Textbook Cyber Threat Intelligence Ali Dehghantanha Ebook All Chapter PDF

Cyber Threat Intelligence Ali
Dehghantanha
Visit to download the full and correct content document:
https://textbookfull.com/product/cyber-threat-intelligence-ali-dehghantanha/
More products digital (pdf, epub, mobi) instant
download maybe you interests ...
Cyber Security for Cyber Physical Systems 1st Edition

Saqib Ali
https://textbookfull.com/product/cyber-security-for-cyber-
physical-systems-1st-edition-saqib-ali/
The Threat Intelligence Handbook Second Edition Zane

Pokorny
https://textbookfull.com/product/the-threat-intelligence-
handbook-second-edition-zane-pokorny/
Ransomware Revolution: The Rise Of A Prodigious Cyber

Threat Matthew Ryan
https://textbookfull.com/product/ransomware-revolution-the-rise-
of-a-prodigious-cyber-threat-matthew-ryan/
Cyber Security Intelligence and Analytics Zheng Xu
https://textbookfull.com/product/cyber-security-intelligence-and-
analytics-zheng-xu/
Handbook of System Safety and Security Cyber Risk and
Risk Management Cyber Security Threat Analysis
Functional Safety Software Systems and Cyber Physical
Systems 1st Edition Edward Griffor
https://textbookfull.com/product/handbook-of-system-safety-and-
security-cyber-risk-and-risk-management-cyber-security-threat-
analysis-functional-safety-software-systems-and-cyber-physical-
systems-1st-edition-edward-griffor/
Practical Threat Intelligence and Data-Driven Threat

Hunting: A hands-on guide to threat hunting with the
ATT&CK™ Framework and open source tools 1st Edition
Palacin
https://textbookfull.com/product/practical-threat-intelligence-
and-data-driven-threat-hunting-a-hands-on-guide-to-threat-
hunting-with-the-attck-framework-and-open-source-tools-1st-
edition-palacin/
2020 International Conference on Applications and

Techniques in Cyber Intelligence: Applications and
Techniques in Cyber Intelligence (ATCI 2020) Jemal H.
Abawajy
https://textbookfull.com/product/2020-international-conference-
on-applications-and-techniques-in-cyber-intelligence-
applications-and-techniques-in-cyber-intelligence-
atci-2020-jemal-h-abawajy/
Cyber Physical Social Intelligence On Human Machine

Nature Symbiosis Hai Zhuge
https://textbookfull.com/product/cyber-physical-social-
intelligence-on-human-machine-nature-symbiosis-hai-zhuge/
Transdisciplinary Perspectives on Risk Management and

Cyber Intelligence 1st Edition Luisa Dall'Acqua
https://textbookfull.com/product/transdisciplinary-perspectives-
on-risk-management-and-cyber-intelligence-1st-edition-luisa-
dallacqua/
Advances in Information Security 70
Ali Dehghantanha
Mauro Conti
Tooska Dargahi Editors
Cyber Threat
Intelligence
Advances in Information Security
Volume 70
Series editor
Sushil Jajodia, George Mason University, Fairfax, VA, USA
More information about this series at http://www.springer.com/series/5576
Ali Dehghantanha • Mauro Conti
Tooska Dargahi
Editors
Cyber Threat Intelligence
123
Editors
Ali Dehghantanha Mauro Conti
Department of Computer Science Department of Mathematics
University of Sheffield University of Padua
Sheffield, UK Padua, Italy
Tooska Dargahi
Department of Computer Science
University of Salford
Manchester, UK
ISSN 1568-2633
Advances in Information Security
ISBN 978-3-319-73950-2 ISBN 978-3-319-73951-9 (eBook)
https://doi.org/10.1007/978-3-319-73951-9
Library of Congress Control Number: 2018940162
© Springer International Publishing AG, part of Springer Nature 2018

This work is subject to copyright. All rights are reserved by the Publisher, whether the whole or part of
the material is concerned, specifically the rights of translation, reprinting, reuse of illustrations, recitation,
broadcasting, reproduction on microfilms or in any other physical way, and transmission or information
storage and retrieval, electronic adaptation, computer software, or by similar or dissimilar methodology
now known or hereafter developed.
The use of general descriptive names, registered names, trademarks, service marks, etc. in this publication
does not imply, even in the absence of a specific statement, that such names are exempt from the relevant
protective laws and regulations and therefore free for general use.
The publisher, the authors and the editors are safe to assume that the advice and information in this book
are believed to be true and accurate at the date of publication. Neither the publisher nor the authors or
the editors give a warranty, express or implied, with respect to the material contained herein or for any
errors or omissions that may have been made. The publisher remains neutral with regard to jurisdictional
claims in published maps and institutional affiliations.
Printed on acid-free paper
This Springer imprint is published by the registered company Springer International Publishing AG part
of Springer Nature.
The registered company address is: Gewerbestrasse 11, 6330 Cham, Switzerland
Contents
Cyber Threat Intelligence: Challenges and Opportunities . . . . . . . . . . . . . . . . . . 1

Mauro Conti, Tooska Dargahi, and Ali Dehghantanha
Machine Learning Aided Static Malware Analysis:
A Survey and Tutorial . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
Andrii Shalaginov, Sergii Banin, Ali Dehghantanha, and Katrin Franke
Application of Machine Learning Techniques to Detecting
Anomalies in Communication Networks: Datasets and Feature
Selection Algorithms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
Qingye Ding, Zhida Li, Soroush Haeri, and Ljiljana Trajković
Application of Machine Learning Techniques to Detecting
Anomalies in Communication Networks: Classification Algorithms . . . . . . . 71
Zhida Li, Qingye Ding, Soroush Haeri, and Ljiljana Trajković
Leveraging Machine Learning
Techniques for Windows Ransomware Network Traffic Detection . . . . . . . . . 93
Omar M. K. Alhawi, James Baldwin, and Ali Dehghantanha
Leveraging Support Vector Machine for Opcode Density Based
Detection of Crypto-Ransomware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107
James Baldwin and Ali Dehghantanha
BoTShark: A Deep Learning Approach for Botnet Traffic Detection . . . . . . 137
Sajad Homayoun, Marzieh Ahmadzadeh, Sattar Hashemi, Ali
Dehghantanha, and Raouf Khayami
A Practical Analysis of the Rise in Mobile Phishing . . . . . . . . . . . . . . . . . . . . . . . . . 155
Brad Wardman, Michael Weideman, Jakub Burgis, Nicole Harris,
Blake Butler, and Nate Pratt
v
vi Contents
PDF-Malware Detection: A Survey and Taxonomy

of Current Techniques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169
Michele Elingiusti, Leonardo Aniello, Leonardo Querzoni,
and Roberto Baldoni
Adaptive Traffic Fingerprinting for Darknet Threat Intelligence . . . . . . . . . . 193
Hamish Haughey, Gregory Epiphaniou, Haider Al-Khateeb,
and Ali Dehghantanha
A Model for Android and iOS Applications Risk Calculation: CVSS
Analysis and Enhancement Using Case-Control Studies . . . . . . . . . . . . . . . . . . . . 219
Milda Petraityte, Ali Dehghantanha, and Gregory Epiphaniou
A Honeypot Proxy Framework for Deceiving Attackers
with Fabricated Content . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 239
Jarko Papalitsas, Sampsa Rauti, Jani Tammi, and Ville Leppänen
Investigating the Possibility of Data Leakage in Time of Live VM
Migration. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
Rehana Yasmin, Mohammad Reza Memarian, Shohreh Hosseinzadeh,
Mauro Conti, and Ville Leppänen
Forensics Investigation of OpenFlow-Based SDN Platforms . . . . . . . . . . . . . . . . 281
Mudit Kalpesh Pandya, Sajad Homayoun, and Ali Dehghantanha
Mobile Forensics: A Bibliometric Analysis. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 297
James Gill, Ihechi Okere, Hamed HaddadPajouh, and Ali Dehghantanha
Emerging from the Cloud: A Bibliometric Analysis of Cloud
Forensics Studies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 311
James Baldwin, Omar M. K. Alhawi, Simone Shaughnessy, Alex Akinbi,
and Ali Dehghantanha
Index . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333
Cyber Threat Intelligence: Challenges
and Opportunities
Mauro Conti, Tooska Dargahi, and Ali Dehghantanha
Abstract The ever increasing number of cyber attacks requires the cyber security
and forensic specialists to detect, analyze and defend against the cyber threats in
almost real-time. In practice, timely dealing with such a large number of attacks is
not possible without deeply perusing the attack features and taking corresponding
intelligent defensive actions—this in essence defines cyber threat intelligence
notion. However, such an intelligence would not be possible without the aid of
artificial intelligence, machine learning and advanced data mining techniques to
collect, analyse, and interpret cyber attack evidences. In this introductory chapter
we first discuss the notion of cyber threat intelligence and its main challenges and
opportunities, and then briefly introduce the chapters of the book which either
address the identified challenges or present opportunistic solutions to provide threat
intelligence.
Keywords Cyber threat intelligence · Indicators of attack · Indicators of

compromise · Artificial intelligence
1 Introduction
In the era of digital information technology and connected devices, the most
challenging issue is ensuring the security and privacy of the individuals’ and orga-
nizations’ data. During the recent years, there has been a significant increase in the
M. Conti
University of Padua, Padua, Italy
e-mail: conti@math.unipd.it
T. Dargahi ()
Department of Computer Science, University of Salford, Manchester, UK
e-mail: t.dargahi@salford.ac.uk
A. Dehghantanha
Department of Computer Science, University of Sheffield, Sheffield, UK
e-mail: A.Dehghantanha@sheffield.ac.uk
© Springer International Publishing AG, part of Springer Nature 2018 1

A. Dehghantanha et al. (eds.), Cyber Threat Intelligence, Advances in Information
Security 70, https://doi.org/10.1007/978-3-319-73951-9_1
2 M. Conti et al.
number and variety of cyber attacks and malware samples which make it extremely
difficult for security analysts and forensic investigators to detect and defend against
such security attacks. In order to cope with this problem, researchers introduced
the notion of “Threat Intelligence”, which refers to “the set of data collected,
assessed and applied regarding security threats, threat actors, exploits, malware,
vulnerabilities and compromise indicators” [14]. In fact, Cyber Threat Intelligence
(CTI) emerged in order to help security practitioners in recognizing the indicators
of cyber attacks, extracting information about the attack methods, and consequently
responding to the attack accurately and in a timely manner. Here an important chal-
lenge would be: How to provide such an intelligence? When a significant amount
of data is collected from or generated by different security monitoring solutions,
intelligent big-data analytical techniques are necessary to mine, interpret and extract
knowledge out of the collected data. In this regard, several concerns come along and
introduce new challenges to the filed, which we discuss in the following.
1.1 Cyber Threat Intelligence Challenges
As a matter of fact, cybercriminals adopt several methods to attack a victim in order

to (1) steal victim’s sensitive personal information (e.g., financial information); or
(2) access and take control of the victim’s machine to perform further malicious
activities, such as delivering malware (in case of botnet), locking/encrypting victim
machine (in case of ransomware). Though, different cyber attacks seem to follow
different methods of infection, in essence they have more or less similar life cycle:
starting from victim reconnaissance to performing malicious activities on the victim
machine/network.
1.1.1 Attack Vector Reconnaissance
An important challenge in defending against cyber attacks, is recognizing the point

of attacks and the system vulnerabilities that could be exploited by the cybercrim-
inals. Along with the common methods that have always been used to deceive
victims (e.g., phishing [16]) in performing the actions that the attackers desire,
during the recent years, attackers have used smarter and more innovative methods
for attacking victims. These methods are ranging from delivering a malicious
software (malware) in an unexpected format (e.g., Word documents or PDF files)
to the victim machine [6], to exploiting 0-day vulnerabilities,1 and trespassing
anonymous communications in order to contact threat actors [8]. Some examples
of such advanced attacks are the new families of Ransomware that have worm-like
1 An application vulnerability that is undisclosed and could be exploited by the attackers to access
the victim’s machine [12].
Cyber Threat Intelligence: Challenges and Opportunities 3
behaviours, which have infected tens of hundreds of individuals, organizations and

