Voir la source de Détection de logiciels malveillants renforcée par apprentissage automatique

{{Wikifier|date=juin 2024}}
{{style encyclopédique|février 2021|date=février 2021}}
La détection de '''[[logiciel malveillant|logiciels malveillants]]''' renforcée par '''[[apprentissage automatique]]''' représente une avancée significative dans la lutte contre les menaces informatiques. Cette méthode s'appuie sur des [[Algorithme d'apprentissage incrémental|algorithmes d'apprentissage]] pour identifier et contrer les attaques.

Les [[Logiciel antivirus|logiciels antivirus]] se basent sur la détection de [[signature virale]], une approche largement adoptée, mais qui montre ses limites face à des menaces nouvelles et en constante évolution. Cette méthode traditionnelle peut échouer à identifier de nouvelles formes de [[Logiciel malveillant|logiciels malveillants]] et, face à ce défi, l'adoption de modèles d'analyse en temps réel basés sur l'apprentissage automatique a émergé comme une solution. Cette approche est souvent désignée sous le nom de « Machine Learning-based Malware Detection » en anglais, que l'on peut traduire par « Détection de Malwares basée sur l'Apprentissage Automatique ». Ces modèles sont conçus pour détecter les menaces dès leur première apparition, offrant une protection plus dynamique et adaptative contre l'évolution rapide des menaces informatiques.

== Enjeux ==
Depuis 2008, on remarque une augmentation significative de la présence de logiciels malveillants sur [[Internet]]<ref>{{harvsp|Sethi|2018|p=1|id=Sethi2018}}</ref>.

Les logiciels malveillants peuvent être issus de nombreuses sources différentes (infection de systèmes distribués, téléchargement, réseau, [[Internet des objets]]...) et se présenter sous différentes formes (binaire exécutable, script, [[shellcode]], [[firmware]]...). Ils représentent une menace considérable pour les particuliers comme pour les industriels. Un programme malveillant exécuté sur une machine peut aller jusqu'à compromettre complètement un système informatique et provoquer des dégâts proportionnels à son niveau de privilège<ref>{{harvsp|Ye|2017|p=4|id=Ye2017}}</ref>.

Les méthodes actuelles de détection de programmes malveillants reposent majoritairement sur la discrimination par [[signature virale]]. Très efficaces sur les menaces déjà recensées, elles se révèlent inefficaces face à un programme inconnu. Il devient délicat de maintenir des bases de signatures fiables et riches. Les grands acteurs des solutions anti-virus proposent donc depuis des années de renforcer les algorithmes de détections par des règles [[Analyse heuristique|heuristiques]]. Plus efficaces sur les programmes inconnus, ces règles présentent le désavantage d'être statiques et de reposer sur l'appréciation des développeurs qui les rédigent<ref>{{harvsp|Xu|2017|p=1|id=Xu2017}}</ref>{{,}}<ref>{{harvsp|Egele|2008|p=2|id=Egele2008}}</ref>{{,}}<ref>{{harvsp|Moskovitch|2008|p=1|id=Moskovitch2008}}</ref>.

Avec la volonté de proposer des règles plus universelles et évolutives, s'est construite l'idée de proposer des solutions de détection de menaces renforcées par [[apprentissage automatique]]<ref name="Or-Meir3">{{harvsp|Or-Meir|2019|p=3|id=Or-Meir2019}}</ref>.

== Approches et méthodes d'analyse ==

Le processus de construction d'une [[Taxonomie_(homonymie)#Informatique|taxonomie]] de classification virale par apprentissage automatique se divise généralement en deux grandes étapes :

# '''L'extraction de caractéristiques''', appliquée à un large corpus d'analyse constitué d'une proportion variable de logiciels malicieux et bénins ;
# '''La classification''' stochastique de chaque programme dans la catégorie qui le définit le mieux.

La pertinence de l'implémentation de ces deux étapes déterminera de façon critique la performance du modèle produit<ref name="Ye1">{{harvsp|Ye|2017|p=1|id=Ye2017}}</ref>.

=== Extraction de caractéristiques ===

==== Analyse statique ====
L'approche statique se veut être une approche formelle d'analyse prédictive du comportement d'un fichier brut. Il s'agit d'extraire et de traiter les informations relatives à une ressource, afin d'en déduire son comportement, et de statuer sur le degré de menace pour le système hôte<ref name="Or-Meir1">{{harvsp|Or-Meir|2019|p=1|id=Or-Meir2019}}</ref>.

Cette méthode d'analyse se veut dans un premier temps relativement sûre, puisqu'elle n'implique pas l'exécution de code sur le matériel. Elle sera naturellement moins consistante qu'une analyse virale ''in situ'', dans la mesure où il est très délicat de déterminer précisément, avant son exécution, les intentions d'un programme compilé''.''<ref name="Amer1">{{harvsp|Amer|2020|p=1|id=Amer2020}}</ref>

==== Analyse du code binaire ====
Tout fichier de taille <math>T</math> octets peut être représenté par un sous-ensemble de mots de taille <math>N</math> (avec <math>N < T</math>) appelé « [[N-gramme]] ». Par exemple, la séquence 0xCAFE peut est représentée par trois 2-gramme (respectivement 0xCA, 0xAF, 0xFE) ou encore deux 3-gramme (respectivement 0xCAF et 0xAFE).

