API列からマルウェアを静的検出し、悪性動作を説明する
Delphi Scanner: efficient and interpretable static malware detection via API sequence modeling
この論文をやさしく読む
ひとことで言うと
Windows実行ファイルのAPIの並びを静的に調べ、小さなモデルで悪意のあるファイルを分類する仕組みです。
何に役立つ？
端末内で不審なファイルを初期選別する用途があります。分類器とは別にAPIを高水準の悪性機能へ分類する規則層を置き、分析者が判断材料を理解できるようにしています。
この研究の面白いところ
19万件超のファイルで精度95.35％を報告し、モデルサイズは1.53 MBです。学習分布外の5,647件、圧縮・非圧縮の対、三種類の敵対的変更も評価しています。
どこまで分かった？
報告された耐性は試したデータと変更手法についての結果です。静的に読み取れるAPIからの判定であり、すべての未知マルウェアや回避手段を検出できる保証ではありません。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
WindowsのPortable Executable（PE）ファイルの静的マルウェア検出には、検出性能、計算効率、分析上の解釈可能性の慎重な両立が必要である。本論文では、効率性と動作の解釈を両立するWindows PEファイル向け静的マルウェア検出システムDelphi Scannerを紹介する。畳み込みニューラルネットワーク（CNN）でWindows APIの列をモデル化してPEを分類し、独立した規則ベースの解釈層によってAPIを高水準の悪性機能へ分類する。 19万件を超えるWindows PEファイルで評価し、モデルサイズ1.53 MBで正解率95.35%を達成した。学習分布外のMalwareBazaarサンプル5,647件、対応づけたパック済み・未パックの実行ファイル、3種類の敵対的改変戦略を用いた頑健性実験により、学習分布を超えた汎化と、機能を保った回避手法への耐性を確認した。全体として、API列に基づく静的解析が、ローカル導入環境でのマルウェアの初期選別に、実用的で解釈可能かつ効率的な基盤を提供することを示す。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-17（UTC）
- 最新改訂
- 2026-09-17 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-17 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
Static malware detection for Windows Portable Executable files demands a careful balance between detection effectiveness, computational efficiency, and analytical interpretability. This paper introduces Delphi Scanner, a static malware detection system for Windows PE files that balances efficiency with behavioral interpretation. It uses a convolutional neural network (CNN) to model Windows API sequences to classify PE and a decoupled interpretation layer based on a rule-based layer to categorize APIs into high-level malicious capabilities. Evaluated on over 190,000 Windows PE files, the system achieves 95.35% accuracy with a 1.53~MB model footprint. Robustness experiments on 5,647 out-of-distribution MalwareBazaar samples, paired packed and unpacked executables, and three adversarial manipulation strategies confirm generalization beyond the training distribution and resistance to functionality-preserving evasion techniques. Overall, these results demonstrate that API sequence-based static analysis offers a practical, interpretable, and efficient foundation for malware triage in local deployment scenarios.
arXiv ID: 2609.19900 ／ 要約の誤りについて