악성코드를 그림으로 바꿔서 잡는 시대가 왔다. 99%가 넘는 탐지 정확도가 그 가능성을 증명한다.
모세스 아샤와를 비롯한 연구팀은 악성코드 이진 파일과 메모리 덤프를 RGB 이미지로 변환한 뒤, 딥러닝으로 분류하는 혁신적인 프레임워크를 개발해 국제학술지 '응용과학'에 발표했다.
핵심 아이디어는 악성코드의 구조적·행동적 패턴이 이미지로 변환됐을 때 육안으로도 차별화되는 시각적 지문을 형성한다는 데 있다. 원시 이진 파일은 바이트 값을 픽셀 강도로 매핑해 이미지화하고,메모리 덤프는 실행 중 동적 행동 패턴을 담은 이미지로 변환된다.
연구팀은 두 가지 목적에 최적화된 합성곱 신경망 구조를 설계했다. 정적 모델은 이진 파일 이미지 분석을 위해 4개 합성곱 블록으로 구성했고,동적 모델은 노이즈가 많은 메모리 덤프 특성을 고려해 3개 블록으로 설계했다. 데이터 부족 문제는 순환 일관성 생성적 적대 신경망을 활용한 교차 도메인 이미지 증강으로 해결했다. MaleVis와 Dumpware10 등 기준 데이터셋을 확장해 총 7만 4,000장 이상의 이미지 데이터셋을 구축했다.
성능 결과는 주목할 만하다. 정적 모델은 99.45%의 정확도와 완벽에 가까운 재현율을 달성해 위양성을 최소화했으며, 동적 모델 역시 99.21%의 높은 정확도를 기록했다. 정적·동적 분석을 융합한 접근법은 난독화 기법으로 정적 탐지를 우회하는 변종 악성코드도 효과적으로 식별해냈다.
이 연구는 서명 기반 탐지의 한계를 극복하는 비서명 기반 악성코드 탐지 기술의 실용적 가능성을 입증한다. 단일 분석 방식에 의존하지 않고 정적·동적 시각적 패턴을 모두 학습하는 방식은 빠르게 진화하는 악성코드 생태계에 대응하는 확장 가능한 보안 솔루션을 제시한다.
출처: Moses Ashawa, R. McGregor, N. Owoh, Jude Osamor, John Adejoh, "Static and Dynamic Malware Analysis Using CycleGAN Data Augmentation and Deep Learning Techniques",Applied Sciences
Malware detection reached a new milestone: converting malicious code into images and classifying them with over 99% accuracy.
Researchers Moses Ashawa, R. McGregor, N. Owoh, Jude Osamor, and John Adejoh developed a deep convolutional neural network framework that transforms malware binary files and memory dumps into RGB images for classification, publishing their findings in Applied Sciences (2025).
The core insight is that malware's structural and behavioral patterns form distinctive visual fingerprints when rendered as images. Raw binary files are converted by mapping byte values to pixel intensities, while memory dumps capture runtime behavioral patterns as visual representations. These image-based representations often expose characteristics that remain hidden in raw binary or text-based analysis formats.
The team designed two CNN architectures optimized for distinct purposes. The static model, built with four convolutional blocks, analyzes binary-derived images to capture file structure patterns. The dynamic model, using three blocks, is optimized to handle the noisier data inherent in memory dumps. To overcome limited training data, the researchers employed Cycle-Consistent Generative Adversarial Networks (CycleGAN) for cross-domain image augmentation, expanding benchmark repositories MaleVis and Dumpware10 to a combined dataset exceeding 74,000 RGB images.
The performance results are striking. The static model achieved 99.45% accuracy with near-perfect recall and minimal false positives. The dynamic model reached 99.21% accuracy. Crucially, the fused static-dynamic approach successfully identified obfuscated malware variants — malware designed specifically to evade static detection through code transformation — by learning discriminative visual patterns from both structural and runtime perspectives.
This work demonstrates a scalable, signature-independent approach to malware classification that does not rely on known threat databases. As malware authors continuously develop new evasion techniques, systems that learn visual patterns across both static and dynamic analysis channels offer a robust foundation for next-generation cybersecurity defenses.
Source: Moses Ashawa et al., "Static and Dynamic Malware Analysis Using CycleGAN Data Augmentation and Deep Learning Techniques", Applied Sciences (2025)