En s'appuyant sur des méthodes d'[[exploration de données]]<ref name="Moskovitch157">{{harvsp|Moskovitch|2008|p=157|id=Moskovitch2008}}</ref>{{,}}<ref>{{harvsp|Shafiq|2008|p=88-107|id=Shafiq2008}}</ref>{{,}}<ref>{{harvsp|Zhou|2008|p=53-60|id=Zhou2008}}</ref>{{,}}<ref>{{harvsp|Santos|2009|p=317-320|id=Santos2009}}</ref>, il est possible de s'intéresser à la distribution « [[N-gramme]] » d'octets au sein d'un fichier pour en faire ressortir des mots typiquement associés à du code malveillant. Cette méthode a la particularité de ne faire aucune interprétation fonctionnelle des données qu'elle analyse, travail complété par cette étude<ref>{{harvsp|Kolter|2004|p=470-478|id=Kolter2004}}</ref> qui met à l'épreuve plusieurs algorithmes et conclut sur un résultat optimal avec un « ''Boosted Decision Tree'' ».

Un processus d'analyse naïf pourrait prendre la forme de :

# Extraction de termes n-gramme ;
# Normalisation de la fréquence d’apparition (<math>NTF</math>) ;
# Classification (''Artificial Neural Networks, Decision Trees, Naïve Bayes, Support Vector Machines''<ref name="Moskovitch158">{{harvsp|Moskovitch|2008|p=158|id=Moskovitch2008}}</ref>).

<math>NTF = \frac{term frequency}{max(terme frequency in doc)}</math><ref name="Moskovitch158" />
===== Autres approches =====
* Analyse graphique : une représentation graphique en nuances de gris du fichier à analyser est générée, et l'analyse s'appuie sur des algorithmes de reconnaissance d'images, afin de classifier les fichiers en fonction de leurs similarités visuelles avec celles des fichiers malveillants présents dans le corpus d'analyse{{sfn|Saad|2019|p=2|id=Saad2019}}{{,}}<ref name="Ahmadi4">{{harvsp|Ahmadi|2016|p=4|id=Ahmadi2016}}</ref> ;

* Analyse des [[métadonnée|métadonnées]]<ref name="Ahmadi4" />{{,}}<ref>{{harvsp|Wang|2020|p=394|id=Wang2020}}</ref> ;

* Mesure de l'entropie pour détecter une tentative d'obfuscation<ref name="Ahmadi4" /> ;

* Interaction avec les registres du processeur<ref>{{harvsp|Ahmadi|2016|p=5|id=Ahmadi2016}}</ref> ;

* Analyse des opérations de contrôle de flot (''call'', ''ret'', ''jump.''..)<ref name="Okane44" />.

==== Analyse dynamique ====

L'analyse dynamique désigne le processus d'observation comportementale d'un programme en provoquant volontairement son exécution au sein d'un environnement surveillé, isolé du reste du système (type « [[Sandbox_%28sécurité_informatique%29|bac à sable]] »). Il est de ce fait possible de prendre connaissance des interactions du programme avec le système, et de la façon dont il l'affecte de façon plus globale. Ce type d'informations permet, de façon relativement commode, de statuer par la suite sur le niveau de danger que représente son exécution au sein du système. De plus, l'analyse dynamique présente l'avantage d'être robuste face aux méthodes de maquillage des fichiers statiques (obfuscation de code, chargement de code dynamique, chiffrement, ''packing''...)<ref name="Or-Meir1" />{{,}}<ref>{{harvsp|Okane|2014|p=42|id=Okane2014}}</ref>{{,}}<ref name="Amer1" />.

L'observation comportementale peut prendre plusieurs perspectives et s'intéresser à différents niveaux d'exécution, du plus bas pour le code machine, aux niveaux plus élevés pour le [[système de fichiers]] ou les registres du système d'exploitation<ref name="Or-Meir2">{{harvsp|Or-Meir|2019|p=2|id=Or-Meir2019}}</ref>.

Cette méthode permet une étude plus fine que celle de l'analyse statique, mais elle présente un risque important pour le système hôte, dans la mesure où elle implique l'exécution de code étranger sur du matériel (physique ou virtuel) sensible. Une faiblesse de conception dans les outils d'analyse pourrait introduire, pour un programme qui en aurait connaissance, la capacité de réaliser une évasion et de compromettre la plateforme en élevant son niveau de privilèges.

==== Analyse des codes d'opération ====
L'application d'algorithme de machine ''learning'' au [[Code_opération|code d'opération]] révélés au ''runtime'' a été un sujet largement étudié dans la littérature scientifique, avec l'optique de construire des modèles prédictifs de détection au plus bas niveau, insensibles aux mécanismes de furtivité. Par nature, ces données offrent une représentation exacte du code qui va être exécuté sur le CPU. Bien que techniquement très précis, une des grandes difficultés réside dans l'interprétation qui en sera faite pour discriminer le code malveillant du code bénin.

Plusieurs approches ont été proposées :
* Etude de la distribution de petites séquences N-Gramme des codes d'opérations générés<ref>{{harvsp|Santos|2011|p=220|id=Santos2011}}</ref>{{,}}<ref>{{harvsp|Carlin|2018|p=17745|id=Carlin2017}}</ref>{{,}}<ref name="Ahmadi4" /> ;
* Etude de similarités entre fichiers exécutables appuyés sur des graphes de codes d'opération<ref name="Okane44">{{harvsp|Okane|2014|p=44|id=Okane2014}}</ref>{{,}}<ref>{{harvsp|Runwal|2012|p=1|id=Runwal2012}}</ref>{{,}}<ref>{{harvsp|Blake|2021|p=248|id=Blake2011}}</ref>.

