深度学习赋能的恶意代码攻防研究进展

书 书 书

第４４卷　第４期

２０２１年４月 计　　算　　机　　学　　报

ＣＨＩＮＥＳＥＪＯＵＲＮＡＬＯＦＣＯＭＰＵＴＥＲＳ ^{Ｖｏｌ．４Ａ４Ｎｐｒ．２ｏ０．２４１}

收稿日期：２０２００２２４^；在线发布日期：２０２００５１２．本课题得到广东省重点领域研发计划（２０１９Ｂ０１０１３７００４^，２０１９Ｂ０１０１３６００３^）、北京邮电 大学博士生创新基金资助项目（ＣＸ２０１９１１５^）资助．冀甜甜，博士研究生，主要研究方向为网络安全．Ｅｍａｉｌ^：ｊｉｔｉａｎｔｉａｎ０７２８＠ｇｍａｉｌ．ｃｏｍ． 方滨兴，博士，教授，博士生导师，中国工程院院士，主要研究领域为计算机体系结构、计算机网络、网络安全．^崔　翔（通信作者），博士，教 授，博士生导师，主要研究领域为网络安全．Ｅｍａｉｌ^：ｃｕｉｘｉａｎｇ＠ｇｚｈｕ．ｅｄｕ．ｃｎ．^王忠儒（通信作者），博士，高级工程师，主要研究方向为人工 智能、网络安全．Ｅｍａｉｌ^：ｗａｎｇｚｈｏｎｇｒｕ＠ｂｕｐｔ．ｅｄｕ．ｃｎ．甘蕊灵，硕士研究生，主要研究方向为网络安全．韩　^宇，硕士研究生，主要研究方 向为网络安全．余伟强，硕士，主要研究方向为网络安全、人工智能．

深度学习赋能的恶意代码攻防研究进展

冀甜甜

^方滨兴

　 ^{崔 　 翔}

　 ^王忠儒

　 ^甘蕊灵

　 ^{韩 　 宇}

^余伟强

（北京邮电大学网络空间安全学院可信分布式计算与服务教育部重点实验室　北京　１００８７６^）

２）（广州大学网络空间先进技术研究院　广州　５１０００６^）

３）（中国网络空间研究院　北京　１０００１０^）

４^）（北京丁牛科技有限公司　北京　１０００８１^）

摘　要　深度学习赋能的恶意代码攻防研究已经成为网络安全领域中的热点问题．当前还没有针对这一热点问题 的相关综述，为了及时跟进该领域的最新研究成果，本文首先分析并总结了恶意代码攻击的一般流程．基于该攻击 流程，本文对深度学习的赋能攻击点和赋能防御点进行了定位，将深度学习助力攻击的技术分为５类^：（１^）基于对 抗样本生成的自动化免杀；（２）基于自然语言生成的自动化网络钓鱼；（３）基于神经网络的精准定位与打击；（４）基 于生成对抗网络的流量模仿；（５^）基于黑盒模型的攻击意图隐藏，并将深度学习助力防御的新型技术分为３类^：

（１^）基于深度学习的恶意代码查杀；（２^）自动化网络钓鱼识别；（３^）深度学习赋能的恶意行为检测；其次，基于以上 分类，本文对恶意代码攻防研究中的前沿技术进行了综述，并从技术原理、实际可行性、发展趋势等不同的角度对 这些技术进行了深入剖析；再者，由于深度学习的伴生安全问题与其在恶意代码攻防领域的赋能安全问题紧密相 关，本文对其中代表性的模型后门攻击与防御的相关技术也进行了关注；之后，本文分析并总结了当前深度学习赋 能的恶意代码攻防研究领域中的主要研究方向，并对其未来的发展趋势进行了讨论；最后，深度学习赋能的恶意代 码攻防研究才刚刚起步，基于恶意代码攻击链的更多可能的赋能攻击与防御点有待研究者继续探索和发掘．此外， 深度学习助力恶意代码攻防的一大挑战是数据集的限制，如何建立有效、公开的数据集供研究者使用，这也是一个 非常值得思考和研究的问题．

关键词　恶意代码^；深度学习；赋能攻击；赋能防御；攻击链

中图法分类号ＴＰ３０９　　　犇犗犐号１０．１１８９７^／ＳＰ．Ｊ．１０１６．２０２１．００６６９

犚 犲 狊 犲 犪 狉 犮 犺 狅 狀 犇 犲 犲 狆 犔 犲 犪 狉 狀 犻 狀 犵  犘 狅 狑 犲 狉 犲 犱犕 犪 犾 狑 犪 狉 犲 犃 狋 狋 犪 犮 犽 犪 狀 犱 犇 犲 犳 犲 狀 狊 犲 犜 犲 犮 犺 狀 犻 狇 狌 犲 狊

ＪＩＴｉａｎＴｉａｎ^１）　ＦＡＮＧＢｉｎＸｉｎｇ^{１），２）}　ＣＵＩＸｉａｎｇ^２）　ＷＡＮＧＺｈｏｎｇＲｕ^{１），３）} ＧＡＮＲｕｉＬｉｎｇ^１）　ＨＡＮＹｕ^１）　ＹＵＷｅｉＱｉａｎｇ^４）

