e   de t e c t i o n   by   us i n po rt a b l e   e xe c ut a b l e   (P E i n f o r m a t i o n   a s   a   f e a t ur e s   e xt ra c t i o n.   T h e   P E   s t ruc t u r e   c o n t a i n s   o f   a   P E   f i l e   h e a de a n a   s e c t i o n   t a b l e   fo l l ow e by   t h e   s e c t i o n ’s   da t a   [19] .   T h e   r e s ul t s   s h o w e t h a t   D T   i s   t h e   b e s t   m a c h i n e   l e a rn i ng  t e c hni que   t o   de t e c t   m a l w a r e   w i t h   99%   de t e c t i o n   a c c ura c y .   T h e   n e xt   s e c t i o n s   r e s e a r c h e r s   e xpl a i n   t h e   pr o po s e m e t h o a n d   s e c t i o n   di s c us s e s   o n   t h e   e xpe r i m e nt a l   f i n a l l y   a r e   t h e   c o n c l us i o n   a n d   f ut u r e   d i r e c t i o n s .       2.   R ES EA R C H   M ET H O D   T h e   p r o po s e de t e c t i o n   a pp r o a c i s   i l l us t r a t e by   t h e   f l o w c h a rt   i F i g u r e   1.   A   m a l w a r e   s a m pl e   a n a l y z e us i n s t a t i c   a n a l y s i s .   S t a t i c   a n a l y s i s   l e a ds   t o   t h e   e xt r a c t i o n   o f   fe a t u r e s .   In   t h i s   e xpe ri m e n t ,   w e   e xa m i n e P E   f i l e s   w i t h   P E v i e w   t oo l .   T hi s   P E   e xe c ut a b l e   f i l e s   i n f o r m a t i o n   t h e n   w i l l   b e   us e a s   a   f e a t ur e .   A l l   t h e   i n f o r m a t i o n   f e a t u r e s   w i l l   t h e n   b e   f i l t e r e t o   s e l e c t   o pt i m a l   f e a t u r e s   t ha t   a r e   r e l e v a n t   f o r   c l a s s i f i c a t i o n   t a s k.   T h e   l a s t   p r o c e s s   w i l l   be   do n e   by   e v a l ua t i n t h e   hi gh e s t   a c c ur a c y   de t e c t i o n   us i n t hr e e   t y pe s   o a l go ri t hm s   w hi c h   a r e   K - N e a r e s t   N e i g h b o (K N N ),   D e c i s i o n   t r e e (D T a n d   S upe r   V e c t o M a c h i n e   (S V M ) .       Evaluation Warning : The document was created with Spire.PDF for Python.
In do n e s i a J   E l e c   E ng  &   Co m S c i     IS S N :   2502 - 4752       C om par i s on   of   m al w ar e   de t e c t i on  t e c hn i que s   us i n m a c hi ne   l e ar ni ng. . .   ( N ur   S y uhad S e l am at )   437       F i g u r e   1 .   D e t e c t i o m o de l   m e t h o d       2 . 1 .       D at c o l l e c ti o n   D a t a s e t   i s   d i v i de i nt o   m a l w a r e   a n b e n i g n   s o f t w a r e .   I n   t h i s   s t udy ,   w e   c o l l e c t e 305  t y pe s   of  ra n do m l y   m a l w a r e   a n 236  t y pe s   of     b e n i g n   s o f t w a r e .   T h e   m a l w a r e   a n b e n i g f i l e s   f r o m   m a l w a r e   c o l l e c t o r s   l i ke   V i r us S ha r e   [20] ,   V i r us T o t a l   [21] ,   V X   H e a v e n   [22]  a nd  e t c .   F o r   b e n i g n   f i l e s   w e   ob t a i n e f r o m   W i ndo w s   a n P r o g r a m s   F i l e s   f o l de r .   A l l   a r e   i t h e   W i n do w s   P E   f o r m a t .     2 . 2 .       