==== Analyse des appels de fonction ====
Afin de mieux comprendre le comportement d'un programme, il peut être intéressant d'avoir une vision précise de son flot d'exécution, et notamment monitorer les appels de fonctions qui sont effectués. Pour ce faire, il est par exemple possible dans un environnement [[Microsoft Windows|Windows]] d'effectuer au préalable un appel à la fonction système ''LoadLibrary'' afin d'injecter un DLL en charge de l'introspection du programme en temps réel<ref>{{harvsp|Egele|2008|p=23|id=Egele2008}}</ref>.

La fréquence des appels à l'API système est un élément étudié avec beaucoup d'attention, car il peut se montrer très révélateur des intentions d'un programme<ref>{{harvsp|Amer|2020|p=2|id=Amer2020}}</ref>{{,}}<ref>{{harvsp|Egele|2008|p=8|id=Egele2008}}</ref>.

==== Analyse de la mémoire ====
Analyse [[Science_forensique|forensique]] de la mémoire volatile lors de l'exécution du programme.

==== Analyse du réseau ====
Cette méthode de détection repose sur l'analyse du trafic réseau généré par le programme, généralement la communication effectuée avec le [[Botnet#Command_and_control|centre de contrôle]]. Il a par exemple été proposé de découper le flot réseau en séquences sur lesquelles appliquer le modèle en comparant l'alignement avec du trafic malveillant témoin{{sfn|Saad|2019|p=2|id=Saad2019}}.

=== Classification ===

Après normalisation des données issues de l'étape d'extraction de caractéristiques, intervient le processus de classification. Il vise à construire une [[Base de connaissance|base de connaissances]] fiable ; elle permettra de déterminer, à l'aide d'algorithmes de classification renforcés par apprentissage statistique, si la ressource concernée est bénigne ou présente une menace réelle pour le système<ref name="Moskovitch157" />.

À l'image de la majorité des projets conditionnés par l'apprentissage automatique, ce travail se divise en deux étapes : la construction (ou « entraînement ») du modèle de détection, puis l'application de ce modèle au monde réel. Lors de la première étape, le système est alimenté par le corpus d'analyse constitué précédemment, afin de « l'entraîner » et de construire un classifieur. La seconde étape consiste à confronter ce classifieur à des fichiers aléatoires afin de trancher entre menace et inoffensivité<ref name="Ye1" />.

Plus le modèle sera pertinent et le corpus d'analyse complet, plus la discrimination entre fichiers malicieux et bénins sera fine.

== Limites et contre-mesures ==
=== Crédibilité des résultats ===

La qualité des résultats d'un détecteur de programme malveillant dépend de la complexité des fonctions de détection<ref name="Grosse1" /> et des fonctions de classifications utilisées dans le modèle de conception du réseau neuronal<ref name="Sewak18">{{harvsp|Sewak|2018|p=9|id=Sewak2018}}</ref>.

L'environnement de détection est aussi sujet à une baisse de la précision des algorithmes de détection. En effet, la mise en place de tels algorithmes est plus difficile dans un système de production<ref name="Saad5">{{harvsp|Saad|2019|p=5|id=Saad2019}}</ref> avec de nombreux processus s'exécutant parallèlement, ou dans un trafic réseau chargé. Elle générera potentiellement plus de résultats erronés que dans un environnement isolé<ref name="Saad1">{{harvsp|Saad|2019|p=1|id=Saad2019}}</ref>.

Les auteurs de programmes malveillants utilisent aussi des techniques qui permettent d'échapper à la détection, ou qui modifient le comportement de leur logiciel, afin qu'il soit catégorisé comme sûr, ce qui dégrade les résultats du détecteur.

=== Difficulté de construction du modèle ===

Les logiciels malveillants sont de plus en plus nombreux, proviennent d'une multitude de sources, exploitent un grand nombre de failles, toutes différentes les unes des autres. Par conséquent, collecter des informations sur leur comportement et anticiper les menaces possibles sont des tâches complexes qui requièrent un temps considérable<ref name="Saad1" />.

Du fait de l'homogénéité des comportements des différents logiciels et de leur capacité à changer ces comportements, les algorithmes de détection sont rapidement obsolètes<ref name ="Saad5"/> et ont besoin d'être régulièrement entraînés/ré-entraînés. Cela augmente significativement les coûts énergétiques des systèmes qui élaborent et utilisent les algorithmes de détection de logiciels malveillants<ref>{{harvsp|Carlin|2019|p=1|id=Carlin2019}}</ref>.

Les techniques d'évasion sont toujours plus nombreuses et plus sophistiquées ; ce qui augmente la difficulté de conception des modèles et des algorithmes de détection<ref name="Saad4">{{harvsp|Saad|2019|p=4|id=Saad2019}}</ref>.

Généralement, les analystes utilisent des détecteurs dits en « [[boîte blanche]] », afin de maîtriser le comportement des détecteurs et affiner les résultats sur des cas spécifiques, ce qui nécessite de concevoir le détecteur.