１）（犓犲狔犔犪犫狅狉犪狋狅狉狔狅犳犜狉狌狊狋狑狅狉狋犺狔犇犻狊狋狉犻犫狌狋犲犱犆狅犿狆狌狋犻狀犵犪狀犱犛犲狉狏犻犮犲^（犅犝犘犜^），犕犻狀犻狊狋狉狔狅犳犈犱狌犮犪狋犻狅狀^， 犅犲犻犼犻狀犵犝狀犻狏犲狉狊犻狋狔狅犳犘狅狊狋狊犪狀犱犜犲犾犲犮狅犿犿狌狀犻犮犪狋犻狅狀狊^，犅犲犻犼犻狀犵　１００８７６^）

２^）（犆狔犫犲狉狊狆犪犮犲犐狀狊狋犻狋狌狋犲狅犳犃犱狏犪狀犮犲犱犜犲犮犺狀狅犾狅犵狔^，犌狌犪狀犵狕犺狅狌犝狀犻狏犲狉狊犻狋狔^，犌狌犪狀犵狕犺狅狌　５１０００６^）

３）（犆犺犻狀犲狊犲犃犮犪犱犲犿狔狅犳犆狔犫犲狉狊狆犪犮犲犛狋狌犱犻犲狊^，犅犲犻犼犻狀犵　１０００１０^）

４）（犅犲犻犼犻狀犵犇犻犵犃狆犻狊犜犲犮犺狀狅犾狅犵狔犆狅．^，犔狋犱^，犅犲犻犼犻狀犵　１０００８１^）

犃犫狊狋狉犪犮狋　Ｔｈｅｒｅｓｅａｒｃｈｏｎｄｅｅｐｌｅａｒｎｉｎｇｐｏｗｅｒｅｄｍａｌｗａｒｅａｔｔａｃｋａｎｄｄｅｆｅｎｓｅｔｅｃｈｎｉｑｕｅｓｈａｓ ｂｅｃｏｍｅａｈｏｔｉｓｓｕｅｉｎｔｈｅｆｉｅｌｄｏｆｃｙｂｅｒｓｅｃｕｒｉｔｙ．Ｔｏｔｈｅｂｅｓｔｏｆｏｕｒｋｎｏｗｌｅｄｇｅ^，ｔｈｅｒｅａｒｅｎｏｒｅｌｅｖａｎｔ ｒｅｖｉｅｗｏｎｔｈｉｓｂｕｒｎｉｎｇｉｓｓｕｅａｔｐｒｅｓｅｎｔ^，ａｎｄｏｕｒｒｅｖｉｅｗｉｓｔｈｅｆｉｒｓｔｗｏｒｋ．Ｉｎｏｒｄｅｒｔｏｆｏｌｌｏｗｕｐｏｎ ｔｈｅｌａｔｅｓｔｒｅｓｅａｒｃｈｒｅｓｕｌｔｓｉｎｔｈｉｓｆｉｅｌｄ^，ｔｈｉｓａｒｔｉｃｌｅｆｉｒｓｔａｎａｌｙｚｅｓａｎｄｓｕｍｍａｒｉｚｅｓｔｈｅｇｅｎｅｒａｌ ｍａｌｗａｒｅａｔｔａｃｋｐｒｏｃｅｓｓ．Ｂａｓｅｄｏｎｔｈｉｓａｔｔａｃｋｐｒｏｃｅｓｓ^，ｔｈｉｓａｒｔｉｃｌｅｌｏｃａｔｅｓｔｈｅａｔｔａｃｋｐｏｉｎｔｓａｎｄ

《 计

算 机

学 报

》

ｄｅｆｅｎｓｅｐｏｉｎｔｓｐｏｗｅｒｅｄｂｙｄｅｅｐｌｅａｒｎｉｎｇ．Ｔｈｅｄｅｅｐｌｅａｒｎｉｎｇａｓｓｉｓｔｅｄａｔｔａｃｋｔｅｃｈｎｏｌｏｇｉｅｓａｒｅ ｄｉｖｉｄｅｄｉｎｔｏｆｉｖｅｃａｔｅｇｏｒｉｅｓ^：（１^）Ａｕｔｏｍａｔｅｄｖｉｒｕｓｅｖａｓｉｏｎｂａｓｅｄｏｎａｄｖｅｒｓａｒｉａｌｓａｍｐｌｅｇｅｎｅｒａｔｉｏｎ^， ｃｏｒｒｅｓｐｏｎｄｉｎｇｔｏｔｈｅ^“ｐｒｅｐａｒａｔｉｏｎ^”ｓｔａｇｅｉｎｔｈｅｍａｌｗａｒｅａｔｔａｃｋｐｒｏｃｅｓｓ^，（２^）Ａｕｔｏｍａｔｅｄｐｈｉｓｈｉｎｇ ｂａｓｅｄｏｎｎａｔｕｒａｌｌａｎｇｕａｇｅｇｅｎｅｒａｔｉｏｎ^，ｃｏｒｒｅｓｐｏｎｄｉｎｇｔｏｔｈｅ^“ｄｅｌｉｖｅｒｙ^”ｓｔａｇｅｉｎｔｈｅｍａｌｗａｒｅａｔｔａｃｋ ｐｒｏｃｅｓｓ^，（３^）Ｐｉｎｐｏｉｎｔａｎｄｓｔｒｉｋｅｂａｓｅｄｏｎｎｅｕｒａｌｎｅｔｗｏｒｋｓ^，ｃｏｒｒｅｓｐｏｎｄｉｎｇｔｏｔｈｅ^“ｉｍｐａｃｔ^”ｓｔａｇｅｓ ｉｎｔｈｅｍａｌｗａｒｅａｔｔａｃｋｐｒｏｃｅｓｓ^，（４^）Ｔｒａｆｆｉｃｉｍｉｔａｔｉｏｎｂａｓｅｄｏｎｇｅｎｅｒａｔｉｖｅａｄｖｅｒｓａｒｉａｌｎｅｔｗｏｒｋｓ^， ｃｏｒｒｅｓｐｏｎｄｉｎｇｔｏｔｈｅ^“ｃｏｍｍａｎｄａｎｄｃｏｎｔｒｏｌ^”ａｎｄ^“ｅｖａｓｉｏｎ^”ｓｔａｇｅｓｉｎｔｈｅｍａｌｗａｒｅａｔｔａｃｋｐｒｏｃｅｓｓ^，