critical systems. These advancements in attack methods make the recognition of the
attacker and attack’s point of arrival an extremely challenging issue.
1.1.2 Attack Indicator Reconnaissance
Another important issue regarding the emerging cyber attacks is the fact that
cybercriminals use advanced anti-forensics and evasion methods in their malicious
code, which makes the usual security assessment techniques, e.g., CVSS (Common
Vulnerability Scoring System), or static malware and traffic analysis less effi-
cient [13, 15]. Moreover, the new networking paradigms, such as software-defined
networking (SDN), Internet of Things (IoT), and cloud computing, and their widely
adoption by organizations (e.g., using cloud resources for their big-data storage and
processing) call for modern techniques in forensic investigation of exchanged and
stored data [2, 7, 10, 17].
1.2 Cyber Threat Intelligence Opportunities
In order to address the challenges explained in the previous section, the emerging
field of cyber threat intelligence considers the application of artificial intelligence
and machine learning techniques to perceive, reason, learn and act intelligently
against advanced cyber attacks. During the recent years, researchers have taken
different artificial intelligence techniques into consideration in order to provide
the security professionals with a means of recognizing cyber threat indicators. In
particular, there is an increasing trend in the usage of Machine Learning (ML)
and data mining techniques due to their proved efficiency in malware analysis (in
both static and dynamic analysis), as well as network anomaly detection [1, 3–
5, 9, 15]. Along with the methods that the cyber defenders could use in order to
prevent or detect cyber attacks, there are other mechanisms that could be adopted
in order to deceive the attackers, such as using honeypots. In such mechanisms,
security specialists provide fake information or resources that seem to be legitimate
to attract attackers, while at the same time they monitor the attackers’ activities and
proactively detect the attack [11]. Totally, a combination of these methods would be
required to provide up-to-date information for security practitioners and analysts.
2 A Brief Review of the Book Chapters
This book provides an up-to-date and advanced knowledge, from both academia
and industry, in cyber threat intelligence. In particular, in this book we provide
wider knowledge of the field with specific focus on the cyber attack methods and
4 M. Conti et al.
processes, as well as combination of tools and techniques to perceive, reason, learn

and act on a wide range of data collected from different cyber security and forensics
solutions.
The remainder of the book is structured as follows. The first six chapters
discuss, in details, how the adoption of artificial intelligence would advance
the cyber threat intelligence in several contexts, i.e., in static malware analy-
sis (chapter “Machine Learning Aided Static Malware Analysis: A Survey and
Tutorial”), network anomaly detection (chapter “Application of Machine Learning
Techniques to Detecting Anomalies in Communication Networks: Datasets and
Feature Selection Algorithms” and “Application of Machine Learning Techniques
to Detecting Anomalies in Communication Networks: Classification Algorithms”),
Ransomware detection (chapter “Leveraging Machine Learning Techniques for
Windows Ransomware Network Traffic Detection”and “Leveraging Support Vector
Machine for Opcode Density Based Detection of Crypto-Ransomware”), and Botnet
detection (chapter “BoTShark : A Deep Learning Approach for Botnet Traffic
Detection”). The next chapter (chapter “A Practical Analysis of the Rise in Mobile
Phishing”) presents an investigative analysis of mobile-specific phishing methods
and the results of a case study by PayPal. Chapter “PDF-Malware Detection:
A Survey and Taxonomy of Current Techniques” reviews several methods of
malicious payload delivery through PDF files and provides a taxonomy of malicious
PDF detection methods. Chapter “Adaptive Traffic Fingerprinting for Darknet
Threat Intelligence” presents a traffic fingerprinting algorithm for Darknet threat
intelligence, which in essence serves as an adaptive traffic association and BGP
interception algorithm against Tor networks. Chapter “A Model for Android and
iOS Applications Risk Calculation: CVSS Analysis and Enhancement Using Case-
Control Studies” investigates the effectiveness of existing CVSS evaluation results
and proposes a model for CVSS analysis suggesting improvements to the calculation
of CVSS scores (to be used for Android and iOS applications). Chapter “A Honeypot
Proxy Framework for Deceiving Attackers with Fabricated Content” studies the
attributes of an effective fake content generator to be used to deceive cyber
attackers, and presents an implementation design for an efficient honeypot proxy
framework. Chapter “Investigating the Possibility of Data Leakage in Time of Live
VM Migration” discusses possible attacks to the memory data of VMs (Virtual
Machines) during live migration in the cloud environment and proposes a secure
live VM migration. Chapter “Forensics Investigation of OpenFlow-Based SDN
Platforms” introduces a forensic investigation framework for SDN, validating its
efficiency considering two use-case scenarios. Finally, the last two chapters warp
up the book by assessing and reviewing the state-of-the-art in mobile forensics
(chapter “Mobile Forensics: A Bibliometric Analysis”) and cloud forensics (chapter
“Emerging from The Cloud: A Bibliometric Analysis of Cloud Forensics Studies”).
Acknowledgements We would like to sincerely thank all the authors and reviewers, as well as
Springer editorial office for their effort towards the success of this book.
Cyber Threat Intelligence: Challenges and Opportunities 5
References
1. Alhawi, O.M.K., Baldwin, J., Dehghantanha, A.: Leveraging machine learning techniques for
windows ransomware network traffic detection. In: M. Conti, A. Dehghantanha, T. Dargahi
(eds.) Cyber Threat Intelligence, chap. 5. Springer - Advances in Information Security series
(2018, in press)
2. Baldwin, J., Alhawi, O.M.K., Shaughnessy, S., Akinbi, A., Dehghantanha, A.: Emerging from
The Cloud: a Bibliometric Analysis of Cloud Forensics Studies. In: M. Conti, A. Dehghan-
tanha, T. Dargahi (eds.) Cyber Threat Intelligence, chap. 16, p. in press. Springer - Advances
in Information Security series (2018)
3. Baldwin, J., Dehghantanha, A.: Leveraging support vector machine for opcode density based
detection of crypto-ransomware. In: M. Conti, A. Dehghantanha, T. Dargahi (eds.) Cyber
Threat Intelligence, chap. 6, p. in press. Springer - Advances in Information Security series
(2018)
4. Ding, Q., Li, Z., Haeri, S., Trajković, L.: Application of machine learning techniques to
detecting anomalies in communication networks: Classification algorithms. In: M. Conti,
A. Dehghantanha, T. Dargahi (eds.) Cyber Threat Intelligence, chap. 4, p. in press. Springer -
Advances in Information Security series (2018)
5. Ding, Q., Li, Z., Haeri, S., Trajković, L.: Application of machine learning techniques to
detecting anomalies in communication networks: Datasets and feature selection algorithms.
In: M. Conti, A. Dehghantanha, T. Dargahi (eds.) Cyber Threat Intelligence, chap. 3, p. in
press. Springer - Advances in Information Security series (2018)
6. Elingiusti, M., Aniello, L., Querzoni, L., Baldoni, R.: PDF-malware detection: a survey and
taxonomy of current techniques. In: M. Conti, A. Dehghantanha, T. Dargahi (eds.) Cyber
(2018)
7. Gill, J., Okere, I., HaddadPajouh, H., Dehghantanha, A.: Mobile Forensics: A Bibliometric
Analysis. In: M. Conti, A. Dehghantanha, T. Dargahi (eds.) Cyber Threat Intelligence, chap. 15,
p. in press. Springer - Advances in Information Security series (2018)
8. Haughey, H., Epiphaniou, G., Al-Khateeb, H., Dehghantanha, A.: Adaptive Traffic Fingerprint-
ing for Darknet Threat Intelligence. In: M. Conti, A. Dehghantanha, T. Dargahi (eds.) Cyber
(2018)
9. Homayoun, S., Ahmadzadeh, M., Hashemi, S., Dehghantanha, A., Khayami, R.: BoTShark: A
deep learning approach for botnet traffic detection. In: M. Conti, A. Dehghantanha, T. Dargahi
(eds.) Cyber Threat Intelligence, chap. 7, p. in press. Springer - Advances in Information
Security series (2018)
10. Pandya, M.K., Homayoun, S., Dehghantanha, A.: Forensics Investigation of OpenFlow-Based
SDN Platforms. In: M. Conti, A. Dehghantanha, T. Dargahi (eds.) Cyber Threat Intelligence,
chap. 14, p. in press. Springer - Advances in Information Security series (2018)
11. Papalitsas, J., Rauti, S., Tammi, J., Leppänen, V.: A honeypot proxy framework for deceiving
attackers with fabricated content. In: M. Conti, A. Dehghantanha, T. Dargahi (eds.) Cyber
(2018)
12. Park, R.: Guide to zero-day exploits (2015). URL https://www.symantec.com/connect/blogs/
guide-zero-day-exploits
13. Petraityte, M., Dehghantanha, A., Epiphaniou, G.: A Model for Android and iOS Applications
Risk Calculation: CVSS Analysis and Enhancement Using Case-Control Studies. In: M. Conti,
A. Dehghantanha, T. Dargahi (eds.) Cyber Threat Intelligence, chap. 11, p. in press. Springer -
Advances in Information Security series (2018)
6 M. Conti et al.
14. Shackleford, D.: Who’s using cyberthreat intelligence and how? – a SANS survey (2015).
URL https://www.sans.org/reading-room/whitepapers/analyst/cyberthreat-intelligence-how-
35767
15. Shalaginov, A., Banin, S., Dehghantanha, A., Franke, K.: Machine learning aided static
malware analysis: A survey and tutorial. In: M. Conti, A. Dehghantanha, T. Dargahi (eds.)
Cyber Threat Intelligence, chap. 2, p. in press. Springer - Advances in Information Security
series (2018)
16. Wardman, B., Weideman, M., Burgis, J., Harris, N., Butler, B., Pratt, N.: A practical analysis
of the rise in mobile phishing. In: M. Conti, A. Dehghantanha, T. Dargahi (eds.) Cyber Threat
Intelligence, chap. 8, p. in press. Springer - Advances in Information Security series (2018)
17. Yasmin, R., Memarian, M.R., Hosseinzadeh, S., Conti, M., Leppänen, V.: Investigating the
possibility of data leakage in time of live VM migration. In: M. Conti, A. Dehghantanha,
T. Dargahi (eds.) Cyber Threat Intelligence, chap. 13, p. in press. Springer - Advances in
Information Security series (2018)
Machine Learning Aided Static Malware
Analysis: A Survey and Tutorial
Andrii Shalaginov, Sergii Banin, Ali Dehghantanha, and Katrin Franke
Abstract Malware analysis and detection techniques have been evolving during
the last decade as a reflection to development of different malware techniques to
evade network-based and host-based security protections. The fast growth in variety
and number of malware species made it very difficult for forensics investigators to
provide an on time response. Therefore, Machine Learning (ML) aided malware
analysis became a necessity to automate different aspects of static and dynamic
malware investigation. We believe that machine learning aided static analysis can
be used as a methodological approach in technical Cyber Threats Intelligence (CTI)
rather than resource-consuming dynamic malware analysis that has been thoroughly
studied before. In this paper, we address this research gap by conducting an in-
depth survey of different machine learning methods for classification of static
characteristics of 32-bit malicious Portable Executable (PE32) Windows files and
develop taxonomy for better understanding of these techniques. Afterwards, we
offer a tutorial on how different machine learning techniques can be utilized in
extraction and analysis of a variety of static characteristic of PE binaries and
evaluate accuracy and practical generalization of these techniques. Finally, the
results of experimental study of all the method using common data was given to
demonstrate the accuracy and complexity. This paper may serve as a stepping stone
for future researchers in cross-disciplinary field of machine learning aided malware
forensics.
Keywords Machine learning · Malware · Static analysis · Artificial intelligence
A. Shalaginov · S. Banin · K. Franke

Norwegian Information Security Laboratory, Center for Cyber- and Information Security,
Norwegian University of Science and Technology, Gjøvik, Norway
e-mail: andrii.shalaginov@ntnu.no; sergii.banin@ntnu.no; katrin.franke@ntnu.no
A. Dehghantanha ()
Department of Computer Science, University of Sheffield, Sheffield, UK
e-mail: A.Dehghantanha@sheffield.ac.uk
© Springer International Publishing AG, part of Springer Nature 2018 7