La conception d'un détecteur de logiciels malveillants utilisant l'apprentissage automatique requiert des compétences techniques poussées, et les solutions déjà présentes sont généralement des détecteurs dits en « boîte noire ». Dans ce cas, on ne contrôle pas le comportement du détecteur, mais on lui fournit simplement des entrées, et il produit un résultat, sans que l'on ait connaissance des états intermédiaires. Il est souvent difficile d'interpréter les résultats fournis par ce type de détecteurs<ref name="Saad6"/>.

=== Furtivité et méthodes d'évasion ===

==== Analyse de l'environnement d'exécution ====
Les logiciels malveillants sont capables d'analyser leur environnement de détection afin de déterminer s'ils sont dans un véritable système ou dans un bac à sable surveillé.

Afin de déterminer si le logiciel malveillant s’exécute dans un environnement surveillé, il analyse l'environnement à la recherche d'empreintes telles que la présence de logiciels d'analyse (débuggeurs), dans la liste des processus qui cohabitent avec le logiciel malveillant<ref name="Or-Meir102"/>{{,}}<ref name="Afianian4">{{harvsp|Afianian|2019|p=4|id=Afianian2019}}</ref>.

Lorsqu'il détecte qu'il est dans un bac à sable surveillé, il lui est possible de changer de comportement et de ne pas tenter d'actions (par exemple, ne pas s’exécuter) afin que le détecteur le catégorise comme logiciel sûr<ref name="Or-Meir102">{{harvsp|Or-Meir|2019|p=102|id=Or-Meir2020}}</ref>.

Les logiciels malveillants peuvent aussi mesurer le temps de chaque instruction qu'ils exécutent dans l'environnement ; ils peuvent alors déterminer si la durée est plus longue que dans un système classique et en déduire qu'ils sont surveillés<ref name="Or-Meir102" />.

Les logiciels malveillants peuvent mettre en place un [[test de Turing]] inversé, afin d'analyser l'environnement à la recherche de traces d'un utilisateur, pour déterminer s'ils sont dans un environnement surveillé ou dans un véritable système.

Un bac à sable est généralement un système récemment instancié, de manière automatique, sans action humaine courante (visites de sites internet, déplacement de curseurs, entrées au clavier, présence de moniteurs, etc.)<ref name="Or-Meir102" />{{,}}<ref name="Afianian17">{{harvsp|Afianian|2019|p=17|id=Afianian2019}}</ref>. Si le logiciel ne trouve pas ces actions, il peut en déduire qu'il se trouve dans un environnement surveillé.

==== Méthodes d'évasion ====
Les techniques d'évasions sont aussi toujours plus nombreuses et plus sophistiquées<ref name="Saad4"/>, ce qui augmente la difficulté de conception des modèles et des algorithmes de détection ou des antivirus ; de plus, même après leur développement, ils deviennent rapidement obsolètes<ref name ="Saad5"/>{{,}}<ref name="Afianian3">{{harvsp|Afianian|2019|p=3|id=Afianian2019}}</ref>.

===== Évasion par escalade de privilège =====
Un logiciel malveillant peut s'évader d'un environnement surveillé, avec des privilèges restreints, en tentant d'infecter le système dans lequel il s’exécute, pour obtenir des privilèges de plus haut niveau, et pouvoir effectuer ses actions malveillantes en laissant le moins d'informations possible dans le système de surveillance<ref name="Or-Meir101">{{harvsp|Or-Meir|2019|p=101|id=Or-Meir2020}}</ref>.

Les logiciels malveillants peuvent infecter le système en utilisant diverses techniques : installation d'un pilote de kernel infecté, [[hyperviseur]] corrompu, utilisation de failles matérielles du système<ref name="Or-Meir101" />.

===== Évasion par [[Code_impénétrable|offuscation de code]] =====
Un logiciel malveillant peut cacher les éventuelles empreintes qu'il laisse lors de son exécution, et tromper le système de détection en utilisant l'offuscation de code.

Il existe plusieurs techniques d'offuscation de code telles que le polymorphisme et le métamorphisme<ref name="Ye1" />{{,}}<ref name="Or-Meir104">{{harvsp|Or-Meir|2019|p=104|id=Or-Meir2020}}</ref> :

* Le [[Virus polymorphe|polymorphisme]] est une technique qui permet de chiffrer le code binaire du logiciel malveillant afin que ce code ne puisse être interprété qu'en possession de la clé de déchiffrement<ref name="Or-Meir104" />.

* Le [[Virus métamorphique|métamorphisme]] est une technique qui permet de modifier les instructions du logiciel malveillant, tels que l'insertion de code d'opérations ou le changement de registre<ref name="Or-Meir104" />, mais sans changer la finalité des instructions. Cela a pour but de masquer les empreintes du logiciel ; et cela permet que différentes copies de ce même logiciel paraissent différentes pour le système de surveillance lors de son exécution.

===== Évasion par absence de fichier =====
La plupart des antivirus classiques effectuent une analyse des fichiers présents sur le [[disque dur]] du système à la recherche de logiciels malveillants. Une approche possible pour ces logiciels pour masquer leur présence est de ne stocker aucun fichier sur le disque, mais plutôt dans la [[mémoire vive]]. Le point faible de cette technique est la fréquence de redémarrage du système ; c'est pourquoi elle est plus efficace sur les serveurs que sur les ordinateurs personnels<ref name="Or-Meir104"/>.

Cette technique est majoritairement utilisée par les virus de type « cryptojacking »<ref name="Handaya2">{{harvsp|Handaya|2020|p=2|id=Handaya2020}}</ref>.

