Binary classification of multi-class malware
| datacite.contributor.RelatedPerson | Θεοδωρίδης, Γεώργιος | |
| datacite.contributor.RelatedPerson | Κουφοπαύλου, Οδυσσέας | |
| datacite.contributor.Supervisor | Σερπάνος, Δημήτριος | |
| dc.contributor.author | Κτενάς, Γεώργιος-Κωνσταντίνος | |
| dc.contributor.other | Ktenas, Georgios-Konstantinos | |
| dc.date.accessioned | 2026-02-24T07:12:14Z | |
| dc.date.available | 2026-02-24T07:12:14Z | |
| dc.date.issued | 2026-02-24 | |
| dc.degree | graduateThesis | |
| dc.description.abstract | This thesis analyzes the detection and prediction of malware behaviors using only static features, under a temporal split instead of a random split. The problem is defined as multi-class classification and a binary relevance approach was applied, where independent binary classifiers are trained per behavior label using EMBER style features. Evaluation is executed on a temporal split to realistically simulate future performance. The study utilizes machine learning models, both classical and modern, such as gradient boosting methods, random forests and even a neural algorithm. It examines the effect of the post processing methods that were applied, like probability calibration and per label decision threshold tuning. Furthermore, an ablation study over feature groups is being carried out to highlight their contribution to generalization. The results indicate that temporal evaluation exposes a substantial gap between validation (in-time fitting) and temporal test (out-of-time generalization), while an appropriate decision rule, thresholding, can significantly increase the F1 performance. Overall, the work provides a reproducible experimental framework and practical insights to design more stable static detection systems in evolving environments over time. | |
| dc.description.translatedabstract | Η παρούσα διπλωματική εργασία διερευνά την ανίχνευση και πρόβλεψη συμπεριφορών κακόβουλου λογισμικού αξιοποιώντας αποκλειστικά στατικά χαρακτηριστικά, υπό ένα πρωτόκολλο χρονικής αξιολόγησης που προσεγγίζει ρεαλιστικές συνθήκες μεταβολής στο περιβάλλον του malware. Το πρόβλημα χαρακτηρίζεται ως ταξινόμηση συμπεριφορών πολλαπλών κλάσεων, η οποία υλοποιείται με δυαδική προσέγγιση (Binary relevance / One-vs-Rest), εκπαιδεύοντας ανεξάρτητους δυαδικούς ταξινομητές ανά behavior label. Για είσοδο χρησιμοποιούνται χαρακτηριστικά τύπου EMBER, ενώ η αξιολόγηση γίνεται σε χρονικά μεταγενέστερα test set (temporal split), ώστε να αποτυπώνεται η επίδραση του concept drift και της έντονης ανισορροπίας μεταξύ ετικετών. Στο πλαίσιο αυτό, συγκρίνονται κλασσικά και σύγχρονα μοντέλα μηχανικής μάθησης, όπως μέθοδοι ενισχυμένης μάθησης με δέντρα και ένα νευρωνικό μοντέλο, ενώ εξετάζεται συστηματικά η επίδραση της τελικής επεξεργασίας της απόφασης μέσω βαθμονόμησης πιθανοτήτων και ρύθμισης κατωφλιών απόφασης ανά ετικέτα. Ταυτόχρονα, πραγματοποιείται μια αφαιρετική μελέτη (ablation study) σε ομάδες χαρακτηριστικών, με στόχο να αναδειχθεί η σχετική συμβολή τους στην χρονική γενίκευση. Τα αποτελέσματα φανερώνουν μεγάλη διαφορά, βάσει της χρονικής αξιολόγησης, ανάμεσα στα εντός περιόδου προσαρμογής και αυτά εκτός περιόδου γενίκευσης, ενώ η κατάλληλη επιλογή κανόνα απόφασης (thresholding) μπορεί να οδηγήσει σε αρκετά σημαντικές βελτιώσεις ως προς την επίδοση F1. Συνολικά, η εργασία προσφέρει ένα δομημένο και που μπορεί να αναπαραχθεί εύκολα και γρήγορα πειραματικό πλαίσιο, καθώς και πρακτικά συμπεράσματα για τον σχεδιασμό πιο ανθεκτικών στατικών συστημάτων ανίχνευσης σε χρονικά μεταβαλλόμενα περιβάλλοντα. | |
| dc.identifier.uri | https://hdl.handle.net/10889/31332 | |
| dc.language.iso | en | |
| dc.rights | Attribution-ShareAlike 3.0 Greece | en |
| dc.rights.uri | http://creativecommons.org/licenses/by-sa/3.0/gr/ | |
| dc.subject | Malware detection | |
| dc.subject | Static analysis | |
| dc.subject | Machine learning | |
| dc.subject.alternative | Ανίχνευση κακόβουλου λογισμικού | |
| dc.subject.alternative | Στατική ανάλυση | |
| dc.subject.alternative | Μηχανική μάθηση | |
| dc.title | Binary classification of multi-class malware | |
| dc.title.alternative | Δυαδική ταξινόμηση κακόβουλου λογισμικού πολλαπλών κλάσεων |