F e a tu r e s   e x tr a c ti o n   F e a t u r e   e xt ra c t i o n   c a n   b e   de f i n e a s   t ra n s f o r m i ng  t h e   l a r ge ,   v a gue   c o l l e c t i o n   o f   i n put s   i nt o   t h e   s e t   of  f e a t ur e s   [23].   A dv a n c e de t e c t i o n   r e l i e s   o n   f e a t ur e   e xt ra c t i o n   o f   t h e   m a l w a r e   b e i n a n a l y s e [24].   F e a t u r e s   c o ul c o n t a i n   p l a i n t e x t   s t ri n gs   f o un i t h e   d i s a s s e m b l e f i l e s ,   t h e   s i z e   o f   t h e   m a l w a r e ,   n - g ra m   b y t e   s e que n c e s ,   s y s t e m   r e s o ur c e   i n f o r m a t i o n   s uc h   a s   t h e   s e t   of   D L L s ,   e t c .   By   us i n m a c hi n e   l e a rn i n a l go r i t h m ,   t h e s e   f e a t ur e s   a r e   p r o v i de a s   i n put s .   B a s e o n   o ur   s t udi e s   de t a i l e a na l y s i s   of   t h e   fo r m a t   f e a t u r e s   of   t h e   P E   f i l e s ,   w e   e xt r a c t e a b o ut   78  f e a t u r e s   t ha t   h a v e   p r o b a b l e   t o   di ff e r e n t i a t e   b e t w e e n   c l e a n   s o f t w a r e   a n d   m a l w a r e ,   f r o m   gi v e P E   f i l e s .   T h e s e   f e a t u r e s   a r e   s um m a ri z e d   i T a b l e   1.       T a b l e   1 .   F e a t u r e s   t o   b e   e xt ra c t e d   F e a t u r e s     N a m e , e _ m a g i c , e _ c b l p , e _ c p , e _ c rl c , e _ c p a r h d r, e _ m i n a l l o c , e _ m a x a l l o c , e _ s s , e _ s p , e _ c s u m , e _ i p , e _ c s , e _ l f a rl c , e _ o v n o , e _ o e m i d , e _ o e m i n fo , e_ l f a n e w , M a c h i n e , N u m b e rO fS e c t i o n s , T i m e D a t e S t a m p , P o i n t e rT o S y m b o l T a b l e , N u m b e rO fS y m b o l s , S i z e O f O p t i o n a l H e a d e r, C h a ra c t e ri s t i c s , M a g i c , M a j o rL i n k e r V e r s i o n , M i n o rL i n k e r V e r s i o n , S i z e O f C o d e , S i z e O f I n i t i a l i z e d D a t a , S i z e O fU n i n i t i a l i z e d D a t a , A d d r e s s O f E n t r y P o i n t , Ba s e O f C o d e , I m a g e Ba s e , S e c t i o n A l i g n m e n t , F i l e A l i g n m e n t , M a j o rO p e ra t i n g S y s t e m V e r s i o n , M i n o rO p e ra t i n g S y s t e m V e r s i o n , M a j o rI m a g e V e r s i o n , M i n o rI m a g e V e r s i o n , M a j o rS u b s y s t e m V e r s i o n , M i n o r S u b s y s t e m V e r s i o n , S i z e O fH e a d e r s , C h e c k S u m , S i z e O f I m a g e , S u b s y s t e m , D l l C h a r a c t e ri s t i c s , S i z e O fS t a c k Re s e r v e , S i z e O fS t a c k Co m m i t , S i z e O fH e a p R e s e rv e , S i z e O f H e a p C o m m i t , L o a d e r F l a g s , N u m b e rO f R v a A n d S i z e s , M a l w a r e , S u s p i c i o u s I m p o rt F u n c t i o n s , S u s p i c i o u s N a m e S e c t i o n , S e c t i o n s L e n g t h , S e c t i o n M i n E n t r o p y , S e c t i o n M a x E n t r o p y , S e c t i o n M i n Ra w s i z e , S e c t i o n M a x Ra w s i z e , S e c t i o n M i n V i r t u a l s i z e , S e c t i o n