A. Dehghantanha et al. (eds.), Cyber Threat Intelligence, Advances in Information
Security 70, https://doi.org/10.1007/978-3-319-73951-9_2
8 A. Shalaginov et al.
1 Introduction
Stealing users’ personal and private information has been always among top
interests of malicious programs [8]. Platforms which are widely used by normal
users have always been best targets for malware developers [9].
Attackers have leveraged malware to target personal computers [22], mobile
devices [61], cloud storage systems [13], Supervisory Control and Data Acquisition
Systems (SCADA) [12], Internet of Things (IoT) network [81] and even big data
platforms [67].
Forensics examiners and incident handlers on the other side have developed
different techniques for detection of compromised systems, removal of detected
malicious programs [14, 23], network traffic [63], and even log analysis [69]. Dif-
ferent models have been suggested for detection, correlation and analyses of cyber
threats [20] (on a range of mobile devices [43] and mobile applications [45], cloud
applications [11], cloud infrastructure [46] and Internet of Things networks [47]).
Windows users are still comprising majority of Internet users hence, it is not
surprising to see Windows as the most adopted PC Operating System (OS) on top
of the list of malware targeted platforms [73]. In response, lots of efforts have been
made to secure Windows platform such as educating users [25, 54], embedding an
anti-virus software [40], deploying anti-malware and anti-exploitation tools [52, 53],
and limiting users applications privilege [41].
In spite of all security enhancements, many malware are still successfully
compromising Windows machines [36, 73] and malware is still ranked as an
important threat to Windows platforms [33]. As result, many security professionals
are still required to spend a lot of time on analyzing different malware species [10].
This is a logical step since malware analysis plays a crucial role in Cyber Threats
Intelligence (CTI). There has been proposed a portal to facilitate CTI and malware
analysis through interactive collaboration and information fusion [56].
There are two major approaches for malware analysis namely static (code)
and dynamic (behavioral) malware analysis [8, 16]. In dynamic malware analysis,
samples are executed and their run time behavior such as transmitted network traffic,
the length of execution, changes that are made in the file system, etc. are used to
understand the malware behavior and create indications of compromise for malware
detection [16]. However, dynamic analysis techniques can be easily evaded by
malware that are aware of execution conditions and computing environment [34].
Dynamic malware analysis techniques can only provide a snapshot view of the
malware behavior and hence very limited in analysis of Polymorph or Metamorph
species [44]. Moreover, dynamic malware analysis techniques are quite resource
hungry which limits their enterprise deployment [37].
In static malware analysis, the analyst is reversing the malware code to achieve
a deeper understanding of the malware possible activities [28]. Static analysis
relies on extraction of a variety of characteristics from the binary file such that
Machine Learning Aided Static Malware Analysis: A Survey and Tutorial 9
function calls, header sections, etc. [83]. Such characteristics may reveal indicators
of malicious activity that are going to be used in CTI [57]. However, static analysis
is quite a slow process and requires a lot of human interpretation and hence [8].
Static analysis of PE32 is a many-sided challenge that was studied by different
authors. Static malware analysis also was used before for discovering interconnec-
tions in malware species for improved Cyber Threat Intelligence [42, 66]. As 32-bit
malware are still capable of infecting 64-bit platforms and considering there are
still many 32-bit Windows OS it is not surprising that still majority of Windows
malware are 32-bit Portable Executable files [8]. To authors knowledge there has not
been a comparative study of ML-based static malware using a single dataset which
produces comparable results. We believe that utilization of ML-aided automated
analysis can speed up intelligent malware analysis process and reduce human
interaction required for binaries processing. Therefore, there is a need for thorough
review of the relevant scientific contributions and offer a taxonomy for automated
static malware analysis.
The remainder of this paper is organized as follows. We first offer a com-
prehensive review of existing literature in machine learning aided static malware
analysis. We believe this survey paves the way for further research in application
of machine learning in static malware analysis and calls for further development
in this field. Then, taxonomy of feature construction methods for variety of static
characteristics and corresponding ML classification methods is offered. Afterwards,
we offer a tutorial that applies variety of set of machine learning techniques and
compares their performance. The tutorial findings provide a clear picture of pros and
cons of ML-aided static malware analysis techniques. To equally compare all the
methods we used one benign and two malware datasets to evaluate all of the studied
methods. This important part complements the paper due to the fact that most of the
surveyed works used own collections, sometimes not available for public access or
not published at all. Therefore, experimental study showed performance comparison
and other practical aspects of ML-aided malware analysis. Section 4 gives an insight
into a practical routine that we used to establish our experimental setup. Analysis of
results and findings are given in Sect. 5. Finally, the paper is concluded and several
future works are suggested in Sect. 6.
2 An Overview of Machine Learning-Aided Static

Malware Detection
This section provides an analysis of detectable static properties of 32 bit PE malware

followed by detailed description of different machine learning techniques to develop
a taxonomy of machine learning techniques for static malware analysis.
2.1 Static Characteristics of PE Files
PE file format was introduced in Windows 3.1 as PE32 and further developed as
PE32+ format for 64 bit Windows Operating Systems. PE files contain a Common
Object File Format (COFF) header, standard COFF fields such as header, section
table, data directories and Import Address Table (IAT). Beside the PE header fields
a number of other static features can be extracted from a binary executable such as
strings, entropy and size of various sections.
To be able to apply Machine Learning PE32 files static characteristics should
be converted into a machine-understandable features. There exist different types of
features depending on the nature of their values such that numerical that describes a
quantitative measure (can be integer, real or binary value) or nominal that describes
finite set of categories or labels. An example of the numerical feature is CPU (in %)
or RAM (in Megabytes) usage, while nominal can be a file type (like ∗.dll or ∗.exe)
or Application Program Interface (API) function call (like write() or read()).
1. n-grams of byte sequences is a well-known method of feature construction
utilizing sequences of bytes from binary files to create features. Many tools
have been developed for this purpose such as hexdump [39] created 4-grams
from byte sequences of PE32 files. The features are collected by sliding window
of n bytes. This resulted in 200 millions of features using 10-grams for about
two thousands files in overall. Moreover, feature selection (FS) was applied to
select 500 most valuable features based on Information Gain metric. Achieved
accuracy on malware detection was up to 97% using such features. Another work
on byte n-grams [51] described usage of 100–500 selected n-grams yet on a
set of 250 malicious and 250 benign samples. Similar approach [31] was used
with 10, . . . , 10, 000 best n-grams for n = 1, . . . , 10. Additionally, ML methods
such that Naive Bayes, C4.5, k-NN and others were investigated to evaluate their
applicability and accuracy. Finally, a range of 1–8 n-grams [27] can result in 500
best selected n-grams that are used later to train AdaBoost and Random Forests
in addition to previously mentioned works.
2. Opcode sequences or operation codes are set of consecutive low level machine
abstractions used to perform various CPU operations. As it was shown [62]
such features can be used to train Machine Learning methods for successful
classification of the malware samples. However, there should be a balance
between the size of the feature set and the length of n-gram opcode sequence.
n-Grams with the size of 4 and 5 result in highest classification accuracy as
unknown malware samples could be unveiled on a collection of 17,000 malware
and 1000 benign files with a classification accuracy up to 94% [58]. Bragen [6]
explored reliability of malware analysis using sequences of opcodes based on
the 992 PE-files malware and benign samples. During the experiments, about 50
millions of opcodes were extracted. 1-gram- and 2-gram-based features showed
good computational results and accuracy. Wang et al. [79] presented how the 2-
tuple opcode sequences can be used in combination with density clustering to
detect malicious or benign files.
3. API calls are the function calls used by a program to execute specific functional-
ity. We have to distinguish between System API calls that are available through
standard system DLLs and User API calls provided by user installed software.
These are designed to perform a pre-defined task during invocation. Suspicious
API calls, anti-VM and anti-debugger hooks and calls can be extracted by PE
analysers such as PEframe [4]. Zabidi et al. [83] studied 23 malware samples
and found that some of the API calls are present only in malwares rather than
benign software. Function calls may compose in graphs to represent PE32 header
features as nodes, edges and subgraphs [84]. This work shows that ML methods
achieve accuracy of 96% on 24 features extracted after analysis of 1037 malware
and 2072 benign executables. Further, in [71] 20,682 API calls were extracted
using PE parser for 1593 malicious and benign samples. Such large number of
extracted features can help to create linearly separable model that is crucial for
many ML methods as Support Vector Machines (SVM) or single-layer Neural
Networks. Another work by [55] described how API sequences can be analysed
in analogy with byte n-grams and opcode n-grams to extract corresponding
features to classify malware and benign files. Also in this work, an array of
API calls from IAT (PE32 header filed) was processed by Fisher score to select
relevant features after analysis of more than 34 k samples.
4. PE header represents a collection of meta data related to a Portable Executable
file. Basic features that can be extracted from PE32 header are Size of Header,
Size of Uninitialized Data, Size of Stack Reserve, which may indicate if a
binary file is malicious or benign [15]. The work [76] utilized Decision Trees
to analyse PE header structural information for describing malicious and benign
files. Ugarte-Pedrero et al. [77] used 125 raw header characteristics, 31 section
characteristics, 29 section characteristics to detect unknown malware in a semi-
supervised approach. Another work [80] used a dataset containing 7863 malware
samples from Vx Heaven web site in addition to 1908 benign files to develop
a SVM based malware detection model with accuracy of 98%. Markel and
Bilzor [38] used F-score as a performance metric to analyse PE32 header features
of 164,802 malicious and benign samples. Also [29] presented research of two
novel methods related to PE32 string-based classier that do not require additional
extraction of structural or meta-data information from the binary files. Moreover,
[84] described application of 24 features along with API calls for classification of
malware and benign samples from VxHeaven and Windows XP SP3 respectively.
Further, ensemble of features was explored [59], where authors used in total 209
features including structural and raw data from PE32 file header. Further, Le-
Khac et al. [35] focused on Control Flow Change over first 256 addresses to
construct n-gram features.
In addition to study of specific features used for malware detection, we analyzed
articles devoted to application of ML for static malware analysis published between
2000 and 2016, which covers the timeline of Windows NT family that are still in
use as depicted in Fig. 1. We can see that the number of papers that are relevant
Fig. 1 Timeline of works since 2009 that involved static analysis of Portable Executable files
using method characteristics using also ML method for binary malware classification
to our study is growing from 2009 and later, which can be justified on the basis
of increase in the number of Windows users (potential targets) and corresponding
malware families.
Challenges Despite the fact that some of the feature construction techniques
reflected promising precision of 90+ % in differentiation between malicious and
benign executables, there are still no best static characteristic that guarantee 100%
accuracy of malware detection. This can be explained by the fact that malware
are using obfuscation and encryption techniques to subvert detection mechanisms.
In addition, more accurate approaches such as bytes N-GRAMS are quite resource
intensive and hardly practical in the real world.
2.2 Machine Learning Methods Used for Static-Based

Malware Detection
2.2.1 Statistical Methods
Exploring large amounts of binary files consists of statistical features may be

simplified using so called frequencies or likelihood of features values. These
methods are made to provide prediction about the binary executable class based
on statistics of different static characteristics (either automatically or manually
collected) which are applicable to malware analysis too as describe by Shabtai et al.
[60]. To process such data, extract new or make predictions the following set of
statistical methods can be used:
Naive Bayes is a simple probabilistic classifier, which is based on Bayesian
theorem with naive assumptions about independence in correlation of different
features. The Bayes Rule can be explained as a following conditional independences
of features values with respect to a class:
P (V |Ck )
P (Ck |V ) = P (Ck ) (1)
P (V )
where P (Ck ) is a prior probability of class Ck , k = 1, . . . , m0 which is calcu-

lated from collected statistics according to description of variables provided by
Kononenko et al. [32]. This method is considered to tackle just binary classification
problem (benign against malicious) since it was originally designed as multinomial
classifier. V = v1 , . . . , va is the vector of attributes values that belongs to a
sample. In case of Naive Bayes input values should be symbolical, for example
strings, opcodes, instruction n-grams etc. P (V ) is the prior probability of a sample
described with vector V . Having training data set and given vector V we count
how many samples contain equal values of attributes (e.g. based on the number of
sections or given opcode sequence). It is important to mention that V have not to be
of length of full attribute vector and can contain only one attribute value. P (V |Ck )
is the conditional probability of a sample described with V given the class Ck . And
P (Ck |V ) conditional probability of class Ck with V . Based on simple probability
theory we can describe conditional independence of attribute values vi given the
class Ck :

a
P (V |Ck ) = P (v1 ∧ . . . ∧ va |Ck ) = P (vi |Ck ) (2)
i=1
Dropping the mathematical operations we get final version of Eq. (1):

a
P (Ck |vi )
P (Ck |V ) = P (Ck ) (3)
P (Ck )
i=1
So, the task of this machine learning algorithm is to calculate conditional and
unconditional probabilities as described in Eq. (3) using a training dataset. To be
more specific, the Algorithm 1 pseudo code shows the calculation of the conditional
probability.
So, we can see from Eq. (1) that given output is as a probability that a questioned
software sample belongs to one or another class. Therefore, the classification
decision will be made by finding a maximal value from set of corresponding class
likelihoods. Equation (4) provides formula that assigns class label to the output:
ŷ = argmax P (Ck )P (V |Ck ). (4)

k∈{1,...,K}
Bayesian Networks is a probabilistic directed acyclic graphical model (some-

times also named as Bayesian Belief Networks), which shows conditional depen-
dencies using directed acyclic graph. Network can be used to detect “update
knowledge of the state of a subset of variables when other variables (the evidence
variables) are observed” [32]. Bayesian Networks are used in many cases of
classification and information retrieval (such as semantic search). The method’s
routine can be described as following. If edge goes from vertex A to vertex B,
then A is a parent of B, and B is an ancestor of A. If from A there is oriented path
Algorithm 1 Calculating P (Ck |V )—conditional probability of class Ck with V

1: Sample structure with class label and attribute values
2: S ← array of training Samples
3: V ← array of attribute values
4: Ck ← class number
5: P Ck = 0
6: function get P Ck (ClassN umber, Samples)
7: output = 0
8: for all sample from Samples do
9: if sample.getClass() == ClassN umber then
10: output+ = size[Samples]
1
11: end if
12: end for
13: return output
14: end function
15: function get P Ck vi (ClassN umber, v, i, Samples)
16: output = 0
17: for all sample from Samples do
18: if sample.getClass() == ClassN umber AND sample.getAttribute(i) == v
then
19: output+ = size[Samples]
1
20: end if
21: end for
22: return output
23: end function
24: P (Ck |V = 0)
25: prod = 1
26: i=0
27: for all vf romV do
28: prod∗ = get getP Ck vi (ClassN umber,v,i,Samples)
P Ck (ClassN umber,Samples)
29: i+ = 1
30: end for
31: P (Ck |V ) = prod ∗ get P Ck (ClassN umber, Samples))
to another vertex B exists then B is ancestor of A, and A is a predecessor of B.

