Delphi Scanner: efficient and interpretable static malware detection via API sequence modeling

📄 arXiv: 2609.19900v1 📥 PDF

作者: Bijied Brahimi, Vincent Cohadon, Gabriel Glazman, Rayan Al Mohaize, Omran Berjawi, Rida Khatoun

分类: cs.CR, cs.LG

发布日期: 2026-09-17

💡 一句话要点

提出Delphi Scanner以解决静态恶意软件检测效率与可解释性问题

🎯 匹配领域: 支柱一：机器人控制 (Robot Control)

关键词: 静态恶意软件检测 卷积神经网络 API序列建模 可解释性 计算效率 Windows PE文件 网络安全

📋 核心要点

  1. 现有静态恶意软件检测方法在检测准确性、计算效率和可解释性之间难以取得良好平衡。
  2. Delphi Scanner通过卷积神经网络建模API序列，并引入解耦的规则基础解释层来提升检测效率和可解释性。
  3. 在超过190,000个Windows PE文件的评估中，Delphi Scanner达到了95.35%的准确率，且模型体积仅为1.53MB。

📝 摘要（中文）

静态恶意软件检测针对Windows可执行文件需要在检测有效性、计算效率和分析可解释性之间取得平衡。本文介绍了Delphi Scanner，这是一种针对Windows PE文件的静态恶意软件检测系统，旨在平衡效率与行为解释。该系统使用卷积神经网络（CNN）对Windows API序列进行建模，以分类PE文件，并基于规则的解耦解释层将API分类为高层次的恶意能力。经过对超过190,000个Windows PE文件的评估，该系统实现了95.35%的准确率，模型占用空间为1.53MB。对5,647个分布外的MalwareBazaar样本、配对的打包和解包可执行文件以及三种对抗性操作策略的鲁棒性实验确认了其超越训练分布的泛化能力和对功能保持的规避技术的抵抗力。总体而言，这些结果表明基于API序列的静态分析为本地部署场景中的恶意软件筛选提供了实用、可解释和高效的基础。

🔬 方法详解

问题定义：本文旨在解决Windows PE文件的静态恶意软件检测中，现有方法在检测效果、计算效率和可解释性之间的矛盾。现有方法往往无法同时满足高准确率和低计算成本的需求。

核心思路：Delphi Scanner的核心思路是利用卷积神经网络（CNN）对Windows API序列进行建模，从而实现高效的恶意软件分类。同时，采用解耦的规则基础解释层，使得检测结果具有更好的可解释性。

技术框架：该系统的整体架构包括两个主要模块：首先是API序列的特征提取与分类模块，使用CNN进行建模；其次是解耦的解释模块，通过规则基础的方法对API进行高层次的恶意能力分类。

关键创新：Delphi Scanner的主要创新在于结合了深度学习与规则基础的解释方法，使得恶意软件检测不仅高效且具备良好的可解释性。这一设计与传统的单一模型方法有本质区别。

关键设计：在技术细节上，模型采用了特定的卷积层结构以优化特征提取，并设置了适当的损失函数以平衡分类精度与计算效率。解耦的解释层则通过规则引擎对API进行分类，确保了结果的可解释性。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

Delphi Scanner在对超过190,000个Windows PE文件的评估中，达到了95.35%的准确率，且模型体积仅为1.53MB。此外，系统在5,647个分布外样本的鲁棒性实验中表现出良好的泛化能力和对抗性规避技术的抵抗力，显示出其在实际应用中的潜力。

🎯 应用场景

Delphi Scanner可广泛应用于恶意软件检测领域，特别是在需要快速响应和高效处理的本地部署场景中。其高准确率和小模型体积使其适合在资源受限的环境中运行，提升了恶意软件防护的实际价值。未来，该技术可能会在网络安全、终端保护等领域发挥更大作用。

📄 摘要（原文）

Static malware detection for Windows Portable Executable files demands a careful balance between detection effectiveness, computational efficiency, and analytical interpretability. This paper introduces Delphi Scanner, a static malware detection system for Windows PE files that balances efficiency with behavioral interpretation. It uses a convolutional neural network (CNN) to model Windows API sequences to classify PE and a decoupled interpretation layer based on a rule-based layer to categorize APIs into high-level malicious capabilities. Evaluated on over 190,000 Windows PE files, the system achieves 95.35% accuracy with a 1.53~MB model footprint. Robustness experiments on 5,647 out-of-distribution MalwareBazaar samples, paired packed and unpacked executables, and three adversarial manipulation strategies confirm generalization beyond the training distribution and resistance to functionality-preserving evasion techniques. Overall, these results demonstrate that API sequence-based static analysis offers a practical, interpretable, and efficient foundation for malware triage in local deployment scenarios.