Malware Detection Using Static Method With Distilbert Language Model

Abstract

Zararlı yazılımlar bireysel kullanıcıların kişisel verilerini çalmak, sistem işlevlerini bozmak, dosyaları şifreleyip fidye talep etmek veya cihazları bütünüyle denetim altına almak suretiyle hem bireyler hem de kurumlar açısından ciddi ölçekte ekonomik, hukuki ve itibarî zararlar doğurabilmekte; aynı zamanda diğer siber saldırı türlerine de uygun bir zemin hazırlamaktadır. Bu nedenle zararlı yazılımların kısa sürede ve isabetli olarak tespit edilebilmesi, bilgi güvenliğinin sağlanmasında kritik bir rol üstlenmektedir. Son yıllarda, zararlı yazılım tespitinde doğal dil işleme (NLP) alanında kullanılan büyük dil modellerinin kullanımı giderek yaygınlaşmaktadır. Özellikle, dikkat (attention) mekanizmasına dayanan ve çok katmanlı bir derin sinir ağından oluşan 'transformer' mimarisi üzerine kurulu büyük dil modellerinin başarısı öne çıkmaktadır. Bu çalışmada; verimli, etkin ve hem kaynak hem de zaman bakımından düşük maliyetli bir şekilde zararlı yazılım tespiti yapabilmek için transformer mimarisine dayalı BERT modelinin minimal bir versiyonu olan DistilBERT modelini statik bir yöntemle kullanmayı öneriyoruz. Kullandığımız yöntemde, PE (portable executable) dosyalarından elde edilen assembly kodlarıyla beslenen, özelleştirilmiş bir model geliştirilmiştir. Elde edilen bu modelle ikili sınıflandırma yapılarak, zararlı yazılımlar %91 doğruluk oranında tespit edilebilmiştir.

Malware can cause serious economic, legal and reputational damages for both individuals and organisations by stealing personal data of individual users, disrupting system functions, encrypting files and demanding ransom, or completely controlling devices, and it also prepares a suitable ground for other types of cyber attacks. Therefore, the ability to detect malware in a short time and accurately plays a critical role in ensuring information security. In recent years, the use of large language models used in natural language processing (NLP) in malware detection has become increasingly widespread. In particular, the success of large language models based on the 'transformer' architecture, which is based on the attention mechanism and consists of a multilayer deep neural network, has come to the fore. In this study, we propose to use the DistilBERT model, which is a minimal version of the BERT model based on transformers architecture, with a static method in order to detect malware efficiently, effectively and at low cost in terms of both resources and time. In the method we use, a customized model has been developed that is fed with assembly codes obtained from PE (portable executable) files. By performing binary classification with this model, malware could be detected with 91% accuracy.