Let’s designate set of parent vertexes of vertex Vi as parents(Vi ) = P Ai . Direct
acyclic graph is called Bayesian Network for probability distribution P (v) given for
set of random variables V if each vertex of graph has matched with random variable
from V . And edge of a graph fits next condition: every variable vi from V must be
conditionally independent from all vertexes that are not its ancestors if all its direct
parents P Ai are initialized in graph G:
∀Vi ∈ V ⇒ P (vi |pai , s) = P (vi |pai ) (5)
where vi is a value of Vi , S—set of all vertexes that are not ancestors of Vi , s—

configuration of S, pai —configuration of P Ai . Then full general distribution of the
values in vertexes could be written as product of local distributions, similarly to
Naive Bayes rules:
Fig. 2 Bayesian network suitable for malware classification [58]

n
P(V1 , . . . , Vn ) = P(Vi | parents(Vi )) (6)
i=1
Bayesian Belief Networks can be used for classification [32], thus can be applied
for malware detection and classification as well [58]. To make Bayesian Network
capable of classification it should contain classes as parent nodes which don’t have
parents themselves. Figure 2 shows an example of such Bayesian network.
2.2.2 Rule Based
Rule based algorithms are used for generating crisp or inexact rules in different
Machine Learning approaches [32]. The main advantage of having logic rules
involved in malware classification is that logical rules that operate with statements
like equal, grater then, less or equal to can be executed on the hardware level which
significantly increases the speed of decision making.
C4.5 is specially proposed by Quinlan [50] to construct decision trees. These
trees can be used for classification and especially for malware detection [75]. The
process of trees training includes processing of previously classified dataset and on
each step looks for an attribute that divides set of samples into subsets with the
best information gain. C4.5 has several benefits in compare with other decision tree
building algorithms:
• Works not only with discrete but with continuous attributes as well. For
continuous attributes it creates threshold tp compares values against [49].
• Take into account missing attributes values.
• Works with attributes with different costs.
Algorithm 2 Decision tree making algorithm

1: S = s1 , s2 , . . . labelled training dataset of classified data
2: x1i , x2i , . . . , xpi - p-dimensional vector of attributes of each sample si form S
3: Check for base cases
4: for all attributes x do
5: Find the normalized gain ratio from splitting set of sample on x
6: end for
7: Let xbest be the attribute with the highest normalized information gain.
8: Create decision node that splits on xbest
9: Repeat on the subsets created by splitting with xbest . Newly gained nodes add as children of
current node.
• Perform automate tree pruning by going backward through the tree and removing
useless branches with leaf nodes.
Algorithm 2 shows a simplified version of decision tree building algorithm.
Neuro-Fuzzy is a hybrid models that ensembles neural networks and fuzzy
logic to create human-like linguistic rules using the power of neural networks.
Neural network also known as artificial neural network is a network of simple
elements which are based on the model of perceptron [65]. Perceptron implements
previously chosen activation functions which take input signals and their weights
and produces an output, usually in the range of [0, 1] or [−1, 1]. The network can
be trained to perform classification of complex and high-dimensional data. Neural
Networks are widely used for classification and pattern recognition tasks, thus for
malware analysis [72]. The problem is that solutions gained by Neural Networks
are usually impossible to interpret because of complexity of internal structure and
increased weights on the edges. This stimulates usage of Fuzzy Logic techniques,
where generated rules are made in human-like easy-interpretable format: I F X >
3 AND X < 5 T H EN Y = 7.
Basic idea of Neuro-Fuzzy (NF) model is a fuzzy system that is trained with a
learning algorithm similar to one from neural networks theory. NF system can be
represented as a neural network which takes input variables and produces output
variables while connection weights are represented as encoded fuzzy sets. Thus at
any stage (like prior to, in process of and after training) NF can be represented as
a set of fuzzy rules. Self-Organising (Kohonen) maps [30] is the most common
techniques of combining Neuro and Fuzzy approaches. Shalaginov et al. [64]
showed the possibility of malware detection using specially-tuned Neuro-Fuzzy
technique on a small dataset. Further, NF showed good performance on large-scale
binary problem of network traffic analysis [63]. This method has also proven its
efficiency on a set of multinomial classification problems. In particular, it is useful
when we are talking about distinguishing not only “malware” or “goodware” but
also detecting specific type of “malware” [68]. Therefore, it has been improved for
the multinational classification of malware types and families by Shalaginov et al.
[70].
2.2.3 Distance Based
This set of methods is used for classification based on predefined distance measure.
Data for distance-based methods should be carefully prepared, because compu-
tational complexity grows significantly with space dimensionality (number of
features) and number of training samples. Thus there is a need for proper feature
selection as well as sometimes for data normalization.
k-Nearest Neighbours or k-NN is classification and regression method. k-NN
does not need special preparation of the dataset or actual “training” as the algorithm
is ready for classification right after labelling the dataset. The algorithm takes a
sample that is need to be classified and calculates distances to samples from training
dataset, then it selects k nearest neighbours (with shortest distances) and makes
decision based on class of this k nearest neighbours. Sometimes it makes decision
just on the majority of classes in this k neighbours selection, while in other cases
there is weights involved in process of making decision. When k-NN is used for
malware classification and detection there is a need for careful feature selection
as well as a methodology for dealing with outliers and highly mixed data, when
training samples cannot create distinguishable clusters [58].
Support Vector Machine or SVM is a supervised learning method. It constructs
one or several hyperplanes to divide dataset for classification. Hyperplane is
constructed to maximize distance from it to the nearest data points. Sometimes
kernel transformation is used to simplify hyperplanes. Building a hyperplane is
usually turned into two-class problem (one vs one, one vs many) and involves
quadratic programming. Let’s have linearly separable data (as shown in Fig. 3)
Fig. 3 Maximum margin

hyperplane for two class
problem [32]
which can be represented as D = {(xi , yi ) | xi ∈ Rp , yi ∈ {−1, 1}}ni=1 . Where yi

is 1 or −1 depending on class of point xi . Each xi is p-dimensional vector (not
always normalised). The task is to find hyperplane with maximum margin that
divides dataset on points with yi = 1 and yi = −1: w · x − b = 0. Where w
is a normal vector to a hyperplane [21]. If dataset is linearly separable we can build
two hyperplanes w · x − b = 1 and w · x − b = −1 between which there will be
no (or in case of soft margin maximal allowed number) points. Distance between
2
them (margin) is ||w|| , so to maximize margin we need to minimize ||w|| and to find
parameters of hyperplane we need to introduce Lagrangian multipliers α and solve
Eq. (7) with quadratic programming techniques.

1
n
arg min max w 2
− αi [yi (w · xi − b) − 1] (7)
w,b α≥0 2
i=1
Sometimes there is a need to allow an algorithm to work with misclassified data

hence leaving some points inside the margin based on the degree of misclassification
ξ . So Eq. (3) turns into Eq. (8).

1
n
n
n
arg min max w 2
+C ξi − αi [yi (w · xi − b) − 1 + ξi ] − βi ξi
w,ξ ,b α,β 2
i=1 i=1 i=1
with αi , βi ≥ 0
(8)
Also the data might be linearly separated, so there is a need for kernel trick. The
basic idea is to substitute every dot product with non-linear kernel function. Kernel
function can be chosen depending on situation and can be polynomial, Gaussian,
hyperbolic etc. SVM is a very powerful technique which can give good accuracy
if properly used, so it often used in malware detection studies as shown by Ye
et al. [82].
2.2.4 Neural Networks
Neural Network is based on the model of perceptron which has predefined activation
function. In the process of training weights of the links between neurons are trained
to fit train data set with minimum error with use of back propagation. Artificial
Neural network (ANN) consists of input layer, hidden layer (layers) and output layer
as it is shown on Fig. 4.
The input layer takes normalized data, while hidden output layer produces
activation output using neuron’s weighted input and activation function. Activation
function is a basic property of neuron that takes input values given on the input
edges, multiply them by weights of these edges and produces output usually in a
range of [0,1] or [−1,1]. Output layer is needed to present results and then interpret
them. Training of ANN starts with random initialization of weights for all edges.
Fig. 4 Artificial neural network [32]
Algorithm 3 ANN training

1: S = s1 , s2 , . . . labeled training dataset of classified data
2: x1i , x2i , . . . , xpi - p-dimensional vector of attributes of each sample si form S
3: N number of training cycles
4: Lrate learning rate
5: Random weight initialization
6: for all training cycles N do
7: for all samples S do
8: give features xi as input to the ANN
9: compare class of si with gained output of ANN
10: calculate error
11: using back-propagation tune weights inside the ANN with Lr ate
12: end for
13: reduce Lrate
14: end for
Then feature vector of each sample is used as an input. Afterwards, result gained
on the output layer is compared to the real answers. Any errors are calculated and
using back-propagation all weights are tuned. Training can continue until reaching
desired number of training cycles or accuracy. Learning process of ANN can be
presented as shown in the Algorithm 3. Artificial Neural networks can be applied for
complex models in high-dimensional spaces. This is why it often used for malware
research [72].
2.2.5 Open Source and Freely Available ML Tools
Today machine learning is widely used in many areas of research with many
publicly available tools (Software products, libraries etc.).
Weka or Waikato Environment for Knowledge Analysis is a popular, free, cross

platform and open source tool for machine learning. It supports many of popular ML
methods with possibility of fine tuning of the parameters and final results analysis.
It provides many features such as splitting dataset and graphical representation of
the results. Weka results are saved in .arff file which is specially prepared CSV file
with header. It suffers from couple of issues including no support for multi-thread
computations and poor memory utilization especially with big datasets.
Python weka wrapper is the package which allows using power of Weka
through Python programs. It uses javabridge to link Java-based Weka libraries to
python. It provides the same functionality as Weka, but provides more automation
capacities.
LIBSVM and LIBLINEAR are open source ML libraries written in C++ sup-
porting kernelized SVMs for linear, classification and regression analysis. Bindings
for Java, Mathlab and R are also present. It uses space-separated files as input, where
zero values need not to be mentioned.
RapidMiner is machine learning and data mining tool with a user friendly GUI
and support for a lot of ML and data mining algorithms.
Dlib is a free and cross-platform C++ toolkit which supports different -machine
learning algorithms and allows multi-threading and utilization of Python APIs.
2.2.6 Feature Selection and Construction Process
Next important step after the characteristics extraction is so-called Feature Selection
process [32]. Feature Selection is a set of methods that focus on elimination of
irrelevant or redundant features that are not influential for malware classification.
This is important since the number of characteristics can be extremely large, while
only a few can actually be used to differentiate malware and benign applications
with a high degree of confidence. The most common feature selection methods are
Information Gain, and Correlation-based Feature Subset Selection (CFS) [24]. The
final goal of Feature Selection is to simplify the process of knowledge transfer from
data to a reusable classification model.
2.3 Taxonomy of Malware Static Analysis Using Machine