M a x V i rt u a l s i z e , S e c t i o n M a x P h y s i c a l , S e c t i o n M i n P h y s i c a l , S e c t i o n M a x V i rt u a l , S e c t i o n M i n V i rt u a l , S e c t i o n M a x P o i n t e rD a t a , S e c t i o n M i n P o i n t e r D a t a , S e c t i o n M a x C h a r, S e c t i o n M a i n C h a r, D i r e c t o r y E n t r y I m p o rt , D i re c t o r y E n t r y I m p o r t S i z e , D i r e c t o r y E n t r y E x p o rt , I m a g e D i r e c t o r y E n t r y E x p o rt , I m a g e D i r e c t o ry E n t r y I m p o r t , I m a g e D i re c t o r y E n t r y R e s o u rc e , I m a g e D i r e c t o r y E n t r y E x c e p t i o n , I m a g e D i r e c t o r y E n t ry S e c u ri t y       Evaluation Warning : The document was created with Spire.PDF for Python.
                                IS S N :   2502 - 4752   In do n e s i a J   E l e c   E ng  &   Co m S c i ,   V o l .   1 6 ,   N o .   1 O c t o b e r   201 9   :     435   -   440   438   2 . 3     F e a tu r e s   s e l e c ti o n   B a s e o n   T a b l e   e xpl a i n e a b ov e ,   t h e r e   a r e   7 f e a t u r e s   w e r e   e xt ra c t e f r o m   P E   i n f o r m a t i o n   n o t   a l l   f e a t ur e s   e xt r a c t e a r e   s i g n i f i c a nt   t o   b e   us e a nd  w i l l   g i v e   a   hi g h   de t e c t i o n   a c c u r a c y .   S o ,   t h e   n e xt   p h a s e   i s   w e   o n l y   c h o s e   s o m e   fe a t ur e s   f r o m   t h e   78  f e a t ur e s .   I t   i s   do n e   t o   ge t   m o r e   a c c ur a t e   de t e c t i o n .   T a b l e   s h o w s   t h e   m o s t   r e l e v a nt   f e a t ur e s   us e a n w e   s e l e c t   o n l y   28  f e a t ure s   f r o m   78  f e a t ur e s   e xt r a c t e t o   c o n t i n ue   t h e   e xpe r i m e nt .       T a b l e   2 F e a t u r e s   t o   b e   s e l e c t e d   F e a t u r e s     ' N u m b e rO fS e c t i o n s ', ' P o i n t e rT o S y m b o l T a b l e ' , ' N u m b e rO fS y m b o l s ' , 'S   i z e O f O p t i o n a l H e a d e r ' , ' C h a ra c t e ri s t i c s ', ' M a g i c ' , 'M a j o rL i n k e r V e r s i o n ' , 'M   i n o rL i n k e r V e r s i o n ' , 'S i z e O f C o d e ', ' S i z e O f I n i t i a l i z e d D a t a ', ' Ba s e O fCo d e ' , '   Im a g e Ba s e ' , 'S e c t i o n A l i g n m e n t ' , 'F i l e A l i g n m e n t ' , 'S i z e O fH e a d e r s ' , 'S i z e O f I   m a g e ', ' S u b s y s t e m ' , 'S i z e O f S t a c k R e s e rv e ', ' S i z e O fS t a c k Co m m i t ', ' S i z e O f H e a p   Re s e r v e ', ' L o a d e r F l a g s ', ' S e c t i o n s L e n g t h ' , ' D i r e c t o r y E n t r y I m p o r t S i z e ' , 'D i   re c t o ry E n t ry Im p o rt ' , 'D i r e c t o r y E n t ry I m p o rt S i z e ', ' D i r e c t o ry E n t ry E x p o rt '       2 . 4     D e s i gn i n g   d e t e c ti o n   m o d e l   In   t hi s   p h a s e ,   f o r   de s i gn i n a   de t e c t i o n   m o de l ,   m a c h i n e   l e a rni n t e c hni que s   c a l l e K - N N ,   D T ,   a n d   S V M   h a v e   b e e n   us e d.   