MalCL

Abstract

Continual Learning (CL) for malware classification tackles the rapidly evolving nature of malware threats and the frequent emergence of new types. Generative Replay (GR)-based CL systems utilize a generative model to produce synthetic versions of past data, which are then combined with new data to retrain the primary model. Traditional machine learning techniques in this domain often struggle with catastrophic forgetting, where a model’s performance on old data degrades over time. In this paper, we introduce a GR-based CL system that employs Generative Adversarial Networks(GANs) with feature matching loss to generate high-quality malware samples. Additionally, we implement innovative selection schemes for replay samples based on the model’s hidden representations. Our comprehensive evaluation across malware datasets in a class-incremental learning scenario where new classes are introduced continuously over multiple tasks – demonstrates substantial performance improvements over previous methods. For example, our system achieves an average accuracy of 55% on Windows malware samples, significantly outperforming other GR-based models by 28%. This study provides practical insights for advancing GR-based malware classification systems.;악성코드 분류를 위한 지속 학습(Continual Learning)은 악성코드 위협의 빠른 진화와 새로운 유형의 지속적인 등장을 다루는 접근법이다. 생성적 리플레이(Generative Replay) 기반 지속 학습 시스템은 생성 모델을 활용해 과거 데이터를 합성하여 재생성하고, 이를 새로운 데이터와 결합하여 모델을 재학습한다. 이 분야의 기존 기계학습 기법은 시간이 지남에 따라 과거 데이터에 대한 모델의 성능이 저하되는 치명적 망각(Catastrophic Forgetting) 문제를 자주 겪는다. 본 논문에서는 Feature Matching Loss(FML)를 사용하는 Generative Adversarial Network(GAN)를 활용하여 고품질 악성코드 샘플을 생성하는 생성적 리플레이 기반 지속 학습 시스템을 제안한다. 추가적으로, 모델의 은닉층에 기반한 새로운 리플레이 샘플 선택 기법을 구현하였다. 악성코드 데이터셋을 대상으로 한 클래스 증분 (class-incremental) 학습 전반에 걸친 결과로, 본 시스템은 기존 방법 대비 크게 향상된 성능을 보였다. 본 연구에서 제안하는 시스템은 Windows 악성코드 샘플에 대해 평균 정확도 55%를 달성하여, 기존 생성적 리플레이 기반 모델을 28% 이상 능가하였다. 본 연구는 생성적 리플레이 기반 악성코드 분류 시스템의 발전을 위한 실질적인 시사점을 제공한다.