（５^）Ｔｈｅｂｌａｃｋｂｏｘｍｏｄｅｌｂａｓｅｄａｔｔａｃｋｉｎｔｅｎｔｈｉｄｉｎｇ^，ｃｏｒｒｅｓｐｏｎｄｉｎｇｔｏｔｈｅ^“ｅｖａｓｉｏｎ^”ｓｔａｇｅｉｎｔｈｅ ｍａｌｗａｒｅａｔｔａｃｋｐｒｏｃｅｓｓ．Ｉｎａｄｄｉｔｉｏｎ^，ｔｈｅｄｅｅｐｌｅａｒｎｉｎｇａｓｓｉｓｔｅｄｄｅｆｅｎｓｅｔｅｃｈｎｏｌｏｇｉｅｓａｒｅｄｉｖｉｄｅｄ ｉｎｔｏｔｈｒｅｅｃａｔｅｇｏｒｉｅｓ^：（１^）Ｍａｌｗａｒｅｒｅｓｉｓｔａｎｃｅｂａｓｅｄｏｎｄｅｅｐｌｅａｒｎｉｎｇ^，ｗｈｉｃｈｉｓａｄｅｆｅｎｓｅｔｅｃｈｎｏｌｏｇｙ ｆｏｒｔｈｅ^“ｅｎｇａｇｅｍｅｎｔ^”ａｎｄ^“ｐｒｅｓｅｎｃｅ^”ｓｔａｇｅｓ^；（２^）Ａｕｔｏｍａｔｅｄｐｈｉｓｈｉｎｇｒｅｃｏｇｎｉｔｉｏｎ^，ｗｈｉｃｈｉｓａ ｄｅｆｅｎｓｅｔｅｃｈｎｏｌｏｇｙｆｏｒｔｈｅ^“ｄｅｌｉｖｅｒｙ^”ｓｔａｇｅ^；ａｎｄ^（３^）Ｍａｌｉｃｉｏｕｓｂｅｈａｖｉｏｒｄｅｔｅｃｔｉｏｎｐｏｗｅｒｅｄｂｙ ｄｅｅｐｌｅａｒｎｉｎｇ^，ｗｈｉｃｈｉｓａｄｅｆｅｎｓｅｔｅｃｈｎｏｌｏｇｙｆｏｒｔｈｅｔｗｏｓｔａｇｅｓｏｆ^“ｉｍｐａｃｔ^”ａｎｄ^“ｃｏｍｍａｎｄａｎｄ ｃｏｎｔｒｏｌ^”．Ｓｅｃｏｎｄｌｙ^，ｂａｓｅｄｏｎｔｈｅａｂｏｖｅｃｌａｓｓｉｆｉｃａｔｉｏｎ^，ｔｈｉｓａｒｔｉｃｌｅｒｅｖｉｅｗｓｔｈｅｃｕｔｔｉｎｇｅｄｇｅ ｔｅｃｈｎｏｌｏｇｉｅｓｉｎｔｈｉｓｆｉｅｌｄ．Ａｌｓｏ^，ｉｔａｎａｌｙｚｅｓｔｈｅｓｅｔｅｃｈｎｏｌｏｇｉｅｓｉｎｄｅｐｔｈｆｒｏｍｄｉｆｆｅｒｅｎｔｐｅｒｓｐｅｃｔｉｖｅｓ^， ｓｕｃｈａｓｔｅｃｈｎｉｃａｌｐｒｉｎｃｉｐｌｅｓ^，ｐｒａｃｔｉｃａｌｆｅａｓｉｂｉｌｉｔｙ^，ａｎｄｄｅｖｅｌｏｐｍｅｎｔｔｒｅｎｄｓ．Ｆｕｒｔｈｅｒｍｏｒｅ^，ｄｕｅｔｏ ｔｈｅａｃｃｏｍｐａｎｙｉｎｇｓｅｃｕｒｉｔｙｉｓｓｕｅｓｏｆｄｅｅｐｌｅａｒｎｉｎｇｉｓｃｌｏｓｅｌｙｒｅｌａｔｅｄｔｏｄｅｅｐｌｅａｒｎｉｎｇｐｏｗｅｒｅｄ ｍａｌｗａｒｅｓｅｃｕｒｉｔｙｉｓｓｕｅｓ^，ｔｈｉｓｐａｐｅｒａｌｓｏｐａｙｓａｔｔｅｎｔｉｏｎｔｏｔｈｅａｃｃｏｍｐａｎｙｉｎｇｓｅｃｕｒｉｔｙｉｓｓｕｅｓｏｆ ｄｅｅｐｌｅａｒｎｉｎｇａｎｄｄｉｓｃｕｓｓｅｓｔｈｅｒｅｐｒｅｓｅｎｔａｔｉｖｅｂａｃｋｄｏｏｒａｔｔａｃｋａｎｄｄｅｆｅｎｓｅｔｅｃｈｎｏｌｏｇｉｅｓｉｎｔｈｉｓ ｆｉｅｌｄ．