Learning
Our extensive literature study as reflected in Table 1 resulted to proposing a

taxonomy for malware static analysis using machine learning as shown in Fig. 5. Our
taxonomy depicts the most common methods for analysis of static characteristics,
extracting and selecting features and utilizing machine learning classification
techniques. Statistical Pattern Recognition process [26] was used as the basis for
our taxonomy modelling.
To get a clear picture on application domain of each machine learning and feature
selection method we analysed reported performance as shown in Fig. 6. Majority
Table 1 Analysis of ML methods applicability for different types of static characteristics
Year Authors Dataset Features FS ML
PE32 header
2016 Cepeda et al. [7] 7630 malware and 1.818 57 features from VirisTotal ChiSqSelector with 9 SVM, RF, NN
goodware features finally
2016 Le-Khac et al. [35] Malicious: 94 ; benign: 620 Control flow change and 2–6 – Naive Bayes
n-grams
2014 Markel et al. [38] Malicious: 122,799, benign: 46 features use python ‘pefile’ – Naive Bayes, logistic
42,003 regression, classification and
regression tree (CART)
2013 Khorsand et al. [29] Benign: 850 “EXE” and 750 Eliminated – Prediction by partial matching
“DLL”; malware: 1600 from
VX heavens
2012 Devi et al. [15] 4075 PE files: 2954 malicious 2 + 5 features – BayesNet, k-NN, SVM,
and 1121 Windows XP SP2 AdaBoostM1, decision table,
benign C4.5, random forest, random
tree
2011 Zhao [84] 3109 PE: 1037 viruses from 24 features from PE files Random forest, decision tree,
Vx heavens and 2072 benign using control flow bagging, C4.5
executable on Win XP Sp3 graph-based on nodes
2011 Ugarte-Pedrero et al. 500 benign from WinXP and 166 structure features of PE InfoGain Learning with local and
[77] 500 non-packed from Vx file global consistency, random
heaven; 500 packed + 500 forest
Zeus
Machine Learning Aided Static Malware Analysis: A Survey and Tutorial
2011 Santos et al. [59] 500 benign and 500 malicious 209 structural features InfoGain Collective forest
from VxHeavens, also packed
and not packed
2009 Tang [76] 361 executables and 449 PE header structural features – Decision tree
normal trojan files
2009 Wang et al. [80] Benign: 1908, malicious: 143 PE header entries InfoGain, gain ratio SVM
7863
21
(continued)
22
Table 1 (continued)
Year Authors Dataset Features FS ML
Bytes n-gram sequences
2011 Jain et al. [27] 1018 malware and 1120 1–8 byte, n-gram, best n-gram – NB, iBK, J48, AdaBoost1,
benign samples by documentwise frequency random forest
2007 Masud et al. [39] 1st set—1435 executables: 500 best n-grams InfoGain SVM
597 of which are benign and
838 are malicious. 2nd
set—2452 executables: 1370
benign and 1082 malicious
2006 Reddy et al. [51] 250 malware vs 250 benign 100–500 best n-gram Document frequency, NB, iBK, decision tree
InfoGain
2004 Kolter et al. [31] 1971 benign, 1651 malicious 500 best n-grams InfoGain Naive Bayes, SVM, C4.5
from Vx heaven
Opcode n-gram sequences
2016 Wang et al. [79] 11,665 malware and 1000 2-tuple opcode sequences Information entropy Density clustering
benign samples
2015 Bragen [6] 992 malwares, 771 benign 1–4 n-gram opcode with Cfs, Chi-sqaured, Random forest, C4.5, Naive
from Windows Vista vocabulary 530–714,390 InfoGain, ReliefF, Bayes, Bayes Net, Baggin,
SymUncert. ANN, SOM, k-nn
2013 Santos et al. [58] 13,189 malware vs 13,000 Top 1000 features InfoGain Random forest, J48, k-nearest
benign neighbours, Bayesian
networks, SVM
2011 Shahzad et al. [62] Benign: 300, malicious: 300 Vocabulary of 1413 with tf-idf ZeroR, ripper, C4.5, SVM,
on Windows XP n-gram=4 Naive Bayes, k-nn
A. Shalaginov et al.
Another random document with
no related content on Scribd:
quiconque verra la fortune lui sourire, et mettra les dix champions à
mort. — »
Les chevaliers demandent à Guidon pourquoi il y a si peu
d’hommes dans le pays, et pourquoi ils sont assujettis aux femmes,
comme celles-ci le sont à leurs maris dans les autres contrées.
Guidon leur dit : « — J’en ai entendu souvent raconter le motif
depuis que je demeure en ces lieux, et puisque cela vous est
agréable, je vais vous le répéter comme je l’ai entendu moi-même.
« A l’époque où les Grecs revinrent de Troie, après vingt années
d’absence — le siège avait duré dix ans, et ils furent pendant dix ans
le jouet des vents contraires — ils trouvèrent que leurs femmes, pour
se consoler des chagrins d’une si longue absence, avaient toutes
pris de jeunes amants, afin, sans doute, de ne point se refroidir dans
leur lit solitaire.
« Les Grecs trouvèrent leurs maisons pleines d’enfants qui
étaient à d’autres qu’à eux. Cependant, d’un commun accord, ils
pardonnèrent à leurs femmes, comprenant bien qu’elles n’avaient pu
jeûner si longtemps. Mais ils résolurent d’expulser les fils de
l’adultère, et de les envoyer chercher fortune ailleurs, ne voulant pas
qu’ils fussent plus longtemps nourris à leurs frais.
« On en exposa une partie ; les autres furent cachés par leurs
mères et conservèrent la vie. Les adultes furent répartis, d’un côté et
d’autre, de différentes façons : les uns furent faits soldats ; les autres
cultivèrent les sciences et les arts ; ceux-ci labourèrent la terre ;
ceux-là prirent du service dans les cours ; d’autres enfin devinrent
pasteurs, selon qu’il plut à Celle qui coordonne tout ici-bas.
« Parmi ceux qui partirent, se trouvait un jeune homme, fils de la
cruelle reine Clytemnestre. Il était âgé de dix-huit ans, et frais
comme un lis ou la rose nouvellement cueillie sur le buisson. Monté
sur un navire armé en guerre, il se mit à parcourir les mers, et se
livra à la piraterie, en compagnie d’une centaine de jouvenceaux de
son âge, choisis dans toute la Grèce.
« Dans le même temps, les Crétois ayant chassé leur roi
Idoménée, à cause de sa cruauté, rassemblaient de tous côtés des
troupes et des armes pour défendre leur nouvelle république. Ils
prirent à leur solde, en le payant largement, Phalante, — c’était le
nom du jeune Grec — ainsi que tous ses compagnons, et leur
confièrent la garde de la ville de Dicthyne.
« Des cent villes remarquables que comptait la Crète, Dicthyne
était la plus riche et la plus plaisante. Les femmes y étaient belles et
amoureuses, et, du matin au soir, la vie s’y passait dans les plaisirs
et les jeux. Comme de tout temps on y avait fait aux étrangers
l’accueil le plus gracieux, les Crétoises ne tardèrent pas à faire de
Phalante et de ses compagnons les maîtres de leurs maisons.
« Ils étaient tous jeunes et bien faits, car Phalante avait choisi la
fleur de la Grèce ; aussi, dès qu’ils apparurent, ils arrachèrent de la
poitrine le cœur de toutes les belles dames. Ayant, par la suite,
montré qu’ils étaient aussi bons et aussi vaillants au lit qu’ils étaient
beaux, ils devinrent si chers à leurs dames, que celles-ci les
préféraient à tout autre bien.
« La guerre, pour laquelle Phalante avait été engagé, étant
terminée, et la solde de guerre n’étant plus payée, les jeunes Grecs
songèrent à quitter une ville où ils n’avaient plus rien à gagner. Ils
éprouvèrent une vive résistance de la part des femmes de Crète, qui
versèrent à cette occasion plus de pleurs que si leurs pères fussent
morts.
« Leurs dames les supplièrent de rester ; mais voyant qu’ils ne
voulaient pas y consentir, elles partirent avec eux, abandonnant
pères, frères et enfants, après avoir emporté de chez elles tout ce
qu’elles purent de pierreries et d’or. Cela se fit si secrètement, que
personne en Crète ne soupçonna leur fuite.
« Le vent fut si propice, et l’heure si bien choisie par Phalante
pour leur fuite, qu’ils étaient déjà très loin, quand on s’aperçut en
Crète du dommage causé par leur fuite. Poussés par le hasard sur
cette plage alors inhabitée, ils s’y arrêtèrent, et y jouirent en sûreté
du fruit de leur rapt.
« Ils s’y livrèrent pendant dix jours à toute l’ardeur des plaisirs
amoureux. Mais, comme il arrive souvent que la satiété amène
l’ennui dans les cœurs juvéniles, ils furent tous d’accord pour vivre
sans femmes et se débarrasser d’une telle charge. Il n’est pas en
effet de fardeau plus lourd que d’avoir sur les bras une femme qui
vous ennuie.
« Pour eux, qui étaient avides de gain et de rapines, et peu
soucieux de faire de grosses dépenses, ils comprirent que pour
subvenir à l’entretien de tant de concubines, il leur fallait autre chose
que leurs arcs et leurs flèches. Aussi, abandonnant là les
malheureuses, ils partirent en emportant leurs trésors, et se
dirigèrent vers la Pouille, où j’ai entendu dire qu’ils bâtirent dans la
suite la ville de Tarente, sur le bord de la mer.
« Les femmes, se voyant trahies par leurs amants en qui elles
avaient la plus grande confiance, restèrent plusieurs jours dans un
tel état d’abattement, qu’elles ressemblaient à des statues immobiles
sur le rivage. Comprenant enfin que les cris et les larmes ne leur
étaient d’aucun secours, elles commencèrent à songer comment
elles sortiraient d’une si malheureuse situation.
« Au milieu d’avis fort divers, quelques-unes disaient qu’il fallait
retourner en Crète, et se soumettre au jugement sévère de leurs
pères et de leurs maris outragés, plutôt que de périr de misère et de
faim sur ces bords déserts et dans ces bois sauvages. D’autres
disaient que, plutôt que de faire cela, il vaudrait mieux se précipiter
dans la mer ;
« Et que ce serait un moindre mal d’errer par le monde en
courtisanes, ou comme mendiantes et esclaves, que d’aller s’offrir
elles-mêmes aux justes châtiments que méritait leur conduite
coupable. C’est ainsi que les infortunées ne savaient à quoi se
résoudre, trouvant toutes les résolutions aussi dures, aussi pénibles
les unes que les autres. Enfin une d’elles, nommée Orontée, et qui
tirait son origine de Minos, se leva.
« Elle était la plus jeune, la plus belle et la plus aimable de toutes
celles qui avaient été amenées là. Elle avait aimé Phalante à qui elle
s’était donnée pucelle, et pour lequel elle avait abandonné son père.
Son visage et son accent révélaient l’indignation dont son cœur
magnanime était enflammé. Repoussant les propositions de ses
compagnes, elle fit prévaloir la sienne.
« Elle fut d’avis qu’il ne fallait pas quitter cette terre dont elles
avaient reconnu la fécondité et la salubrité ; qui était arrosée de
fleuves aux eaux limpides, couverte de forêts épaisses, et dont la
plus grande partie était en plaine. De plus, elle abondait en ports et
en rades naturelles où les étrangers qui transportaient entre l’Afrique
et l’Égypte les divers produits nécessaires à la vie, pouvaient trouver
un asile sûr contre les mauvais temps.
« Il fallait, d’après elle, s’y fixer et tirer vengeance du sexe viril qui
les avait si fort outragées. Elle proposa de mettre à sac, à feu et à
sang tout navire que les vents contraindraient à relâcher dans leur
port, et que pas un seul homme de l’équipage n’aurait la vie sauve.
Ainsi fut proposée, ainsi fut acceptée et mise en usage cette loi
inhumaine.
« Dès qu’elles sentaient approcher la tempête, les femmes
couraient en armes sur le bord de la mer, conduites par l’implacable
Orontée qui leur avait donné des lois et était devenue leur reine.
Elles brûlaient et pillaient les navires poussés sur leurs rivages, ne
laissant pas un homme vivant, qui pût en porter la nouvelle quelque
part.
« Elles vécurent ainsi seules pendant quelques années,
ennemies acharnées du sexe masculin. Mais elles finirent par
s’apercevoir que, si elles ne changeaient pas de manière de
procéder, elles prépareraient leur propre ruine. En effet, en ne se
créant point une postérité, elles arriveraient infailliblement à voir
dans peu de temps leur loi devenir inutile dans leur infécond
royaume, alors qu’elles voulaient au contraire la rendre éternelle.
« Aussi, modérant un peu leur rigueur, elles choisirent, pendant
un espace de quatre années, dix hommes les plus beaux et les plus
vigoureux parmi ceux qu’elles capturèrent, et qu’elles jugèrent aptes
à soutenir la joute amoureuse contre cent femmes qu’elles étaient.
Un mari fut établi pour servir à dix d’entre elles.
« Mais avant d’en arriver là, elles en immolèrent un grand
nombre jugés trop faibles pour cette rude besogne. Enfin, après en
avoir mis dix à l’épreuve, elles leur firent partager leur lit et leur
puissance, à la condition toutefois que, si d’autres hommes plus
vigoureux abordaient dans leur port, ils seraient sans pitié passés au
fil de l’épée.
« Plus tard, devenues grosses, et ayant donné le jour à des fils,
elles en vinrent à craindre qu’il leur naquît tellement d’enfants mâles,
qu’elles ne pussent plus se défendre d’eux, et que l’autorité, qui leur
était si chère, ne finît par retomber aux mains des hommes. Elles
prirent donc leurs mesures, pendant que leurs enfants mâles étaient
encore tout jeunes, pour n’avoir point à redouter dans la suite leur
rébellion.
« Pour que le sexe masculin ne vînt pas un jour à les subjuguer,
elles instituèrent une loi horrible qui ne permettait à chaque mère de
garder qu’un seul enfant mâle. Tous les autres devaient être
étouffés, ou bien échangés et vendus hors du royaume. Ils étaient
envoyés en tous lieux, et ceux à qui on les confiait avaient pour
instructions formelles de rapporter des filles s’ils pouvaient en
trouver en échange, et, dans le cas contraire, de ne pas revenir du
moins les mains vides.
« Elles n’auraient même pas consenti à en garder un seul, si
elles avaient pu conserver leur peuple sans leur concours. Telle était
la pitié, la clémence de ces femmes, qu’elles étaient plus cruelles
envers leurs propres fils qu’envers les étrangers. Ceux-ci
continuèrent à subir le même sort ; seulement la loi fut corrigée en
ceci qu’on ne les tua plus indistinctement comme autrefois.
« S’il en arrivait dix, vingt ou un plus grand nombre à la fois, ils
étaient emprisonnés, et chaque jour l’un d’eux seulement était tiré de
prison pour être immolé dans l’horrible temple qu’Orontée avait fait
élever, et où se trouvait un autel dédié à la Vengeance. Et c’était à
l’un de leurs dix époux désigné par le sort, qu’était réservé le soin de
procéder au cruel sacrifice.
« Un grand nombre d’années après, un jeune homme, qui
descendait du brave Alcide, et de grande valeur sous les armes, fut
jeté sur ces bords inhospitaliers. Il s’appelait Elban. Comme il
s’avançait sans aucune défiance, il fut pris avant même de s’en être
aperçu, et fut enfermé sous bonne garde, dans une étroite prison où
on le garda avec d’autres, pour l’immoler selon l’usage cruel.
« Son visage était si beau et si séduisant, ses manières et sa
tournure si distinguées, son langage si doux et si éloquent, qu’un
aspic lui-même se serait arrêté pour l’écouter ; si bien qu’on en
parla, comme de la chose la plus rare qui fût au monde, à
Alexandra, fille d’Orontée, laquelle, quoique courbée sous le nombre
des années, vivait encore.
« Orontée vivait encore. Toutes celles qui étaient arrivées en ce
pays avec elle étaient mortes ; mais d’autres étaient nées, et en si
grand nombre, que pour chaque dizaine il n’y avait pas même un
mari ; d’autant plus que les dix chevaliers avaient soin de faire aux
arrivants une rude réception.
« Alexandra, désireuse de voir le jouvenceau qu’on lui avait tant
vanté, obtint de sa mère, à force de prières, de voir et d’entendre