T h e   c h o i c e   of  c l a s s i f i e r   o r   a l go r i t hm s   de pe n ds   o n   t h e   t y pe   of  f e a t ur e s ,   da t a s e t   s i z e   a n a l s o   pr o b l e m   t be   s o l v e d.   T h e s e   c l a s s i f i e r s   h a v e   b e e n   us e a f t e r   r e m o v e d   i rr e l e v a nt   f e a t ur e s   e xt ra c t i o n .   N e xt ,   t h e s e   f e a t ur e s   s e l e c t i o n   w i l l   b e   t ra i n e a n d   t e s t e o n   e a c h   c l a s s i f i e r   t o   pe r f o r m   c l a s s i f i c a t i o t a s k.       3.   R ES U LTS   A ND  D IS C U S S I O N   F i g u r e   s h o w s   t h e   D T   a l go ri t hm   w a s   us e a nd  s e l e c t e i n   t hi s   e xpe ri m e n t   w h i c h   gi v e   t h e   b e s t   h i g h   a c c ur a c y   de t e c t i o n   c o m pa r e t o   t h e   o t h e r s   m a c h i n e   l e a r ni n a l go ri t hm   i c l a s s i fy i n b e t w e e n   b e n i g n   s of t w a r e   a nd  m a l w a r e .   T a b l e   s h o w s   t h e   c l a s s i f i c a t i o n   re s ul t s   us i n g   K - N N   , D T   a n d   S V M   a l go ri t hm s .   T o   e v a l ua t e   t h e   r e s ul t s ,   t h e   m a i n   pe r f o r m a n c e   m e t r i c s   [25]  na m e l y   T r ue   P o s i t i v e   (T P ),   F a l s e   P o s i t i v e   (F P ),   T r ue   N e ga t i v e   (T N ),   a n F a l s e   N e ga t i v e   (F N )   w i l l   b e   c a l c ul a t e d.   T r ue   P o s i t i v e s   R a t e s   (T P R w i l l   gi v e   t h e   pe r c e n t a ge   o f   c o rr e c t l y   i de n t i f i e a s   m a l w a r e   s a m pl e s .   F a l s e   P o s i t i v e   R a t e s   (F P R w i l l   gi v e   t h e   pe r c e n t a ge   of  w r o n gl y   i de n t i f i e a s   m a l w a r e   s a m p l e s .   T h e   pe r f o rm a n c e   m e t r i c s   a r e   c a l c ul a t e a s   f o l l ow s   T P R = T P / ( T P + F N a nd  F P R = F P / (F P + T N ) .   W hi l e   p r o po r t i o n   o f   t h e   t o t a l   n um b e r   o f   pr e di c t i o n s   t h a t   a r e   c o r r e c t   c a l l e a s   o v e r a l l   a c c u r a c y   t ha t   w i l l   b e   c o m put e a s   A c c ur a c y = ((T P + T N ))/ ( T P + F P + T N + F N ) .           F i gu r e   2 .   D e c i s i o t r e e   a l go ri t hm       T a b l e   3 .   C l a s s i f i c a t i o r e s ul t   M e t h o d   T P R   FPR   D e t e c t i o n   a c c u ra c y   (% )   DT   1 . 0 0   0 . 0 2 1   99   K - NN   0 . 9 2   0 . 0 4 2   94   S V M   0 . 9 5   0 . 1 6 0   91       E xpl a i ni n r e s e a r c h   c hr o n o l o gi c a l ,   i n c l ud i n r e s e a r c h   de s i gn,   r e s e a r c h   p r o c e dur e   (i n   t h e   f o r m   o a l go ri t hm s ,   P s e udo c o de   o r   o t h e r ) ,   h o w   t o   t e s t   a nd  d a t a   a c q ui s i t i o n   [ 6 - 9 ] .   T h e   de s c r i p t i o o f   t h e   c o ur s e   of  r e s e a r c s h o ul b e   s uppo rt e r e f e r e n c e s ,   s o   t h e   e xpl a na t i o n   c a n   b e   a c c e pt e s c i e n t i f i c a l l y   [ 4 ,   10 ] .   Evaluation Warning : The document was created with Spire.PDF for Python.