Ａｆｔｅｒｔｈａｔ^，ｔｈｉｓａｒｔｉｃｌｅａｎａｌｙｚｅｓａｎｄｓｕｍｍａｒｉｚｅｓｔｈｅｍａｉｎｒｅｓｅａｒｃｈｄｉｒｅｃｔｉｏｎｓｉｎｔｈｅｆｉｅｌｄｏｆ ｄｅｅｐｌｅａｒｎｉｎｇｐｏｗｅｒｅｄｍａｌｗａｒｅａｔｔａｃｋｓａｎｄｄｅｆｅｎｓｅｓ^，ａｎｄｄｉｓｃｕｓｓｅｓｉｔｓｆｕｔｕｒｅｄｅｖｅｌｏｐｍｅｎｔｔｒｅｎｄ． Ａｍｏｎｇｔｈｅｍ^，ｆｏｒｔｈｅｔｗｏｎｅｗａｔｔａｃｋｔｅｃｈｎｏｌｏｇｉｅｓ^“ｐｉｎｐｏｉｎｔａｎｄｓｔｒｉｋｅｂａｓｅｄｏｎｎｅｕｒａｌｎｅｔｗｏｒｋｓ^” ａｎｄ^“ｔｈｅｂｌａｃｋｂｏｘｍｏｄｅｌｂａｓｅｄａｔｔａｃｋｉｎｔｅｎｔｈｉｄｉｎｇ^”，ｔｈｉｓｐａｐｅｒａｎａｌｙｚｅｓａｎｄｃｏｎｃｌｕｄｅｓｔｈａｔｔｈｅｙ ｈａｖｅｏｐｅｎｅｄｔｈｅｆｉｒｓｔｓｔｅｐｆｏｒａｔｔａｃｋｅｒｓｔｏｕｓｅｎｅｕｒａｌｎｅｔｗｏｒｋｓａｓａｔｔａｃｋｃｏｍｐｏｎｅｎｔｓａｃｔｉｖｅｌｙ．Ｉｎ ｔｈｅｆｕｔｕｒｅ^，ｔｈｉｓｗｉｌｌｂｅａｄｉｒｅｃｔｉｏｎｉｎｗｈｉｃｈａｔｔａｃｋｅｒｓａｒｅｖｅｒｙｌｉｋｅｌｙｔｏｅｘｐｌｏｒｅｉｎｄｅｐｔｈａｎｄ ｇｅｎｅｒａｔｅａｔｔａｃｋｓ^，ｗｈｉｃｈｄｅｓｅｒｖｅｓｏｕｒａｔｔｅｎｔｉｏｎ．Ｆｉｎａｌｌｙ^，ｔｈｅｒｅｓｅａｒｃｈｏｎｄｅｅｐｌｅａｒｎｉｎｇｐｏｗｅｒｅｄ ｍａｌｗａｒｅａｔｔａｃｋｓａｎｄｄｅｆｅｎｓｅｓｉｓｉｎｉｔｓｉｎｆａｎｃｙ^，ａｎｄｍｏｒｅｐｏｓｓｉｂｌｅｐｏｗｅｒｅｄａｔｔａｃｋａｎｄｄｅｆｅｎｓｅ ｐｏｉｎｔｓｂａｓｅｄｏｎｍａｌｗａｒｅａｔｔａｃｋｃｈａｉｎｓｒｅｍａｉｎｔｏｂｅｅｘｐｌｏｒｅｄｂｙｒｅｓｅａｒｃｈｅｒｓ．Ｆｕｒｔｈｅｒｍｏｒｅ^，ａ ｓｉｇｎｉｆｉｃａｎｔｃｈａｌｌｅｎｇｅｆｏｒｄｅｅｐｌｅａｒｎｉｎｇｐｏｗｅｒｅｄｍａｌｗａｒｅａｔｔａｃｋａｎｄｄｅｆｅｎｓｅｉｓｔｈｅｌｉｍｉｔａｔｉｏｎｏｆ ｄａｔａｓｅｔｓ．Ｈｏｗｔｏｅｓｔａｂｌｉｓｈａｖａｌｉｄａｎｄｏｐｅｎｄａｔａｓｅｔｆｏｒｒｅｓｅａｒｃｈｅｒｓｔｏｕｓｅｉｓａｌｓｏａｖｅｒｙｗｏｒｔｈｙ ｃｏｎｓｉｄｅｒａｔｉｏｎａｎｄｒｅｓｅａｒｃｈ．