Avec la démocratisation du [[Big data|Big Data]] et l'utilisation massive des outils de [[Grille informatique|grilles]] en [[Mémoire (informatique)|mémoire]] tels qu'[[Apache Spark]] ou [[Redis]], ce genre d'attaque est particulièrement redoutable car le programme malveillant est présent dans la mémoire du système et son redémarrage est synonyme de perte d'informations<ref name="Saad4"/>{{,}}<ref name="Or-Meir104"/>.

===== Évasion par le réseau =====
Généralement, les [[Pare-feu_(informatique)|pare-feu]] bloquent le trafic entrant sur un serveur et laisse le trafic sortant pour communiquer avec les autres machines sur Internet. Si un programme malveillant réussit à infecter le système, il peut aisément communiquer avec l'extérieur pour recevoir des instructions grâce aux [[Tunnel_(réseau_informatique)|tunnels]] ou communiquer de manière chiffrée afin de ne pas laisser d'empreintes<ref name="Or-Meir105">{{harvsp|Or-Meir|2019|p=105|id=Or-Meir2020}}</ref>.

Généralement, les logiciels malveillants tels que les [[botnet]]s ont recours à la technique d'évasion par le réseau.

Dans d'autres mesures, les différentes librairies et méthodes utilisées pour faciliter la mise en place de l'apprentissage automatique permettent aux auteurs de programmes malveillants de découvrir et d'utiliser de nouvelles techniques d'évasion<ref name="Saad4"/>.

D'autres techniques, plus généralisées dans le monde de l'apprentissage automatique, existent et sont utilisées pour diminuer la précision des détecteurs, c'est le cas notamment du {{Lien|adversarial machine learning}}<ref name="Saad6">{{harvsp|Saad|2019|p=6|id=Saad2019}}</ref>{{,}}<ref name="Grosse1">{{harvsp|Grosse|2017|p=1|id=Grosse2017}}</ref>{{,}}<ref>{{harvsp|Suciu|2018|p=1|id=Suciu2018}}</ref>.

== Projets et outils notoires ==

* dAnubis<ref>{{harvsp|Neugschwandtner|2010|p=41|id=Neug10}}</ref>
* MalTRAK<ref>{{harvsp|Vasudevan|2008|p=41|id=Vasudevan08}}</ref>
* Arancino<ref>{{harvsp|Polino|2017|p=73|id=Polino17}}</ref>
* LiveDM<ref>{{harvsp|Rhee|2010|p=178|id=Rhee10}}</ref>
* TrumanBox<ref>{{harvsp|Gorecki|2011|p=208|id=Gorecki11}}</ref>
* MalDy<ref>{{harvsp|Karbab|2019|p=77|id=Karbab2019}}</ref>
* DeepAM<ref>{{harvsp|Ye|2018|p=265|id=Ye2018}}</ref>

== Références ==
{{Références|colonnes=3}}

== Bibliographie ==

* {{Plume}} {{Cite article|lang=en|nom1= Sethi|prénom1= Kamalakanta|nom2= Chaudhary|prénom2= Shankar Kumar|nom3= Tripathy|prénom3= Bata Krishan|nom4= Bera|prénom4= Padmalochan|titre= A Novel Malware Analysis Framework for Malware Detection and Classification using Machine Learning Approach|périodique= Proceedings of the 19th International Conference on Distributed Computing and Networking|année= 2018|pages= 1–4|id=Sethi2018|doi= 10.1145/3154273.3154326}}

* {{Plume}} {{Cite article|lang=en|nom1= Sewak|prénom1= Mohit|nom2= Sahay|prénom2= Sanjay K.|nom3= Rathore|prénom3= Hemant|titre= An investigation of a deep learning based malware detection system|périodique= Proceedings of the 13th International Conference on Availability, Reliability and Security|année= 2018|pages= 1–5|id=Sewak2018|doi= 10.1145/3230833.3230835}}

*{{Cite article|lang=en|nom1= Santos|prénom1= I.|nom2= Brezo|prénom2= F.|nom3= Sanz|prénom3= B.|nom4= Laorden|prénom4= C.|nom5= Bringas|prénom5= P.G.|titre= Using opcode sequences in single-class learning to detect unknown malware|périodique= IET Information Security|volume= 5|issn= 1751-8717|année= 2011|pages= 220–227|id=Santos2011|doi= 10.1049/iet-ifs.2010.0180}}

* {{Cite article|lang=en| nom1 = Moskovitch| prénom1 = R.| nom2 = Stopel| prénom2 = D.| nom3 = Feher| prénom3 = C.| nom4 = Nissim| prénom4 = N.| nom5 = Elovici| prénom5 = Y. | périodique = 2008 IEEE International Conference on Intelligence and Security Informatics| pages = 156-161 |titre = Unknown malcode detection via text categorization and the imbalance problem| date = 2008 | doi = 10.1109/ISI.2008.4565046 |id= Moskovitch2008}}

* {{Plume}} {{Cite article|lang=en|doi=10.1145/3329786|issn=0360-0300|volume=52|pages=1-48|nom1=Or-Meir|prénom1=Ori|nom2=Nissim|prénom2=Nir|nom3=Elovici|lien auteur3=Lior Rokach|prénom3=Yuval|nom4=Rokach|prénom4=Lior|titre=Dynamic Malware Analysis in the Modern Era-A State of the Art Survey|périodique=ACM Computing Surveys|date=2019-09-13|id=Or-Meir2019}}