In do n e s i a J   E l e c   E ng  &   Co m S c i     IS S N :   2502 - 4752       C om par i s on   of   m al w ar e   de t e c t i on  t e c hn i que s   us i n m a c hi ne   l e ar ni ng. . .   ( N ur   S y uhad S e l am at )   439   T a b l e s   a n F i g u r e s   a r e   pr e s e nt e c e n t e r ,   a s   s h o w n   i n   T a b l e   a n F i gu r e   a n c i t e i n   t h e   m a n us c r i p t   b e fo r e   a ppe a r e d B a s e o T a b l e   a b o v e ,   w e   c a s e e   t h a t   D T   a l go ri t hm   ha v e   hi g de t e c t i o a c c ur a c y   a n e ffe c t i ve   t de t e c t   t h e   m a l w a r e   by   us i n t h e   pr o po s e da t a s e t   fo r   t hi s   w o r c o m pa r e s   t o   t h e   o t h e r s   a l go ri t hm   w h i c h   i s   r e a c h e 99% .   T h e   pe r f o r m a n c e   S V M   o n l y   91%  i s   n o t   goo e n o ugh   a c c ura c y .   M o r e ov e r   t h e   n u m b e r   o F P i s   a l s o   h i g h e r   0 . 160 .   F o r   K - N N   t h e   a c c ur a c y   p e r c e n t a ge   de t e c t i o n   a c c ur a c y   i s   94% .       4.   C O N C LU S I O N   M a l w a r e   a r e   b e c o m i ng  w i de s pr e a d   a n d   m o r e   c o m pl e da y   by   da y .   In   t hi s   e xpe r i m e nt ,   t h e   f o c us   l i e s   o n   a n a l y s i n a n m e a s u r i ng  t h e   de t e c t i o n   a c c ur a c y   of   t h e   M L   c l a s s i f i e r   t h a t   us e s t a t i c   a n a l y s i s   t o   e xt r a c t   t h e   f e a t ur e s   b a s e o n   P E   i n f o r m a t i o n   by   c o m pa ri n t hr e e   di f fe r e nt   c l a s s i f i e r s   o n   m a c h i n e   l e a rni n m e t h o ds .   W e   w e r e   a b l e   t o   t r a i n   m a c hi n e - l e a rni n a l go ri t hm s   t o   de t e c t   m a l w a r e   a nd  b e n i g n   f i l e s .   T h e   r e s ul t s   s h o w e d   t h a t   D T   m a c h i n e   l e a rni n t e c hni que   i s   t h e   b e s t   c l a s s i f i e r   t o   c l a s s i fy   o ur   da t a   w i t h   9 9%  o f   a c c ur a c y .   F r o m   t h i s   e xpe r i m e nt   i t   i s   c l e a r   t h a t   by   us i n s t a t i c   a na l y s i s   b a s e o n   P E   i n f o r m a t i o n   a nd  s e l e c t e t h e   r e l e v a n t   f e a t u r e s   of   t h e   da t a   c a n   a l s o   gi v e   t h e   b e s t   d e t e c t i o n   a c c ur a c y   a n c a a c c ur a t e l y   r e pr e s e nt   m a l w a r e .   F u r t h e rm o r e ,   t h e   a dv a n t a ge s   of   t h i s   m e t h o t h e r e   i s   n o   n e e t o   e xe c ut e   o r   r u n   m a l w a r e   a nd  w e   c a n   u nde r s t a n w h e t h e r   i t   i s   m a l w a r e   o n o t .       A C K N O WL ED G E M EN TS   T h e   a u t h o h e r e by   a c kn o w l e dg e s   t h e   f i na n c i a l   s u p po r t   f r o m   U n i v e r s i t y   T e c hn o l o g y   M A R A   (U i T M a n t h e   M i n i s t r y   of   H i gh e E duc a t i o u n de r   600 - IR M I/ F R G S   5/ 3   (017 / 201 7).       