犓犲狔狑狅狉犱狊　ｍａｌｗａｒｅ^；ｄｅｅｐｌｅａｒｎｉｎｇ^；ＡＩＰｏｗｅｒｅｄＡｔｔａｃｋ^；ＡＩＰｏｗｅｒｅｄＤｅｆｅｎｓｅ^；ａｔｔａｃｋｃｈａｉｎ

１ 　 ^{引 　 言}

“恶意代码（Ｍａｌｗａｒｅ^）”主要包括病毒（Ｖｉｒｕｓ^）、 蠕虫^（Ｗｏｒｍ^）、远控木马^（ＲｅｍｏｔｅＡｃｃｅｓｓＴｒｏｊａｎ^， ＲＡＴ^）、僵尸程序（Ｂｏｔ^）、勒索软件（Ｒａｎｓｏｍｅｗａｒｅ^） 等攻击形态．自１９８８年Ｍｏｒｒｉｓ蠕虫出现以来^，恶意 代码的破坏力开始引发国际关注．从近年来网络安 全厂商和媒体报道的重大安全事件报告中可以发 现^，大多数报告实际上是以恶意代码分析为重心

的．毫无疑问，恶意代码在网络空间安全中占据重 要位置．从实际案例来看^，近年来爆发的僵尸网络

（Ｂｏｔｎｅｔ^）、高级持续性威胁^（ＡｄｖａｎｃｅｄＰｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ^，简称ＡＰＴ^）和勒索软件^（Ｒａｎｓｏｍｗａｒｅ^）等重

大网络安全事件^，大多数是以恶意代码为核心攻击 组件并由此造成实质危害的．例如，２００１年爆发的 ＣｏｄｅＲｅｄ蠕虫在不到一周的时间内感染了近４０万 台服务器，造成全球经济损失约２６亿美元^；２００６年 出现的Ｚｅｕｓ僵尸网络至今依然活跃，据统计该僵尸

０ ７

６ 计　　算　　机　　学　　报 ２０２１年

《 计

算 机

学 报

》

网络拥有高达１００万台计算机设备^，造成了超过一 亿美元的损失^；２０１０年发起的针对工控系统中核设 施的ＡＰＴ攻击^，其核心攻击组件是Ｓｔｕｘｎｅｔ蠕虫^， 该攻击对伊朗纳坦兹核电站的上千台铀浓缩离心机 造成了实质性破坏；２０１５年造成乌克兰电网断电事 故的ＡＰＴ攻击，其核心攻击组件是ＢｌａｃｋＥｎｅｒｇｙ恶意 工具包^，这是首次导致停电的网络攻击^；２０１７年 ＷａｎｎａＣｒｙ勒索软件全球大爆发^，造成的损失达８０亿 美元．诸如此类^，不胜枚举．

恶意代码对抗一直是国际网络安全厂商关注 重点，国内外安全厂商已研发出较为成熟的终端 查杀和网络检测系统，如反病毒软件（Ａｎｔｉｖｉｒｕｓ Ｓｏｆｔｗａｒｅ^）、主机入侵防护系统（ＨＩＰＳ^）、入侵检测与

防护系统^（ＩＤＰＳ^）．然而^，近年来人工智能热潮的再 度兴起^，对恶意代码的免杀^、传播^、驻留^／持久化^、隐 蔽通信和精准打击等能力产生了显著的助力效应^， 并由此引发了新一轮的由人工智能赋能的恶意代码 攻防研究，这对传统的恶意代码攻防技术发展将产 生重要影响．

人工智能技术对恶意代码发展的影响可分为 两种^，分别是^“赋能效应^”和^“伴生效应^”．所谓赋能 效应^，主要体现在两个方面^，一是指人工智能技术 很强大^，可以助力恶意代码研发和利用^，引发更大 的危害^，笔者将其称为^“赋能攻击^”（ＡＩＰｏｗｅｒｅｄ Ａｔｔａｃｋ^）；二是指人工智能技术也可以助力恶意代 码防御，让安全问题借助人工智能技术得到更好 的解决，笔者将其称为“赋能防御”（ＡＩＰｏｗｅｒｅｄ Ｄｅｆｅｎｓｅ^）．所谓伴生效应^，是指尽管人工智能技术在

