APIVector服务

该服务从Windows PE文件或内存转储中提取库导入，生成API向量分类以用于恶意软件分析。

服务详情

ApiScout利用常见的Windows API调用构建一种称为ApiVector的表示形式。

此服务的初始工作在GeekWeek 5期间完成（[***]

技术详情参见以下链接：

• 描述ApiScout/ApiVectors及其在malpedia数据集上应用结果的学术论文 - [***]
• GitHub代码 - [***]
• 博客文章 - [***]

注意：为使ApiVector AL服务正常工作，需执行以下操作：

1. 将MALPEDIA_APIKEY设置为环境变量

要充分利用该服务，应准备一组用于比较传入数据的API向量。可申请访问Malpedia并获取API密钥，服务将使用该密钥定期拉取更新。

或者，可自行生成API向量，需遵循此处的格式： 为CSV文件，使用分号作为分隔符：

malware_family;sample_metadata;0;0;compressed_apivector

服务配置

以下是可用的服务配置选项：

# API向量匹配参数
# 进行处理所需的最小API向量匹配置信度
`min_confidence`: 50,
# 报告为植入家族的最小Jaccard相似度分数
# 参考[***]
# 即使设置很高，共享大量静态链接代码的样本仍可能产生误报
# * 0.18对应TPR/FPR为90.18%和9.45%
# * 0.22对应TPR/FPR为89.10%和4.74%（最接近(0,1)点）
# * 0.32对应TPR/FPR为86.55%和0.99%
# * 0.55对应TPR/FPR为80.72%和0.09%
`min_jaccard`: 0.40

镜像变体与标签

Assemblyline服务基于Assemblyline服务基础镜像构建，该基础镜像基于Debian 11，包含Python 3.11。

Assemblyline服务使用以下标签定义：

运行此服务

这是Assemblyline服务，设计用于Assemblyline框架中运行。

若需本地测试，可通过Shell直接运行Docker镜像：

docker run \
    --name APIVector \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-apivector

如需将此服务添加到Assemblyline部署中，请遵循指南。

文档

Assemblyline通用文档可查阅：[***]