Elban. Quand elle le quitta, elle sentit, à l’oppression qui l’étouffait,
qu’elle lui laissait son cœur. Elle se sentit lier sans même essayer de
résister, et se trouva prise par son propre prisonnier.
« Elban lui dit : « — Femme, si la pitié qui règne dans les autres
contrées que le soleil dans sa course vagabonde éclaire et colore,
avait encore quelque pouvoir ici, j’oserais, au nom de la beauté de
votre âme dont tout cœur sensible doit s’énamourer, vous demander
de me conserver une vie que je serais prêt à répandre ensuite à
chaque instant pour vous.
« Mais, puisqu’en ces lieux les cœurs humains sont fermés à la
pitié hors de toute raison, je ne vous demande pas de me laisser la
vie. Je sais bien que mes prières seraient vaines. Je vous demande
seulement la faveur de mourir les armes à la main, comme un
chevalier que je suis, bon ou mauvais, et non comme un coupable
condamné par jugement, ou comme un vil animal voué au sacrifice.
— »
« La gentille Alexandra, émue de pitié pour le jouvenceau, avait
les yeux humides de larmes ; elle répondit : « — Bien que cette
contrée soit plus cruelle que toute autre, je n’admets pas cependant
que toutes les femmes y soient des Médées, comme tu le crois ;
quand bien même elles seraient pis encore, moi seule voudrais faire
exception entre toutes les autres.
« Et si je me suis montrée jusqu’ici impitoyable et cruelle comme
toutes mes compagnes, je puis dire que c’est parce que je n’ai pas
eu l’occasion de faire éclater ma pitié. Mais je serais plus enragée
qu’un tigre, et j’aurais le cœur plus dur qu’un diamant, si ta beauté,
ton courage et ta grâce ne m’avaient enlevé toute ma rudesse.
« Si la loi qui a été établie contre les étrangers n’était pas la plus
forte, je n’hésiterais pas à racheter, au prix de ma mort, ta vie bien
plus méritante que la mienne. Mais il n’est personne ici d’un rang
assez élevé, qui puisse te donner une libre assistance ; et ce que tu
demandes encore, bien que ce soit peu de chose, il sera difficile de
l’obtenir.
« Cependant je verrai à faire que tu l’obtiennes, et que tu aies
cette satisfaction avant de mourir ; mais je crains bien que tu n’en
retires qu’un surcroît de tourments en rendant ton agonie plus
longue. — » Elban répliqua : « — Quand bien même j’aurais à me
mesurer contre dix chevaliers armés de toutes pièces, je me sens un
tel courage, que j’ai le ferme espoir de me sauver et de les tuer tous,
fussent-ils armés de pied en cap. — »
« Alexandra ne répondit à cela que par un profond soupir, et se
retira, emportant au cœur mille aiguillons amoureux, dont les
blessures étaient inguérissables. Elle s’en vint trouver sa mère, et lui
signifia sa volonté de ne pas laisser mourir un chevalier qui
paraissait assez fort pour donner, à lui seul, la mort à dix autres.
« La reine Orontée fit rassembler son conseil, et dit : « — Il nous
importe de confier la garde de notre port et de nos rivages au
meilleur champion que nous puissions trouver. Pour connaître celui
que nous devrons choisir, il faut que nous l’éprouvions à son arrivée,
afin de ne pas, à notre grand détriment, donner le pouvoir à un
lâche, et mettre un vaillant à mort.
« Je demande, si cela vous paraît bon comme à moi, qu’à l’avenir
tout chevalier que la fortune aura poussé sur notre rivage, puisse, s’il
le veut, au lieu d’être immolé tout d’abord, combattre contre nos dix
champions. S’il est assez fort pour les vaincre tous, il aura la garde
du port et de la population.
« Je parle ainsi parce que nous avons en ce moment un
prisonnier qui, paraît-il, s’offre à vaincre dix adversaires. Si, à lui
seul, il vaut plus que les dix autres, il est très juste, par Dieu, qu’on
lui accorde sa demande. Dans le cas contraire, il recevra une juste
punition de sa témérité. — » Orontée cessa alors de parler, et ce fut
une des plus anciennes qui lui répondit.
« — La principale raison qui nous poussa à recourir au
commerce des hommes ne fut pas la défense de ce royaume ; nous
n’aurions pas eu besoin pour cela de leur concours, car nous
aurions très bien pu suffire à nous protéger nous-mêmes, et nous
saurions encore le faire si nous ne craignions pas de voir notre
postérité s’éteindre un jour.
« C’est parce que nous ne pouvions pas avoir de postérité sans
leur concours, que nous les avons admis à nos côtés, mais à la
condition qu’ils ne seraient jamais plus d’un contre dix d’entre nous,
afin qu’ils ne pussent nous dominer. Nous avons fait cela pour avoir
d’eux des enfants, et non pour le besoin de notre défense. Leur
vaillance ne servirait à rien pour ce qu’ils ont à faire, et nous serait
dangereuse ou inutile pour le reste.
« Avoir au milieu de nous un homme si puissant, est entièrement
contraire à notre but principal. S’il peut, à lui seul, donner la mort à
dix hommes, combien de femmes ne fera-t-il pas taire d’un signe ?
Si nos dix champions avaient été aussi forts, ils nous auraient enlevé
le pouvoir dès le premier jour. Ce n’est pas un bon moyen de
conserver le pouvoir que de donner des armes à plus forts que nous.
« Songe aussi que si la fortune est assez favorable à ton
prisonnier pour qu’il tue ses dix adversaires, tu auras à supporter les
cris et les reproches des cent femmes qui resteront privées de leurs
maris. S’il veut échapper à la mort, qu’il fasse une autre proposition
que celle de tuer dix jeunes hommes. Si par exemple, il peut faire
auprès de cent femmes ce que feraient dix autres hommes, alors
qu’on l’épargne ! — »
« Tel fut l’avis de la cruelle Artémise — elle se nommait ainsi —
et elle faillit être cause qu’Elban fût conservé pour être immolé dans
le temple aux divinités impitoyables. Mais Orontée, qui voulait en
bonne mère complaire à sa fille, lui répliqua par de nouvelles
raisons, et finit par faire prévaloir son avis dans le Sénat.
« La réputation qu’avait Elban de surpasser en beauté tous les
chevaliers du monde, fut d’un tel poids sur l’esprit des jeunes
femmes qui faisaient partie du Conseil, qu’elle fit repousser l’opinion
des vieilles qui, ainsi qu’Artémise, voulaient appliquer l’ancienne loi.
Il s’en fallut même de peu qu’Elban fût délivré sans subir d’épreuve.
« En somme, on convint de lui faire grâce, mais après qu’il aurait
tué en champ clos les dix champions, et qu’il aurait triomphé, dans
un assaut d’un autre genre, de dix femmes, selon la coutume, et non
de cent. Le lendemain il fut tiré de prison ; on lui donna à choisir des
armes et un cheval, et on le mit seul en présence de dix guerriers. Il
les tua tous sur place l’un après l’autre.
« La nuit suivante, il subit, seul et nu, l’épreuve des dix donzelles,
et son audace eut un tel succès, qu’il put faire l’essai de toutes les
dix. Cette prouesse lui acquit tellement les faveurs d’Orontée, qu’elle
le prit pour gendre et lui donna Alexandra, ainsi que les neuf autres
femmes avec lesquelles il avait fait ses preuves nocturnes.
« Elle laissa ensuite en héritage à lui et à la belle Alexandra,
cette ville à laquelle celle-ci donna son nom, en lui imposant, ainsi
qu’à tous ses successeurs, l’obligation de faire observer la loi
suivante : tout étranger à qui sa mauvaise étoile ferait porter sur ces
bords un pied aventureux, aurait le choix ou de se donner en
sacrifice, ou de se mesurer, seul, contre dix guerriers.
« Et s’il advenait qu’il mît à mort les hommes, il devrait, la nuit
suivante, subir l’épreuve des femmes. Si la fortune lui souriait encore
assez pour lui permettre de sortir vainqueur de cette dernière lutte, il
deviendrait le roi et le chef de cette nation de femmes, et en
choisirait dix à son gré, avec lesquelles il régnerait, jusqu’à ce qu’un
nouvel arrivant plus fort réussît à lui ôter la vie.
« Pendant deux mille ans, cette coutume impitoyable s’est
maintenue, et elle se maintient encore ; peu de jours se passent
sans qu’un malheureux voyageur soit égorgé dans le temple. Si
quelqu’un, à l’exemple d’Elban, demande à combattre — et il s’en
trouve quelquefois — il perd la plupart du temps la vie dans le
premier assaut, et sur mille, pas un ne surmonte la deuxième
épreuve.
« Quelques-uns cependant la surmontent, mais ils sont si rares,
qu’on pourrait les compter sur les doigts. Argilon fut un de ceux-là ;
mais il ne resta pas roi longtemps à la tête de sa dizaine, car les
vents contraires m’ayant poussé ici, je lui fermai les yeux d’un
éternel sommeil. Que ne suis-je mort avec lui ce jour-là, plutôt que
de vivre esclave dans une telle honte !
« Les plaisirs amoureux, les ris et les jeux que tous les jeunes
hommes de mon âge aiment tant ; la pourpre, les pierreries, et le
rang suprême dans son pays, n’ont, par Dieu ! jamais pu contenter
un homme privé de sa liberté. Quant à moi, ne pouvoir pas m’en
aller d’ici, me paraît une servitude lourde et intolérable.
« L’idée que la plus belle fleur de mes meilleures années se
consume dans une tâche si vile et si efféminée, tient mon cœur en
un continuel émoi, et m’enlève tout sentiment du plaisir. La
renommée de ma famille déploie ses ailes sur le monde entier et
s’envole jusqu’aux cieux. Peut-être en aurais-je aussi ma bonne
part, si je pouvais rejoindre mes frères.
« Il me semble que le destin m’a fait injure en me choisissant
pour un si vil service. C’est ainsi que, dans le troupeau, on rejette
avec dédain le destrier qui a un défaut à l’œil ou au pied, ou qu’un
accident a rendu impropre aux combats ou à un meilleur usage.
N’espérant pas sortir d’un si honteux esclavage autrement que par la
mort, je désire mourir. — »
Guidon termine ici son récit, et dans son indignation, il maudit le
jour où sa victoire sur les dix chevaliers et sur les dix femmes lui
acquit le trône. Pendant ce temps, Astolphe s’était contenté
d’écouter, sans se faire connaître, jusqu’à ce qu’il fût certain, à plus
d’un signe, que Guidon était bien, comme il l’avait dit, le fils de son
parent Aymon.
Puis il lui répondit : « — Je suis le duc d’Angleterre, ton cousin
Astolphe. — » Et le prenant dans ses bras, il l’embrassa avec
amour et courtoisie, non sans répandre des larmes. « — Mon cher
parent — ajouta-t-il — ta mère n’avait pas besoin de te mettre
d’autre signe au cou pour nous faire voir que tu es des nôtres ; il te
suffit de montrer ta vaillance avec ton épée. — »
Guidon, qui dans un autre moment se serait fort réjoui de
retrouver un si proche parent, l’accueille le visage triste, et sa vue lui
fait éprouver de la douleur. Il sait que, dès le lendemain même pour
tout délai, il ne peut conserver la vie qu’en rendant Astolphe esclave,
et que si Astolphe reste libre, lui-même doit mourir ; de sorte que le
bonheur de l’un doit causer infailliblement le malheur de l’autre.
Il est aussi douloureusement affligé d’avoir à réduire, par sa
victoire, les autres chevaliers en esclavage, d’autant plus que sa
mort même ne les ferait pas échapper à la servitude ; car Marphise,
après avoir surmonté la première épreuve, doit succomber dans la
seconde ; elle aura donc vaincu sans aucun profit ; ils n’en
deviendront pas moins esclaves, et elle sera mise à mort.
D’un autre côté, l’extrême jeunesse, la courtoisie et la vaillance
du jeune chevalier ont tellement touché de pitié et d’affection le cœur
de Marphise et de ses compagnons, qu’il semble qu’ils auraient
presque du regret de devoir leur liberté à sa mort. Si Marphise ne
peut se dispenser de le tuer, elle veut mourir, elle aussi.
Elle dit à Guidon : « — Viens avec nous, et nous sortirons d’ici
de vive force. — » « — Hélas ! — répondit Guidon — laisse tout
espoir de t’échapper jamais, et résous-toi à vaincre ou à périr de ma
main. — » Elle répliqua : « — Jamais mon cœur n’a tremblé pour
achever ce que j’ai entrepris, et je ne connais pas de route plus sûre
que celle que m’ouvre mon épée.
« J’ai tellement éprouvé ta valeur sur le champ de bataille, que si
tu es avec nous, je ne recule devant aucune tentative. Quand la
foule sera demain assise tout autour de la lice, je veux que nous
massacrions toutes ces femmes, qu’elles prennent la fuite, ou
qu’elles cherchent à se défendre, et que nous abandonnions leurs
corps aux loups et aux vautours de ce pays. Quant à la ville, nous y
mettrons le feu. — »
Guidon lui répondit : « — Je serai prompt à te suivre et à mourir
à tes côtés. Mais n’espérons pas sortir de là vivants ; qu’il nous
suffise de venger le plus possible notre mort, car plus de dix mille
femmes seront présentes sur la place, et autant resteront à la garde
du port, des remparts et de la ville. Je ne vois aucun chemin sûr par
où nous échapper. — »
Marphise dit : « — Seraient-elles plus nombreuses que les
soldats que Xerxès eut jadis autour de lui, plus nombreuses que les
anges rebelles qui, à leur éternelle honte, furent chassés du ciel, si
tu es avec moi, ou si, du moins, tu n’es pas avec elles, je prétends
les occire toutes en un jour. — » Guidon reprit : « — Je ne connais
pas de moyen pour tenter de nous ouvrir un chemin, sinon un.
« Un seul peut nous sauver s’il réussit, et je vais vous le dire
maintenant qu’il m’en souvient. Hors les femmes, il n’est permis à
personne de sortir et de se promener sur le rivage. Pour cette
raison, il faut que je me confie à la fidélité d’une de mes épouses qui
m’a souvent donné de son profond amour de plus fortes preuves
que celle que je lui demanderai aujourd’hui.
« Non moins que moi, elle désire se soustraire à cette servitude
pour me suivre ; car elle espère, une fois débarrassée de ses rivales,
vivre seule avec moi. Elle fera, pendant que l’obscurité règne
encore, préparer dans le port une fuste ou un brigantin que vos
matelots trouveront tout disposé pour partir, dès qu’ils y seront
arrivés.
« Derrière moi, vous tous, chevaliers, marchands et matelots, qui
avez été forcés malgré vous de recevoir l’hospitalité sous mon toit,
vous aurez à vous frayer un large sentier avec vos poitrines dans le
cas où le chemin nous serait intercepté. Ainsi j’espère, avec l’aide de
nos épées, vous tirer de la cruelle cité. — »
« — Fais comme bon te semble, — dit Marphise ; — pour moi, je
suis sûre de sortir par ma propre énergie. Il m’est plus facile d’occire
de ma main tous ceux qui sont dans ces murs, que de fuir ou de
donner le moindre signe de crainte. Je veux sortir en plein jour, et
par la seule force des armes, car tout autre moyen me paraît
honteux.
« Je sais que, si l’on savait que je suis une femme, je serais
comblée ici d’honneurs et de récompenses, et qu’on m’y donnerait
volontiers une des premières places dans le Conseil ; mais étant
venue avec ceux-ci, je n’entends pas jouir de plus de privilèges
qu’eux. Ce serait une trop grande lâcheté que de rester libre ici, ou
de m’en aller libre, laissant les autres dans l’esclavage. — »
Ces paroles, et d’autres encore qui suivirent, montraient que la
seule crainte d’augmenter le péril que couraient ses compagnons —
son trop d’ardeur pouvait en effet tourner à leur détriment —
empêchait Marphise d’attaquer de vive force la multitude. Aussi, elle
laissa à Guidon le soin d’employer le moyen qui lui paraîtrait le plus
sûr.
Guidon profita de la nuit pour parler à Aléria — c’était le nom de
son épouse la plus fidèle — et il n’eut pas besoin de la prier
longtemps, car il la trouva toute disposée à exécuter ses ordres. Elle
choisit un navire, le fit armer, et y fit transporter ses richesses les