酝酿之初会根据以往的经验去充分地考虑安全问 题^，但在推出之后^，势必会在不断地应用中发现新的 脆弱性伴生而来．

本文重点关注赋能效应，并聚焦于人工智能领 域中一个重要分支———深度学习技术．在下文中，本 文将围绕恶意代码，对深度学习在“助力恶意代码攻 击^”和^“助力恶意代码防御^”两个方面的最新研究工 作展开综述和分析．值得一提的是^，恶意代码的存在 形式有多种^，涵盖二进制^、ＪａｖａＳｃｒｉｐｔ^、ＰｏｗｅｒＳｈｅｌｌ 等^，但当前的很多研究^{［１３］}表明^，这些类型的恶意代 码均可通过深度学习进行处理^，因此它们均被包含 在本文的研究范畴之内，这也进一步突显了本文综 述的一般性和通用性．

助力攻击方面^：通过对恶意代码攻击链的分析^， 能够更加清晰地定位可赋能的攻击阶段．针对不同

攻击阶段的行为特点^，可以发现面向不同攻击阶段 的赋能技术^，有效地实现对这些技术的分类．安全研 究人员已经提出了多种知名的网络威胁框架^，其中^， ＣｙｂｅｒＫｉｌｌＣｈａｉｎ

^①

^②

^③

权威性．本文基于以上网络威胁框架和知名网络安 全事件^，总结形成恶意代码攻击的一般流程^（以下称 为“恶意代码攻击链”或简称“攻击链”，Ａｔｔａｃｋ Ｃｈａｉｎ^），如图１所示．攻击链包括七个阶段，分别为： 准备（Ｐｒｅｐａｒａｔｉｏｎ^）、投递（Ｄｅｌｉｖｅｒｙ^）、突破（Ｅｎｇａｇｅ ｍｅｎｔ^）、存在／持久化（Ｐｒｅｓｅｎｃｅ^／Ｐｅｒｓｉｓｔｅｎｓｅ^）、影响

（Ｅｆｆｅｃｔ^）、命令与控制（ＣｏｍｍａｎｄａｎｄＣｏｎｔｒｏｌ^，简称 Ｃ２^）和规避（Ｅｖａｓｉｏｎ^）．与之对应地，本文将深度学 习助力攻击的赋能技术分为九类，分别是：基于对抗 样本生成^（ＡｄｖｅｒｓａｒｉａｌＳａｍｐｌｅＧｅｎｅｒａｔｉｏｎ^）的自动 化免杀^、基于自然语言生成^（ＮａｔｕｒａｌＬａｎｇｕａｇｅ Ｇｅｎｅｒａｔｉｏｎ^，简称ＮＬＧ^）的自动化网络钓鱼^、基于深

度学习分类的精准定位与打击^、基于生成对抗网络

（ＧｅｎｅｒａｔｉｖｅＡｄｖｅｒｓａｒｉａｌＮｅｔｗｏｒｋ^，简称ＧＡＮ^）的流 量模仿^、基于黑盒模型的攻击意图隐藏^、自动化漏洞 挖掘^、自动化漏洞利用^、自动化绕过凭证和基于深度 学习的密码破解．其中自动化漏洞挖掘与利用以及 自动化绕过凭证和密码破解技术分属于一个独立的 研究领域^，且已有大量的工作和研究进展的跟踪^，故 本文不将它们作为关注的重点^，而是重点关注与恶 意代码紧密相关的其他５类研究工作．

助力防御方面：假设深度学习赋能的恶意代码 攻击实际可行，安全防御人员在理论层面也进行了 很多超前探索，因此本文对当前最新的深度学习赋 能的恶意代码防御研究工作进行了总结归纳，以期 推动赋能恶意代码防御的研究进展．同理，由图１所 示，我们不关注与自动化漏洞挖掘与利用对应的自 动化漏洞修复技术^，而是重点关注基于深度学习的 恶意代码查杀^、自动化网络钓鱼攻击识别^、深度学习 赋能的恶意行为检测三类赋能防御技术^，旨在从防 御者可检测的目标侧对恶意代码攻击链的各个环节 开展防御研究．

１ ７ ４期 冀甜甜等：深度学习赋能的恶意代码攻防研究进展 ６

①

② ③

ＣｙｂｅｒＫｉｌｌＣｈａｉｎ．ｈｔｔｐｓ^：／／ｗｗｗ．ｌｏｃｋｈｅｅｄｍａｒｔｉｎ．ｃｏｍ^／ｅｎ ｕｓ^／ｃａｐａｂｉｌｉｔｉｅｓ^／ｃｙｂｅｒ^／ｃｙｂｅｒｋｉｌｌｃｈａｉｎ．ｈｔｍｌ

ＭＩＴＲＥＡＴＴ＆ＣＫ．ｈｔｔｐｓ^：／／ａｔｔａｃｋ．ｍｉｔｒｅ．ｏｒｇ^／

ＮＳＡ^／ＣＳＳＣｙｂｅｒＴｈｒｅａｔＦｒａｍｅｗｏｒｋｖ２．ｈｔｔｐｓ^：／／ｍｅｄｉａ． ｄｅｆｅｎｓｅ．ｇｏｖ^／２０１９^／Ｊｕｌ^／１６^／２００２１５８１０８^／１^／１^／０^／ＣＴＲ＿ＮＳＡ ＣＳＳＴＥＣＨＮＩＣＡＬＣＹＢＥＲＴＨＲＥＡＴＦＲＡＭＥＷＯＲＫ＿Ｖ２． ＰＤＦ２０１８^，１１^，２９