R EF ER EN C ES     [ 1]   M o ha m m a d   I   ,   M uh a m m a T a ,   &   M uha m m a A q,   A   C o m pa r i s o O f   F e a t u r e   E x t r a c t i o T e c hn i qu e s   F o r   M a l w a r e   A na l y s i s ,   T u r k i s J our nal   O f   E l e c t r i c al   E n gi ne e r i ng  &   C om put e r   Sc i e nc e ,   a v a i l a bl e   o nl i ne :   ht t ps : / / pdf s . s e m a n t i c s c ho l a r . o r g / d6b a / bbdd 779d e 6c 75a b a e 9 5a 54 b4f 8dd70 6d70 e f . pdf ,   l a s t   v i s i t : 15/ 10 / 20 18.   [ 2]   G . B a l a   K r i s hna ,   V .   R a dh a ,   K .   V e nug o pa l a   R a o ,   R e v i e w   o f   C o nt e m po r a r y   L i t e r a t ur e   o M a c hi ne   L e a r n i ng   ba s e d   M a l w a r e   A na l y s i s   a nd   D e t e c t i o S t r a t e g i e s   G l ob al   J ou r na l   of   C om put e r   Sc i e nc e   and   T e c hno l og y ,   [ S . l . ] ,   j ul y   2016 .   I S S N   0975 - 4172.   A v a i l a b l e   a t :   ht t p s : / / c o m put e r r e s e a r c h . o r g / i nde x . ph p/ c o m put e r / a r t i c l e / v i e w / 14 10 ,   D a t e   a c c e s s e d:   23  m a r .   2 019 .   [ 3]   A .   .   F a l l i s ,   N e u r a l   N e t w o r k   M o de l ,   J .   C h e m .   I nf .   M o de l . ,   v o l .   53 ,   no .   9 ,   pp.   1 689 1699 ,   201 3.   [ 4]   M o ha m m a D K ,   M o hd  T S ,   R a f i a   A ,   M a he no o r   S , &     S o na l i i   S   M a l w a r e   de t e c t i o us i ng   M a c hi n e   L e a r ni ng   A l go r i t hm s   I J A R C C E ,   V o l .   6 ,   I s s ue   9 ,   S e pt e m be r   ( 201 7) ,   a v a i l a b l e   o nl i n e :   ht t ps : / / i j a r c c e . c o m / upl o a d/ 2 017 / s e pt e m be r 17 / I J A R C C E % 2035. p df ,   l a s t   v i s i t : 20/ 10/ 2018 .   [ 5]   J . L a nda g e   &   M . P . W a nkh a de   M a l w a r e   A nd  M a l w a r e   D e t e c t i o T e c hni qu e s : A   S ur v e y   I nt e r na t i o na l   J ou r na l   of   E ngi ne e r i n R e s e ar c &   T e c hno l o gy   ( I J E R T ) ,   v o l . 2   I s s ue   1 2,   D e c e m be r   201 3.   [ 6]   S . N a j a r i   &   I . L o t f i   M a l w a r e   d e t e c t i o us i ng   da t a   m i n i ng   t e c hni q ue s   I n t e r na t i o na l   J our na l   of   I nt e l l i ge n t   I nf or m a t i on  Sy s t e m s ,   V o l um e   3 ,   I s s ue   6 - 1 ,   D e c e m b e r ,   P a g e s :   33 - 37 .   2014 .   [ 7]   V .   R a o   &   K . H a nd e   A   c o m pa r a t i v e   s t udy   o f   s t a t i c ,   dy na m i c   a nd   hy br i a na l y s i s   t e c hni que s   f o r   a n dr o i d   m a l w a r e   de t e c t i o n”   I J E D R   V o l   5,   I s s ue   ( 2017 )   a v a i l a b l e   o nl i ne :   ht t ps : / / w w w . i j e d r . o r g / p a pe r s / I J E D R 1702223 . pdf   ,   D a t e   a c c e s s e d:   23  M a r c 20 19 .   [ 8]   T i a n   R ,   I s l a m   R ,   B a t t e L ,   V e r s t e e g   S .   D i f f e r e n t i a t i ng   m a l w a r e   f r o m   c l e a nw a r e   u s i ng   b e ha v i o ur a l   a n a l y s i s .   