plus précieuses, feignant de vouloir, au lever de l’aurore, partir en
course avec ses compagnes.
Elle avait auparavant fait préparer dans le palais des épées, des
lances, des cuirasses et des boucliers, avec lesquels les marchands
pussent s’armer, ainsi que les matelots qui étaient à moitié nus. Les
uns dormirent, les autres restèrent à veiller, répartissant ainsi entre
eux le repos et la garde. Attentifs, et les armes au dos, ils
regardaient souvent si l’Orient ne rougissait pas encore.
Le soleil n’avait pas encore soulevé le voile obscur et épais qui
recouvrait la terre, et la fille de Lycaon avait à peine fait disparaître
sa charrue des champs du ciel [13] , lorsque la foule des femmes, qui
voulait voir la fin du combat, remplit l’amphithéâtre, comme les
abeilles qui s’accumulent à l’entrée de leur ruche, lorsqu’au
printemps elles veulent changer de demeure.
La population fait résonner le ciel et la terre du son des
trompettes, des tambours et des cornes, comme si elle voulait avertir
son prince de venir terminer la bataille commencée la veille. Aquilant
et Griffon étaient déjà couverts de leurs armes, ainsi que le duc
d’Angleterre, Guidon, Marphise, Sansonnet et tous les autres, qui à
pied, qui à cheval, instruits de ce qu’ils devaient faire.
« — Pour descendre du palais à la mer et au port, il faut
traverser la place ; il n’y a pas d’autre chemin, soit plus long, soit
plus court. — » Ainsi parla Guidon à ses compagnons, et après les
avoir engagés à agir vigoureusement, il se mit en silence à leur tête,
et entra sur la place où était la population, avec une troupe de plus
de cent hommes.
Guidon, pressant ses compagnons, allait droit à l’autre porte pour
sortir ; mais l’immense multitude qui l’entourait toute armée, et toute
prête à frapper, comprit, en le voyant suivi de tant de gens, qu’il
voulait fuir. Les femmes saisirent sur le champ leurs arcs et vinrent
s’opposer à sa sortie.
Guidon et les autres vaillants chevaliers, et par-dessus tous la
terrible Marphise, ne furent point lents à jouer des mains, et firent de
grands efforts pour forcer les portes. Mais la quantité de flèches qui
pleuvaient sur eux de toutes parts, blessant ou tuant plusieurs de
leurs compagnons, leur fit redouter à la fin de n’en retirer que du
dommage et de la honte.
Si les hauberts des guerriers n’avaient point été aussi parfaits, ils
avaient tout à craindre. Sansonnet eut son destrier tué sous lui ;
celui de Marphise resta aussi sur place. Astolphe se dit alors à lui-
même : « — Or, qu’attends-je, et mon cor pourra-t-il jamais m’être
plus utile ? Je vais voir, puisque nous ne pouvons le faire par l’épée,
si je saurai avec mon cor ouvrir une voie sûre. — »
Alors, comme il a l’habitude de faire dans les périls extrêmes, il
porte le cor à sa bouche. Il semble que la terre et tout l’univers
tremblent lorsque l’horrible son vient à frapper l’air. La terreur
s’empare tellement du cœur de la foule, que, pour fuir, elle se
précipite en bas de l’amphithéâtre, affolée et pâle comme la mort, et
abandonne la garde des portes.
De même qu’on voit se jeter d’une fenêtre ou d’un lieu élevé, une
famille surprise par le feu dont elle se voit entourée de tous côtés, et
qui, pendant que la famille dormait, a crû peu à peu ; ainsi, oubliant
le soin de leur vie, toutes les femmes fuyaient le son épouvantable.
Deçà, delà, en haut, en bas, la foule court éperdue, et se hâte de
fuir. Elles s’entassent plus de mille à chaque porte. Elles tombent par
monceaux, et s’embarrassent les unes les autres. Beaucoup perdent
la vie au milieu d’une telle précipitation ; d’autres s’élancent des
balcons et des fenêtres ; plus d’un bras et plus d’une tête sont
rompus ; les unes se tuent du coup, les autres restent estropiées.
Les pleurs et les cris montent ensemble vers le ciel, mêlés au
fracas des ruines. Partout où le son du cor arrive, la foule
épouvantée accélère sa fuite. Si vous m’entendez dire que la vile
plèbe manque en cette circonstance de courage et qu’elle montre
peu de cœur, ne vous en étonnez pas ; la nature du lièvre est d’avoir
toujours peur.
Mais que direz-vous de Marphise jusque-là si fière, de Guidon le
Sauvage, des deux fils d’Olivier qui ont déjà tant honoré leur race ?
Jusqu’ici, ils ont toujours estimé cent mille adversaires autant qu’un
zéro ; et maintenant, ils fuient sans le moindre courage, comme des
lapins ou de timides colombes qui ont entendu retentir près d’eux
une grande rumeur.
Ainsi le cor enchanté faisait sentir son pouvoir néfaste aux amis
comme aux ennemis. Sansonnet, Guidon et les deux frères fuient
derrière Marphise épouvantée, et ils ne peuvent fuir assez loin pour
que leur oreille ne soit pas étourdie. Astolphe parcourt la ville de
tous côtés, soufflant de plus en plus dans le cor.
Toutes fuient : les unes descendent vers le port, les autres
gagnent la montagne ; d’autres courent se cacher dans les bois.
Quelques-unes, sans se retourner, fuient pendant dix jours. Un
grand nombre s’avancent tellement hors du port, qu’elles périssent
dans les flots. Elles abandonnent à tel point les places, les temples
et les maisons, que la ville semble vide.
Marphise, le brave Guidon, les deux frères et Sansonnet, pâles
et tremblants, fuyaient vers la mer ; derrière eux, fuyaient les
matelots et les marchands. Ils trouvèrent Aléria qui, entre les deux
châteaux forts, leur avait préparé un navire. Après s’y être réunis en
toute hâte, ils firent force de rames et déployèrent toutes les voiles.
Le duc avait parcouru la cité, à l’intérieur et à l’extérieur depuis
les collines jusqu’à la mer ; partout il avait fait déserter les lieux ;
chacun le fuyait, chacun se cachait à son approche. On en trouva un
grand nombre qui, par lâcheté, s’étaient blotties dans des endroits
secrets et immondes ; beaucoup d’autres, ne sachant où aller,
s’étaient jetées à la nage et se noyèrent.
Le duc vient alors pour rejoindre ses compagnons qu’il croit
retrouver sur le môle. Il regarde tout autour de lui sur la plage
déserte, et n’en voit pas un seul. Il lève enfin les yeux, et les aperçoit
qui s’éloignent à pleines voiles. Alors il est obligé de choisir une
autre voie, puisque le navire qui devait l’emmener est parti.
Mais laissons-le aller. Ne vous inquiétez pas du long chemin qu’il
a à parcourir seul sur la terre des infidèles et des barbares, où l’on
ne marche jamais sans crainte. Il n’est pas de péril dont il ne puisse
sortir grâce à son cor, et nous venons de le voir. Occupons-nous de
ses compagnons qui fuient sur mer, tout tremblants de peur.
Ils s’éloignent à pleines voiles de la plage cruelle et arrosée de
sang. Lorsqu’ils sont assez loin pour que le son du cor ne puisse
plus les épouvanter, une vergogne à laquelle ils ne sont point
habitués les saisit, et leur visage se colore comme du feu. Ils n’osent
se regarder les uns les autres, et se tiennent tristes, sans parler, les
regards baissés.
Cependant le pilote, poursuivant sa route, dépasse Chypre et
Rhodes, s’engage dans la mer Égée, où il voit fuir cent îles diverses,
double le cap périlleux de Malée, et poussé par un vent propice qui
ne cesse de souffler, il découvre la Morée de Grèce. Puis il
contourne la Sicile, entre dans la mer Tyrrhénienne, et côtoie les
rivages riants d’Italie.
Il aborde enfin heureusement à Luna où il avait laissé sa famille,
rendant grâces à Dieu de ce qu’il a pu parcourir la mer sans de plus
grands malheurs, et de ce qu’il a pu gagner le rivage connu. Là les
chevaliers trouvent un pilote prêt à partir pour la France et qui les
engage à venir avec lui ; ils s’embarquent sur son navire, et arrivent
en peu de temps à Marseille.
Bradamante, qui gouvernait le pays, en était alors absente. Si
elle s’y fût trouvée, elle les aurait forcés, par ses paroles courtoises,
à séjourner auprès d’elle. Dès qu’ils furent débarqués, Marphise prit
congé des quatre chevaliers et de la femme de Guidon le Sauvage,
et continua sa route à l’aventure,
Disant que ce n’était pas chose louable que tant de chevaliers
allassent ensemble ; que les étourneaux et les colombes allaient en
troupes, ainsi que les daims, les cerfs et tous les animaux sujets à la
peur, mais que l’audacieux faucon et l’aigle altier, qui n’ont besoin de
l’aide de personne, les ours, les tigres, les lions allaient seuls, sans
craindre de trouver plus fort qu’eux.
Aucun de ses compagnons ne partageant son avis, elle partit
donc seule, poursuivant sa route à travers les bois et les sentiers
inconnus. Griffon le Blanc et Aquilant le Noir prirent avec les autres
la voie la plus fréquentée, et arrivèrent le jour suivant à un château
où ils furent très courtoisement hébergés.
Je dis courtoisement en apparence, car ils ne tardèrent pas à
éprouver un tout autre traitement. Le seigneur du château, qui les
avait tout d’abord reçus en feignant une grande courtoisie, les fit
saisir dans leur lit, la nuit venue, et pendant qu’ils dormaient sans
défiance. Il ne leur rendit la liberté qu’après leur avoir fait jurer
d’observer une infâme coutume.
Mais, seigneur, avant de vous parler davantage d’eux, je veux
suivre la belliqueuse dame. Elle passa la Durance, le Rhône et la
Saône et arriva au pied d’une montagne dénudée. Là, le long d’un
torrent, elle vit venir une vieille femme habillée de noir, qui paraissait
fatiguée et lasse d’une longue route, mais surtout accablée de
mélancolie.
C’était la vieille qui servait les malandrins dans la caverne où la
justice conduisit, pour lui donner la mort, le comte paladin. La vieille
qui craignait de mourir à cause des comptes qu’elle aurait à rendre
après sa mort, fuyait depuis plusieurs jours par les chemins obscurs
et détournés de peur de rencontrer quelqu’un qui la reconnût.
Jugeant aux vêtements et aux armes de Marphise que c’est un
chevalier étranger, elle ne s’enfuit pas à sa vue, comme elle avait
l’habitude de faire quand elle se trouvait sur le passage de gens du
pays. S’arrêtant au contraire avec assurance et hardiesse, elle
l’attend de loin au passage du gué. Dès que Marphise est arrivée au
gué du torrent, la vieille s’avance à sa rencontre et la salue.
Puis elle la prie de la prendre en croupe et de la porter sur l’autre
rive. Marphise, qui fut courtoise dès le jour où elle naquit, lui fait
passer le ruisseau avec elle, et la porte encore un bout de chemin,
jusqu’à ce qu’elle puisse la déposer sur une meilleure route, hors de
ce marécage. Au bout du sentier, elles virent un chevalier qui venait
à leur rencontre.
Le chevalier, monté sur un destrier richement caparaçonné,
couvert d’armes brillantes et de vêtements brodés, s’en venait vers
le ruisseau, accompagné d’une damoiselle et d’un seul écuyer. La
damoiselle qu’il avait avec lui était fort belle, mais son air était
hautain et peu gracieux. Elle semblait remplie d’orgueil et de
morgue, et tout à fait digne du chevalier qui l’escortait.
Ce chevalier était Pinabel, l’un des comtes mayençais, le même
qui, quelques mois auparavant, avait précipité Bradamante dans la
caverne. Les soupirs, les sanglots, les gémissements qui faillirent, à
cette époque, le rendre aveugle, avaient pour objet la femme qu’il
avait maintenant près de lui, et qui était alors retenue prisonnière par
le nécromant.
Mais quand le château enchanté du vieil Atlante eut disparu de la
colline, et que, grâce au courage de Bradamante, chacun de ceux
qu’il renfermait put aller où il voulait, celle-ci, qui avait toujours été
au-devant des désirs de Pinabel, retourna vers lui ; et maintenant
elle s’en allait en sa compagnie d’un château à l’autre.
Et, comme elle était méchante et mal élevée, elle ne put se
retenir, dès qu’elle vit la vieille qui était avec Marphise, de la
poursuivre à mi-voix de railleries et de rires moqueurs. L’altière
Marphise, qui ne souffrait pas qu’on lui fît impunément outrage, de
quelque façon que ce fût, répliqua avec colère à la donzelle que la
vieille était plus belle qu’elle,
Et qu’elle allait le prouver à son chevalier, auquel elle imposerait
l’obligation de lui faire quitter sa belle robe et son palefroi, si elle le
jetait à bas de son cheval. Pinabel comprenant qu’il ne peut garder
le silence sans commettre une faute, s’apprête à répondre les armes
à la main. Il saisit son écu et sa lance, fait prendre du champ à son
destrier, puis se précipite avec colère sur Marphise.
Marphise vient à sa rencontre, sa grande lance en arrêt ; elle vise
Pinabel à la visière et le jette à terre tellement étourdi, qu’il fut plus
d’une heure à relever la tête. Marphise, victorieuse, fait quitter à la
jeune dame ses vêtements et toutes ses parures, et en fait aussitôt
revêtir la vieille.
Elle lui fait revêtir ces jeunes et riches vêtements, et la fait
monter sur le palefroi qui avait amené la donzelle jusque-là. Puis elle
reprend sa route, suivie de la vieille qui paraissait d’autant plus laide
qu’elle était plus parée. Elles marchèrent trois jours, faisant un long
chemin, sans qu’il leur arrivât rien que j’aie à noter.
Le quatrième jour, elles rencontrèrent un chevalier qui s’en venait
seul au galop de son cheval. Si vous désirez savoir qui c’était, je
vous dirai que c’était Zerbin, fils du roi d’Écosse, modèle de courage
et de beauté, qui s’en revenait plein de colère et de chagrin de
n’avoir pas tiré vengeance de celui qui l’avait empêché de faire un
acte de courtoisie et de générosité.
Zerbin avait en vain parcouru la forêt à la poursuite de celui qui
lui avait fait cet outrage, mais ce dernier s’était échappé assez à
temps pour avoir une grande avance. A la faveur du bois et d’un
brouillard épais qui avait voilé les rayons d’un soleil matinal, il avait
pu éviter la main redoutable de Zerbin, jusqu’à ce que la colère et la
fureur lui fussent sorties du cœur.
Bien qu’encore enflammé de colère, Zerbin ne put s’empêcher de
rire, en voyant la vieille, dont la figure ridée faisait un contraste
bizarre avec les vêtements de jeune fille qu’elle portait. S’adressant
à Marphise qui chevauchait à côté d’elle, il dit : « — Guerrier, tu es
plein de prudence, car tu as choisi, pour t’escorter, une damoiselle
de prestance telle que tu n’as pas à craindre de rencontrer âme qui
te l’envie. — »
La vieille, autant qu’on pouvait en juger par sa peau ridée, était
plus âgée que la Sibylle, et ressemblait, ainsi parée, à une guenon
qu’on aurait habillée pour se divertir. La colère qui brillait dans ses
yeux la faisait paraître encore plus laide. La plus grande injure que
l’on puisse faire à une femme, c’est de la traiter de vieille ou de
laide.
Marphise, qui prenait plaisir à ce jeu, feignit de s’indigner, et
répondit à Zerbin : « — Par Dieu, ma dame est plus belle que tu
n’es courtois. Mais je crois que tes paroles ne rendent pas
exactement ta pensée ; tu feins de ne pas reconnaître sa beauté
pour excuser ton extrême lâcheté.
« Est-il un chevalier qui, venant à rencontrer, dans la forêt et
seule, une dame si jeune et si belle, ne voulût la posséder ? — » «
— Elle te convient si bien — dit Zerbin — que ce serait mal de te
l’enlever. Pour moi, je ne serai pas assez indiscret pour jamais t’en
priver. Jouis-en donc.
« Si, pour un autre motif, tu veux éprouver ce que je vaux, je suis
prêt à te le montrer ; mais ne me crois pas assez aveugle pour que
je consente à rompre une seule lance pour elle. Qu’elle soit laide ou

