マルウェア検出2026/9/17arXiv:2609.19900

Delphi Scanner: API系列モデリングによる効率的で解釈可能な静的マルウェア検出

Delphi Scanner: efficient and interpretable static malware detection via API sequence modeling

Windows PEファイルのAPI系列をCNNでモデル化し、ルールベースの解釈層で悪意ある機能を分類する静的マルウェア検出システムを提案。19万件超で95.35%の精度を達成し、軽量かつ解釈可能で敵対的回避にも頑健。

詳しい要約

1. どんなもの？

- Windows PE ファイル向けの静的マルウェア検出システム Delphi Scanner を提案。 - CNN で Windows API シーケンスをモデル化し PE を分類。 - ルールベースの分離された解釈層で API を高レベルな悪性能力に分類。 - 190,000 以上の PE で評価し、精度 95.35%、モデルサイズ 1.53 MB。 - ローカル展開でのマルウェアトリアージ向けの実用的・解釈可能・効率的な基盤を目指す。

2. 先行研究と比べてどこがすごい？

- 検出効果・計算効率・分析解釈性のバランスを重視。 - 従来の静的検出と比べ、CNN による API シーケンスモデリングとルールベース解釈層を分離。 - 1.53 MB の小さなモデルで 95.35% 精度を達成。 - 解釈層により API を高レベルな悪性能力にカテゴリ化可能。 - 具体的な先行研究名は要旨からは不明。

3. 技術・手法の肝は？

- Windows API シーケンスを CNN でモデル化して PE を分類。 - 解釈層はルールベースで、API を高レベルな悪性能力に分類。 - 検出モデルと解釈層を分離（decoupled）して構成。 - 静的解析に基づく。 - 詳細なアーキテクチャやルール内容は要旨からは不明。

4. どうやって有効だと検証した？

- 190,000 以上の Windows PE ファイルで評価。 - 精度 95.35%、モデルサイズ 1.53 MB を報告。 - 5,647 の out-of-distribution MalwareBazaar サンプルでロバスト性実験。 - packed/unpacked のペア実行ファイルで検証。 - 3 つの adversarial manipulation 戦略で機能保持型回避への耐性を確認。 - 訓練分布を超えた汎化と回避耐性を示す。

5. 議論はある？

- API シーケンスベース静的解析がローカル展開でのマルウェアトリアージに実用的・解釈可能・効率的な基盤となることを示唆。 - 検出効果・効率・解釈性のバランスを取れると主張。 - 限界や今後の課題、誤検知・見逃しの詳細は要旨からは不明。 - 他のプラットフォームやファイル形式への適用性は要旨からは不明。

6. 次に読むべき論文は？

- 要旨で参照/比較されている研究は明示されていない。 - 関連手法として、静的マルウェア検出、Windows API シーケンス解析、CNN ベースのマルウェア分類、ルールベース解釈、adversarial malware evasion の定番研究を挙げる。 - 具体的な論文名は要旨からは不明。

※ AIが要旨から生成した要約です。正確性は原文をご確認ください。

著者: Bijied Brahimi, Vincent Cohadon, Gabriel Glazman, Rayan Al Mohaize, Omran Berjawi, Rida Khatoun

分類: cs.CR, cs.LG

原文アブストラクト

Static malware detection for Windows Portable Executable files demands a careful balance between detection effectiveness, computational efficiency, and analytical interpretability. This paper introduces Delphi Scanner, a static malware detection system for Windows PE files that balances efficiency with behavioral interpretation. It uses a convolutional neural network (CNN) to model Windows API sequences to classify PE and a decoupled interpretation layer based on a rule-based layer to categorize APIs into high-level malicious capabilities. Evaluated on over 190,000 Windows PE files, the system achieves 95.35% accuracy with a 1.53~MB model footprint. Robustness experiments on 5,647 out-of-distribution MalwareBazaar samples, paired packed and unpacked executables, and three adversarial manipulation strategies confirm generalization beyond the training distribution and resistance to functionality-preserving evasion techniques. Overall, these results demonstrate that API sequence-based static analysis offers a practical, interpretable, and efficient foundation for malware triage in local deployment scenarios.

arXivで原文を読む →arXiv概要ページ

← 論文一覧