I n :   M a l i c i o us   a nd   U nw a n t e d   S o f t w a r e   ( M A L W A R E ) ,   2010   5t I nt e r nat i ona l   C onf e r e nc e   on ;   N e w   Y o r k,   N Y ,   U S A :   I E E E .   pp.   23 - 30 .   201 0.   [ 9]   Z a hr a   S ,   M a hbo o be G   &   A s hka S   A   m i ne r   f o r   m a l w a r e   de t e c t i o ba s e o A P I   f unc t i o c a l l s   a nd  t h e i r   a r g um e nt s ,   1 6t C S I   I nt e r n at i on al   Sy m p os i um   o A r t i f i c i a l   I nt e l l i ge nc e   and  S i gn al   P r oc e s s i ng  ( A I SP ) ,   ( M a y ) ,   pp .   563 - 568 .   2012 .   [ 10]   A r s hi   D   &   M a ni nde r   S   B e h a v i o r   a na l y s i s   o f   m a l w a r e   us i ng   m a c hi ne   l e a r ni ng ,   201 E i gh t I nt e r n at i ona l   C onf e r e nc e   on  C on t e m por a r y   C om p ut i ng   ( I C 3) ,   a v a i l a b l e   o nl i ne :   ht t ps : / / i e e e xp l o r e . i e e e . o r g / xpl / m o s t R e c e n t I s s ue . j s p? punum b e r = 73 3 7021 ,   l a s t   v i s i t :   18 / 10 / 201 8 .   [ 11]   P .   V .   S hi j o a , &   A .   S a l i m   I nt e g r a t e s t a t i c   a nd  dy na m i c   a na l y s i s   f o r   m a l w a r e   de t e c t i o n”   I nt e r na t i ona l   C on f e r e nc e   on  I nf or m a t i on  and  C om m u ni c at i on  T e c hn ol ogi e s   ( I C I C T   2014) ,   pp .   804    811 ,   a v a i l be   o nl i ne :   w w w . s c i e nc e d i r e c t . c o m   [ 12]   M . S . A nua r   a nd   M . A i z a i n i   C l as s i f i c a t i on  o f   M a l w ar e   F am i l y   U s i ng   D e c i s i on   T r e e   A l go r i t hm   I nno v a t i o ns   i n   C o m put i ng   T e c hno l o gy   a nd  A p pl i c a t i o ns ,   v o l   , 2 .   2107 .   [ 13]   L i Y a ng   E m pl oy i ng  T he   A l go r i t hm s   O f   R a ndo m   F o r e s t   A nd  N e ur a l   N e t w o r ks   F o r   T he   D e t e c t i o A nd  A na l y s i s   O f   M a l i c i o us   C o de   O f   A ndr o i d   A ppl i c a t i o ns ,   B e i j i ng   J i a o t o ng   U ni v e r s i t y .   2015 .   [ 14]   Y a ng   H o ng - Y u,   X J i n. A ndr o i M a l w a r e   D e t e c t i o B a s e O I m pr ov e R a ndo m   F o r e s t ,   J ou r na l   O n   C om m uni c at i on s ,   2 017 , ( 04) : 8 - 16   Evaluation Warning : The document was created with Spire.PDF for Python.
                                IS S N :   2502 - 4752   In do n e s i a J   E l e c   E ng  &   Co m S c i ,   V o l .   1 6 ,   N o .   1 O c t o b e r   201 9   :     435   -   440   440   [ 15]   S a nt o s   I ,   B r e z o   F ,   U g a r t e - P e dr e r o   X ,   e t   a l   O pc o de   s e que nc e s   a s   r e p r e s e n t a t i o o f   e xe c ut a b l e s   f o r   da t a - m i ni ng - ba s e unkno w m a l w a r e   de t e c t i o n” ,   I nf or m a t i on   Sc i e nc e s ,   23 1:   64 - 82.   20 13.   [ 16]   C. - I .   F a n,   H . - W .   H s i a o ,   C . - H .   C ho u ,   a nd  Y . - F .   T s e ng ,   M a l w a r e   D e t e c t i o S y s t e m s   B a s e o A P I   L og   D a t a   M i n i ng ,   2 015   I E E E   39t A nnu .   C om pu t .   So f t w .   A pp l .   C o nf . ,   v o l .   3,   pp .   