《 计

算 机

学 报

》

图１　基于恶意代码攻击链的赋能技术分类

综上，将本文的贡献总结如下：

（１^）通过对网络威胁框架和知名网络安全事件 的分析^，本文提取并总结了具有通用性的恶意代码 攻击链^，通过刻画攻击流程^，帮助有效定位恶意代码 攻防赋能点^；

（２^）以攻击链为主线^，本文关注深度学习在恶 意代码攻防研究中的赋能效应^，对深度学习助力恶 意代码攻击和防御两个方面的研究工作进行了分 析^、归纳^、总结与思考^；

（３^）本文基于深度学习的助力安全问题进行了 扩展延伸^，总结并分析了模型后门攻击与防御的相 关研究工作^，它属于深度学习的伴生效应^，但在恶意 代码^“投递^”阶段也起到助力安全的作用^；

（４^）本文对恶意代码攻防研究的未来发展趋势 进行了分析与展望^，旨在从更前沿的视角研究基于 恶意代码的智能安全问题．

具体地，本文第２^、３节分别对深度学习赋能的 恶意代码攻击和防御的相关研究进行梳理和总结； 第４节扩展综述深度学习的伴生安全研究；第５节 概括总结全文工作，并对深度学习赋能的恶意代码 攻防研究的未来发展趋势进行分析与讨论．

２ 　 ^{深度学习助力攻击}

在深度学习助力攻击方面^，攻击者试图基于恶 意代码攻击链对可操作的各个攻击环节进行赋能^， 以增强攻击的鲁棒性．基于恶意代码攻击链刻画的 攻击流程^，本文将深度学习赋能研究的新型攻击技

术具化为５类^，它们分别是^：（１^）基于对抗样本生成 的自动化免杀^；（２^）基于自然语言生成的自动化网 络钓鱼^；（３^）基于深度学习分类的精准定位与打击^；

（４^）基于生成对抗网络的流量模仿^；（５^）基于黑盒模 型的攻击意图隐藏．

２１　基于对抗样本生成的自动化免杀

在恶意代码攻击过程的^“准备^”阶段中必要的一 件事情是恶意代码构建^，以提升恶意代码的免杀和 生存能力．而每当恶意代码出现新的趋势和威胁时^， 反病毒引擎作为与恶意代码对抗过程中的产物则需 要不断发展以制衡恶意代码．当前反病毒引擎在变 种检测方面的健壮性正在不断加强^，基于深度学习 的反病毒引擎已经面世^，例如^，腾讯开发的ＴＲＰＡＩ 反病毒引擎就是基于深度学习来查杀恶意代码的． 但相应地，反病毒引擎的发展也必定会促进恶意代 码的研究．为了深入了解攻击者的意图，并提前做好 防御措施，安全研究人员尝试以攻击者视角预测未 来恶意代码的发展趋势，以期提前洞悉恶意代码的 范式转变．

在恶意代码免杀方面，深度学习对比机器学习的 优势在于：（１^）深度学习会自动学习到重要的特征，不 需要人工选择特征；（２^）对于恶意代码中某些潜在且 关键特征的增加或删除^，深度学习可以通过自主学习 实现自适应^，在恶意代码查杀的可扩展性上也优于 机器学习的方法．因此^，从开发新型恶意代码的角度 出发^，一种深度学习赋能免杀的对抗性恶意代码被 提出^，用于实现基于对抗样本生成的自动化免杀．

２０１６年^，Ｇｒｏｓｓｅ等人^［４］基于前向导数算法生成

２ ７

６ 计　　算　　机　　学　　报 ２０２１年

《 计

算 机

学 报

》

具有对抗性的恶意代码示例^，以对抗深度神经网络

（ＤｅｅｐＮｅｕｒａｌＮｅｔｗｏｒｋ^，简称ＤＮＮ^）的查杀^，通过实 验证明^，该方法对恶意代码实现了８５％的误分类率^， 验证了基于对抗样本生成的恶意代码攻击的可行性． ２０１７年，Ｈｕ等人^［５］基于ＧＡＮ提出了ＭａｌＧＡＮ模

型来生成对抗性恶意代码，以绕过黑盒检测系统，实 验结果表明ＭａｌＧＡＮ能够将检测率降低到接近零^， 并使基于再训练的防御性方法难以对抗此类攻击^； 同年^，Ｈｕ等人^［６］还将深度学习中的递归神经网络

（ＲｅｃｕｒｒｅｎｔＮｅｕｒａｌＮｅｔｗｏｒｋ^，简称ＲＮＮ^）与ＧＡＮ 相结合，在原始恶意代码的ＡＰＩ序列中插入一些不 相关的ＡＰＩ^，生成基于顺序的对抗性恶意代码，可有 效对抗多种不同ＲＮＮ结构的模拟反病毒引擎．