* {{Cite article| lang=en|doi = 10.1145/3073559| issn = 0360-0300| volume = 50| pages = 1-40| nom1 = Ye| prénom1 = Yanfang| nom2 = Li| prénom2 = Tao| nom3 = Adjeroh| prénom3 = Donald| nom4 = Iyengar| prénom4 = S. Sitharama| titre = A Survey on Malware Detection Using Data Mining Techniques| périodique = ACM Computing Surveys| date = 2017-06-29 |id=Ye2017}}

* {{Cite article|lang=en| périodique = Proceedings 2001 IEEE Symposium on Security and Privacy. S P 2001| pages = 38-49| nom1 = Schultz| prénom1 = M. G.| nom2 = Eskin| prénom2 = E.| nom3 = Zadok| prénom3 = F.| nom4 = Stolfo| prénom4 = S. J.| titre = Data mining methods for detection of new malicious executables| date = 2001| doi = 10.1109/SECPRI.2001.924286|id= Schultz2001}}

* {{Cite article|lang=en|périodique=Proceedings of the tenth ACM SIGKDD international conference on Knowledge discovery and data mining | pages = 470-478| nom1 = Kolter| prénom1 = Jeremy Z.| nom2 = Maloof| prénom2 = Marcus A.| titre = Learning to detect malicious executables in the wild |date = 2004| id= Kolter2004|doi = 10.1145/1014052.1014105| url = http://doi.org/10.1145/1014052.1014105}}

* {{Cite article| lang=en| volume = 53 | pages = 419-427| nom1 = Mayr| prénom1 = Andreas| nom2 = Binder| prénom2 = Harald| nom3 = Gefeller| prénom3 = Olaf| nom4 = Schmid| prénom4 = Matthias| titre = The Evolution of Boosting Algorithms - From Machine Learning to Statistical Modelling| périodique = Methods of Information in Medicine| date = 2014| id= Mayr2014|doi = 10.3414/ME13-01-0122|url = http://arxiv.org/abs/1403.1452}}

* {{Plume}} {{Cite article|lang=en|nom1= Saad|prénom1= Sherif|nom2= Briguglio|prénom2= William|nom3= Elmiligi|prénom3= Haytham |titre= The Curious Case of Machine Learning In Malware Detection|périodique= 5th International Conference on Information Systems Security and Privacy |année= 2019|pages= 1-9 | url = http://arxiv.org/abs/1905.07573 | id=Saad2019}}

* {{Cite article|lang=en| doi = 10.1007/978-3-540-70542-0_5| pages = 88-107| nom1 = Shafiq| prénom1 = M. Zubair| nom2 = Khayam| prénom2 = Syed Ali| nom3 = Farooq| prénom3 = Muddassar| titre = Embedded Malware Detection Using Markov N-Grams| périodique = Proceedings of the 5th International Conference on Detection of Intrusions and Malware, and Vulnerability Assessment|  date = 2008| id=Shafiq2008}}

* {{Cite article|lang=en| doi = 10.1145/1456377.1456393| pages = 53-60| nom1 = Zhou| prénom1 = Yan| nom2 = Inge| prénom2 = W. Meador| titre = Malware detection using adaptive data compression| périodique = Proceedings of the 1st ACM workshop on Workshop on AISec| date = 2008| url = http://doi.org/10.1145/1456377.1456393 |id = Zhou2008}}

*{{Cite article|lang=en|nom1= Carlin|prénom1= Domhnall|nom2= O’Kane|prénom2= Philip|nom3= Sezer|prénom3= Sakir|titre= A cost analysis of machine learning using dynamic runtime opcodes for malware detection|périodique= Computers & Security|volume= 85|issn= 0167-4048|année= 2019|pages= 138–155|id=Carlin2019|doi= 10.1016/j.cose.2019.04.018}}

*{{Cite article|lang=en|nom1= Afianian|prénom1= Amir|nom2= Niksefat|prénom2= Salman|nom3= Sadeghiyan|prénom3= Babak|nom4= Baptiste|prénom4= David|titre= Malware Dynamic Analysis Evasion Techniques: A Survey|périodique= ACM Computing Surveys|volume= 52|issn= 0360-0300|année= 2019|pages= 1-28|id=Afianian2019|doi= 10.1145/3365001}}

*{{Cite article|lang=en|nom1= Handaya|prénom1= W.B.T|nom2= Yusoff|prénom2= M.N|nom3= Jantan|prénom3= A.|titre= Machine learning approach for detection of fileless cryptocurrency mining malware|périodique= Journal of Physics: Conference Series|volume= 1450|année= 2020|pages= 1-8|id=Handaya2020|doi= 10.1088/1742-6596/1450/1/012075}}

*{{Cite article|lang=en|nom1= Grosse|prénom1= Kathrin|nom2= Papernot|prénom2= Nicolas|nom3= Manoharan|prénom3= Praveen|nom4= Backes|prénom4= Michael|nom5= McDaniel|prénom5= Patrick|titre= Adversarial Examples for Malware Detection|périodique= European Symposium on Research in Computer Security|année= 2017|pages= 62-79|id=Grosse2017}}