255 260 ,   2015 .   [ 17]   M . B e l a o ue &   S . M a z o uz i   A   R e a l - T i m e   P E - M a l w a r e   D e t e c t i o S y s t e m   B a s e o C H I - S qua r e   T e s t   a nd  P E - F i l e   F e a t ur e s   20 18 .   [ 18]   H a s s e e t . a l ,     M a l w a r e   c l a s s i f i c a t i o us i ng   s t a t i c   a na l y s i s   ba s e d   f e a t u r e s   I 2017  I E E E   Sy m p os i um   Se r i e s   on   C om put at i ona l   I n t e l l i ge nc e   ( SSC I ) ,   pa g e s   1 7.   20 17 .   [ 19]   J . B a i   e t . a l   A   m a l w a r e   D e t e c t i o S c he m e   B a s e o M i ni ng   F o r m a t   I nf o r m a t i o n”   T he   Sc i e nt i f i c   W or l J o ur na l   a v a i l a bl e   o nl i n e :   ht t p: / / d x. do i . o r g / 10 . 11 55/ 2014 / 2 6090 5 ,   20 14.   [ 20]   ht t ps : / / v i r u s s ha r e . c o m /   [ 21]   ht t ps : / / w w w . v i r us t o t a l . c o m /   [ 22]   H t t p: / / 8 3. 1 33 . 184 . 25 1/ V i r e ns i m u l a t i o n. O r g /   [ 23]   S . R a nv e e r   &   S . H i r a y ,   C o m pa r a t i v e   A na l y s i s   o f   F e a t u r e   E x t r a c t i o M e t ho ds   o f   M a l w a r e   D e t e c t i o n,   I J C A ,   v o l . 120,   J u ne   201 5   [ 24]   Q &   H ug he s     D e t e c t i ng   m e t a m o r ph i c   m a l w a r e   by   us i ng   be ha v i o r - ba s e a g g r e g a t e s i g na t u r e .   I nt e r ne t   S e c u r i t y   ( W o r l dC I S ) ,   W or l d   C o nf e r e nc e   P r oc e e di ngs ,   13 18 .   2 013 .   [ 25]   M . A s ha   J e r l i &   K . M a r i m ut h A   N e w   M a l w a r e   D e t e c t i o S y s t e m   U s i ng   M a c h i ne   L e a r ni ng   T e c hni qu e s   f o r   A P I   C a l l   S e qu e nc e s   20 17   J ou r na l   of   A p pl i e Se c u r i t y   R e s e ar c h ,   v o l   13 ,   pp. 45 - 62 ,   2 017 .       B I O G R A P H I ES   O F   A U T H O R S       N u r   S y u h ad S e l am at   o bt a i ne he r   D e g r e e   o f   N e t c e nt r i c   C o m put i ng   a t   U ni v e r s i t i   T e k no l o g i   M A R A   ( U i T M ) ,   M a l a y s i a . N o w ,   s h e   i s   f ur t he r i ng   he r   s t udy   a t   t he   F a c ul t y   o f   C o m put e r   a n M a t he m a t i c a l   S c i e nc e s ,   i n   M a s t e r   o f   C o m put e r   S c i e nc e   a t   t he   s a m e   uni v e r s i t y .               F ak ar i ah   H an i   M o h d   A l i   o b t a i ne he r   P hD   o f   S e c ur i t y   i C om put i ng   f r o m   U ni v e r s i t i   P ut r a   M a l a y s i a .   S he   i s   a   S e n i o r   L e c t ur e r   a t   F a c u l t y   o f   C o m put e r   a n M a t he m a t i c a l   S c i e nc e s ,   U n i v e r s i t i   T e kno l o g i   M A R A ,   M a l a y s i a .   S h e   i s   a   m e m be r   o f   t he   M a l a y s i a S o c i e t y   C r y pt o l ogy   R e s e a r c h   ( M S C R ) .   H e r   r e s e a r c i n t e r e s t   a r e   c r y pt o g r a ph y ,   ne t w o r s e c ur i t y   a nd  d i g i t a l   f o r e ns i c s .         Evaluation Warning : The document was created with Spire.PDF for Python.