２０１８年^，Ｋｏｌｏｓｎｊａｊｉ等人^［７］首次在字节粒度上提出 在恶意代码末尾填充字节的方式来生成对抗性恶意 代码^，并基于梯度下降算法指导决定要填充的字节^， 其测试准确率高达９２．８３％^，并在实际对抗基于字 节粒度的检测系统ＭａｌＣｏｎｖ^［８］时获得了６０％的 成功率^；同年^，Ａｎｄｅｒｓｏｎ等人^［９］利用深度强化学习 网络^（ＤｅｅｐＲｅｉｎｆｏｒｃｅｍｅｎｔｌｅａｒｎｉｎｇＮｅｔｗｏｒｋ^，简称 ＤＲＮ^），提出了一种基于对抗样本生成的黑盒攻击 方法^，用于攻击静态ＰＥ反杀毒引擎^，这是当前第一 个可以产生对抗性ＰＥ恶意代码的工作^，在模拟现 实的攻击中达到了９０％的成功率．

以上基于对抗样本生成的自动化免杀方法中^， ＡＰＩ或字节填充等操作是直接反馈到恶意代码的样 本中的^，体现在深度学习的赋能效应上则是恶意代 码的免杀和生存能力的增强^，表１中的测试成功率 便很好地证明了深度学习在该类技术上赋能的有效 性．此外，这些自动化免杀方法，它们分别从不同的 角度为生成对抗性恶意代码提供了不同的攻击思 路．为了深入了解并探索该类新型赋能攻击技术的 实际可行性以及其未来的发展趋势^，从不同维度对

这些方法做深度分析与对比是必要的．如表１所示^， 本文从这些方法基于的前提^／假设^、使用的验证引 擎^、实验数据集^、实验结果等几个角度进行了概述． 从该表中可以看出基于对抗样本生成的自动化免杀 正在不断发展进步，但同时也面临着很多问题，具体 总结如下：

（１^）三个方面的发展与进步

①自动化免杀这一研究的限制条件越来越严 苛^，研究从最初的白盒假设上升了到黑盒假设^，这意 味着研究者对于攻击的预测也越来越偏向于实际应 用场景，有利于防御者提前构建面向实际应用的新 型防御措施，掌握攻防主动性．

②验证引擎中使用的深度神经网络结构也已经从 单纯的ＤＮＮ涵盖到包含ＧＡＮ^、ＲＮＮ^、ＤＲＮ等多种 网络模型．从广义上讲^，ＤＮＮ泛指包含了全连接^、深 度卷积神经网络^（ＣｏｎｖｏｌｕｔｉｏｎａｌＮｅｕｒａｌＮｅｔｗｏｒｋ^，简 称ＣＮＮ^）、ＲＮＮ等具体变种形式的神经网络结构^， 但有时研究者也用于特指全连接的神经网络结构， 具体取决于不同文献中对ＤＮＮ定义的不同^；ＣＮＮ 的主要功能在于特征提取^；ＲＮＮ主要用于序列生 成^；ＧＡＮ的主要作用是序列生成和鉴别^；ＤＲＮ则用 于预测和评估．由表１可以看出^，以上这些深度学习 模型均可用于自动化免杀技术的攻击验证，可见 基于对抗样本的自动化免杀已经建立了对模型结 构的普适性，并可针对多种模型架构的反病毒引 擎实施攻击^，使得该类攻击的实际可操作性进一 步增强．③恶意代码的生成方式除了涵盖粗粒度的功 能添加和删除，还扩展到了字节填充等细粒度的方 法上，并且通过实验测试，对抗性恶意代码成功绕过 验证引擎的概率也越来越高，有的甚至达到了 １００％^，从技术细节和攻击性能上为防御者提供了启

发和警示的作用．

表１　深度学习赋能的自动化免杀技术对比与分析

年份文献 前提／假设 验证引擎 数据集（来源） 测试成功率 核心方法 实际可行性 ２０１６^［４^］白盒假设（攻击者知道神经

网络模型的结构、参数） ＤＮＮ ＤＲＥＢＩＮＡｎｄｒｏｉｄ ８５％ 基于攻击神经网络 的前向导数算法 否 ２０１７^［５^］黑盒假设，但攻击者知道恶

意代码检测算法使用的功能ＧＡＮ ｈｔｔｐｓ^：／／ｍａｌｗｒ．ｃｏｍ^／ 接近１００％ 替代检测器拟合 黑盒检测系统 否 ２０１７^［６^］黑盒假设（攻击者不知道神

经网络模型的结构、参数）ＲＮＮ^、ＧＡＮｈｔｔｐｓ^：／／ｍａｌｗｒ．ｃｏｍ^／ ９６．９７％～９９．５６％ 不相关的ＡＰＩ序 列插入 否 ２０１８^［７^］黑盒假设 ＤＮＮ ＶｉｒｕｓＳｈａｒｅ^，Ｃｉｔａｄｅｌ^，ＡＰＴ１９２．８３％ 字节粒度的梯度

下降算法 否 ２０１８^［９^］黑盒假设 ＤＲＮ ＶｉｒｕｓＳｈａｒｅ^，ＶｉｒｕｓＴｏｔａｌ ９０％^（犃犝犆^：９９．３％^）深度强化学习算法

做预测与策略评估 否

３ ７ ４期 冀甜甜等：深度学习赋能的恶意代码攻防研究进展 ６

《 计

算 机

学 报

》