*{{Cite article|lang=en|nom1= Suciu|prénom1= Octavian|nom2= Cull|prénom2= Scott.E|nom3= Johns|prénom3= Jeffrey|titre= Exploring Adversarial Examples in Malware Detection|périodique= ?|année= 2018|pages= 1-7|id=Suciu2018 | url=https://arxiv.org/pdf/1810.08280.pdf}}

*{{Cite article|lang=en|nom1= Neugschwandtner|prénom1= Matthias |nom2= Platzer|prénom2= Christian |nom3= Comparetti |prénom3= Paolo Milani|titre= d Anubis – Dynamic Device Driver Analysis Based on Virtual Machine Introspection|périodique=  Proceedings of the 7th international conference on Detection of intrusions and malware, and vulnerability assessment|année= 2010|pages= 41-60|id=Neug10|doi=10.1007/978-3-642-14215-4_3}}

*{{Cite article|lang=en|nom1= Vasudevan|prénom1= Amit|titre= MalTRAK: Tracking and Eliminating Unknown Malware|périodique=Annual Computer Security Applications Conference|année= 2008|pages= 41-60|id=Vasudevan08}}

*{{Cite article|lang=en|nom1= Polino|prénom1= Mario|nom2= Continella|prénom2= Andrea |nom3= Mariano|prénom3= Sebastiano|nom4= d'Alessio|prénom4= Stefano|nom5= Fontana|prénom5= Lorenzo |nom6= Gritti|prénom6= Fabio |nom7= Zanero|prénom7= Stefano |titre= Measuring and Defeating Anti-Instrumentation-Equipped Malware|périodique=Detection of Intrusions and Malware, and Vulnerability Assessment|année= 2017|pages= 73-96|id=Polino17}}

*{{Cite article|lang=en|nom1= Rhee|prénom1= Junghwan|nom2= Riley|prénom2= Ryan|nom3= Xu|prénom3= Dongyan|nom4= Jiang|prénom4= Xuxian |titre= Kernel Malware Analysis with Un-tampered and Temporal Views of Dynamic Kernel Memory|périodique=International Workshop on Recent Advances in Intrusion Detection|année= 2010|pages= 178-197|id=Rhee10}}

*{{Cite article|lang=en|nom1= Rhee|prénom1= Junghwan|nom2= Riley|prénom2= Ryan|nom3= Xu|prénom3= Dongyan|nom4= Jiang|prénom4= Xuxian |titre= Kernel Malware Analysis with Un-tampered and Temporal Views of Dynamic Kernel Memory|périodique=International Workshop on Recent Advances in Intrusion Detection|année= 2010|pages= 178-197|id=Rhee10}}

*{{Cite article|lang=en|nom1= Gorecki|prénom1= Christian|nom2= Freiling|prénom2= Felix C.|nom3= Kührer|prénom3= Marc|nom4= Holz|prénom4= Throsten|titre= TrumanBox: Improving Dynamic Malware Analysis by Emulating the Internet|périodique=Symposium on Self-Stabilizing Systems:Stabilization, Safety, and Security of Distributed Systems|année= 2011|pages= 208-222|id=Gorecki11}}

*{{Cite article|lang=en|nom1= Karbab|prénom1= ElMouatez Billah|nom2= Debbabi|prénom2= Mourad|titre= MalDy: Portable, data-driven malware detection using natural language processing and machine learning techniques on behavioral analysis reports|périodique= Digital Investigation|volume= 28|issn= 1742-2876|année= 2019|pages=77-87|id=Karbab2019|doi= 10.1016/j.diin.2019.01.017}}

*{{Cite article|lang=en|nom1= Ye|prénom1= Yanfang|nom2= Chen|prénom2= Lingwei|nom3= Hou|prénom3= Shifu|nom4= Hardy|prénom4= William|nom5= Li|prénom5= Xin|titre= DeepAM: a heterogeneous deep learning framework for intelligent malware detection|périodique= Knowledge and Information Systems|volume= 54|issn= 0219-3116|année= 2018|pages= 265–285|id=Ye2018|doi= 10.1007/s10115-017-1058-9}}

* {{lien conférence|langue=en| pages = 317-320| nom1 = Santos| prénom1 = Igor| nom2 = Penya| prénom2 = W. Yoseba| nom3 = Devesa | prénom3 = Jaime |titre = N-grams-based File Signatures for Malware Detection.| date = 2009| id = Santos2009 }}

* {{article| langue=en | nom1 = Okane | prénom1 = Philip | nom2 = Sezer | prénom2 = Sakir | nom3 = McLaughlin | prénom3 = Kieran | nom4 = Im | prénom4 = Eul Gyu | titre = Malware detection: program run length against detection rate | journal = IET Software | volume = 8| issn = 1751-8814| date = 2014 | pages = 42-51 | url = https://ietresearch.onlinelibrary.wiley.com/doi/abs/10.1049/iet-sen.2013.0020 | doi = https://doi.org/10.1049/iet-sen.2013.0020 |id = Okane2014 }}

* {{article| langue=en | nom1 = Ahmadi | prénom1 = Mansour | nom2 = Ulyanov | prénom2 = Dmitry | nom3 = Semenov | prénom3 = Stanislav | nom4 = Trofimov | prénom4 = Mikhail | nom5 = Giacinto | prénom5 = Giorgio | titre = Novel Feature Extraction, Selection and Fusion for Effective Malware Family Classification | journal = arXiv:1511.04317 [cs] | date = 2016-03-10 | url = http://arxiv.org/abs/1511.04317 | id = Ahmadi2016 }}