Textbook Cyber Threat Intelligence Ali Dehghantanha Ebook All Chapter PDF

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Textbook Cyber Threat Intelligence Ali Dehghantanha Ebook All Chapter PDF

Uploaded by

Copyright:

Available Formats

Cyber Threat Intelligence Ali

Cyber Security for Cyber Physical Systems 1st Edition

The Threat Intelligence Handbook Second Edition Zane

Ransomware Revolution: The Rise Of A Prodigious Cyber

Cyber Security Intelligence and Analytics Zheng Xu

Practical Threat Intelligence and Data-Driven Threat

2020 International Conference on Applications and

Cyber Physical Social Intelligence On Human Machine

Transdisciplinary Perspectives on Risk Management and

Cyber Threat Intelligence

Library of Congress Control Number: 2018940162

© Springer International Publishing AG, part of Springer Nature 2018

Printed on acid-free paper

Cyber Threat Intelligence: Challenges and Opportunities . . . . . . . . . . . . . . . . . . 1

PDF-Malware Detection: A Survey and Taxonomy

Mauro Conti, Tooska Dargahi, and Ali Dehghantanha

Keywords Cyber threat intelligence · Indicators of attack · Indicators of

© Springer International Publishing AG, part of Springer Nature 2018 1

1.1 Cyber Threat Intelligence Challenges

As a matter of fact, cybercriminals adopt several methods to attack a victim in order

1.1.1 Attack Vector Reconnaissance

An important challenge in defending against cyber attacks, is recognizing the point

behaviours, which have infected tens of hundreds of individuals, organizations and

1.1.2 Attack Indicator Reconnaissance

1.2 Cyber Threat Intelligence Opportunities

2 A Brief Review of the Book Chapters

processes, as well as combination of tools and techniques to perceive, reason, learn

Andrii Shalaginov, Sergii Banin, Ali Dehghantanha, and Katrin Franke

Keywords Machine learning · Malware · Static analysis · Artificial intelligence

A. Shalaginov · S. Banin · K. Franke

© Springer International Publishing AG, part of Springer Nature 2018 7

2 An Overview of Machine Learning-Aided Static

This section provides an analysis of detectable static properties of 32 bit PE malware

2.1 Static Characteristics of PE Files

2.2 Machine Learning Methods Used for Static-Based

Exploring large amounts of binary files consists of statistical features may be

where P (Ck ) is a prior probability of class Ck , k = 1, . . . , m0 which is calcu-

Dropping the mathematical operations we get final version of Eq. (1):

ŷ = argmax P (Ck )P (V |Ck ). (4)

Bayesian Networks is a probabilistic directed acyclic graphical model (some-

Algorithm 1 Calculating P (Ck |V )—conditional probability of class Ck with V

to another vertex B exists then B is ancestor of A, and A is a predecessor of B.

∀Vi ∈ V ⇒ P (vi |pai , s) = P (vi |pai ) (5)

where vi is a value of Vi , S—set of all vertexes that are not ancestors of Vi , s—

Fig. 2 Bayesian network suitable for malware classification [58]

2.2.2 Rule Based

Algorithm 2 Decision tree making algorithm

2.2.3 Distance Based

Fig. 3 Maximum margin

which can be represented as D = {(xi , yi ) | xi ∈ Rp , yi ∈ {−1, 1}}ni=1 . Where yi

Sometimes there is a need to allow an algorithm to work with misclassified data

2.2.4 Neural Networks

Fig. 4 Artificial neural network [32]

Algorithm 3 ANN training

2.2.5 Open Source and Freely Available ML Tools

Weka or Waikato Environment for Knowledge Analysis is a popular, free, cross

2.2.6 Feature Selection and Construction Process

2.3 Taxonomy of Malware Static Analysis Using Machine

Our extensive literature study as reflected in Table 1 resulted to proposing a

You might also like