* {{article| langue = en | nom1 = Egele | prénom1 = Manuel | nom2 = Scholte | prénom2 = Theodoor | nom3 = Kirda | prénom3 = Engin| nom4 = Kruegel | prénom4 = Christopher | titre = A survey on automated dynamic malware-analysis techniques and tools | journal = ACM Computing Surveys | date = 2008 | pages = 1-42 | url = http://doi.org/10.1145/2089125.2089126 | doi = 10.1145/2089125.2089126 | id = Egele2008 }}

* {{article| langue = en | nom1 = Amer | prénom1 = Eslam | nom2 = Zelinka | prénom2 = Ivan | titre = A dynamic Windows malware detection and prediction method based on contextual understanding of API call sequence | journal = Computers & Security | volume = 92 | date = 2020 | pages = 1-15 | url = https://www.sciencedirect.com/science/article/pii/S0167404820300444 | doi = 10.1016/j.cose.2020.101760 | id = Amer2020 }}

* {{article| langue = en | nom1 = Runwal | prénom1 = Neha | nom2 = Low | prénom2 = Richard M. | nom3 = Stamp | prénom3 = Mark | titre = Opcode graph similarity and metamorphic detection | journal = Journal in Computer Virology | volume = 8 | date = 2012 | pages = 37-52| url = https://doi.org/10.1007/s11416-012-0160-5 | doi = 10.1007/s11416-012-0160-5 | id = Runwal2012 }}

* {{article| langue = en | nom1 = Anderson | prénom1 = Blake | nom2 = Quist | prénom2 = Daniel | nom3 = Neil | prénom3 = Joshua | nom4 = Storlie | prénom4 = Curtis | nom5 = Lane | prénom5 = Terran | titre = Graph-based malware detection using dynamic analysis | volume = 7| journal = Journal in Computer Virology | date = 2011 | pages = 247-258 | url = https://doi.org/10.1007/s11416-011-0152-x | doi = 10.1007/s11416-011-0152-x | id = Anderson2011 }}

*{{Cite article|lang=en|nom1= Carlin|prénom1= Domhnall|nom2= Cowan|prénom2= Alexandra|nom3= O’Kane|prénom3= Philip|nom4= Sezer|prénom4= Sakir|titre= The Effects of Traditional Anti-Virus Labels on Malware Detection Using Dynamic Runtime Opcodes|périodique= IEEE Access|volume= 5|issn= 2169-3536|année= 2017
|pages= 17742–17752|id=Carlin2017|doi= 10.1109/ACCESS.2017.2749538}}

*{{Cite article|lang=en|nom1= Carlin|prénom1= Domhnall|nom2= O'Kane|prénom2= Philip|nom3= Sezer|prénom3= Sakir|titre= Dynamic Runtime Opcode Dataset Generation for Improving Malware Classification|périodique= 19th International Symposium on Research in Attacks, Intrusions and Defenses|année= 2016|id=Carlin2016}}

*{{Cite article|lang=en|nom1= Xu|prénom1= Zhixing|nom2= Ray|prénom2= Sayak|nom3= Subramanyan|prénom3= Pramod|nom4= Malik|prénom4= Sharad|titre= Malware detection using machine learning based analysis of virtual memory access patterns|périodique= Design, Automation Test in Europe Conference Exhibition (DATE), 2017|année= 2017|pages= 169–174|id=Xu2017|doi= 10.23919/DATE.2017.7926977}}

*{{article|langue=en |pages = 1-6| nom1 = Anderson| prénom1 = Hyrum S| nom2 = Kharkar| prénom2 = Anant| nom3 = Filar| prénom3 = Bobby| titre = Evading Machine Learning Malware Detection | date=2017 | id=Anderson2017 | périodique=? | url=https://pdfs.semanticscholar.org/1b57/0ed4b58908444465823880cb88fbb812b4fc.pdf}}

*{{Cite article|lang=en|nom1= Scofield|prénom1= Daniel|nom2= Miles|prénom2= Craig|nom3= Kuhn|prénom3= Stephen|titre= Automated Model Learning for Accurate Detection of Malicious Digital Documents|périodique= Digital Threats: Research and Practice|volume= 1|issn= 2692-1626|année= 2020|pages= 15–1–15:21|id=Scofield2020|doi= 10.1145/3379505}}

*{{Cite article|lang=en|nom1= Rieck|prénom1= Konrad|nom2= Trinius|prénom2= Philipp|nom3= Willems|prénom3= Carsten|nom4= Holz|prénom4= Thorsten|titre= Automatic analysis of malware behavior using machine learning|périodique= Journal of Computer Security|volume= 19|issn= 0926-227X|année= 2011|pages= 639–668|id=Rieck2011|doi= 10.3233/JCS-2010-0410}}

* {{lien conférence| langue = en | nom1 = Wang | prénom1 = Z. | nom2 = Cong | prénom2 = P.| nom3 = Yu | prénom3 = W. | titre = Malicious Code Detection Technology Based on Metadata Machine Learning | titre livre = 2020 IEEE Fifth International Conference on Data Science in Cyberspace (DSC) | date = 2020-07 | pages = 394-399 | doi = 10.1109/DSC50466.2020.00068 | conférence = 2020 IEEE Fifth International Conference on Data Science in Cyberspace (DSC) | id = }}

{{Portail|sécurité informatique}}

[[Catégorie:Sécurité informatique]]