Onderzoekers hebben een nieuwe methode ontwikkeld om nauwkeurig in kaart te brengen wat er gebeurt nadat een computer is geïnfecteerd met malware. Waar traditionele beveiligingssoftware zich vaak richt op het blokkeren van bestanden vóór de uitvoering, focust dit nieuwe onderzoek zich op het gedrag van de software tijdens en na de infectie.
In een recent wetenschappelijk artikel, dat werd ingediend op 2 november 2026, presenteren Emmanuela Andam, Emanuel S. Grant en Naima Kaabouch een empirische analyse van het gedrag van malware na de infectie. Het onderzoek, getiteld "What Malware Actually Does: An Empirical Analysis of Post-Infection Behavior Across Malware Families", is geaccepteerd voor het Cyber Awareness and Research Symposium (CARS) van 2026. Volgens de publicatie op arxiv.org is er in de huidige cybersecurity-sector relatief weinig aandacht voor de fase nadat een kwaadaardig bestand reeds is uitgevoerd.
Focus op gedragsanalyse
De onderzoekers analyseerden het gedrag van 37 verschillende malwarefamilies. Om dit te bereiken maakten zij gebruik van dynamische uitvoering in een sandbox-omgeving via CAPEv2. In plaats van te vertrouwen op eenvoudige kenmerken, modelleerden zij de gedragssporen als zogenaamde 'heterogene grafen'. Deze grafen bevatten vijf verschillende soorten knooppunten en zeven specifieke relaties, waardoor de structurele samenhang van de acties van de malware behouden blijft.
De resultaten van deze aanpak zijn significant. Een getraind 'voting ensemble' op basis van deze structurele kenmerken behaalde een nauwkeurigheid van 94,44%. Bovendien presteerde dit model aanzienlijk beter dan een traditionele baseline voor gedragsanalyse, met een verbetering van 7,4 procentpunten in de Matthews Correlation Coefficient (MCC), zoals beschreven in de .
Vingerafdrukken en AI-rapportage
Het onderzoek beperkte zich niet tot detectie, maar ging over tot karakterisering. Er werd een multiclass-classifier ontwikkeld die in staat is om 24 verschillende malwarefamilies van elkaar te onderscheiden. Door middel van een analyse van 'gedragsvingerafdrukken' konden de onderzoekers specifiek vaststellen hoe verschillende families opereren op vier dimensies:
* Het register van het besturingssysteem;
* Netwerkactiviteiten;
* Procesbeheer;
* API-aanroepen.
Om deze complexe data toegankelijk te maken voor menselijke analisten, is er een verklarende laag toegevoegd op basis van een Large Language Model (LLM). Deze laag genereert rapporten die direct gekoppeld zijn aan het MITRE ATT&CK-raamwerk, waardoor beveiligingsexperts precies kunnen zien welke tactieken de malware hanteert. De volledige implementatie van deze pijplijn is beschikbaar onder de naam 'HeteroScan', meldt .
Context van malwarebedreigingen
De noodzaak voor dit type onderzoek wordt onderstreept door de diversiteit aan digitale dreigingen. Malware is een verzamelnaam voor software die specifiek is ontworpen om apparaten te beschadigen of te compromitteren. Zoals uitgelegd door malwarebytes.com, vallen hieronder diverse categorieën zoals ransomware, spyware, virussen en worms.
De complexiteit van moderne aanvallen wordt verder bevestigd door de uitgebreide taxonomie van cyberdreigingen bij ibcom, waar onderscheid wordt gemaakt tussen verschillende aanvalsvectoren zoals phishing, social engineering en geavanceerde persistente dreigingen (APT's). In deze context biedt de nieuwe methode van Andam en collega's een cruciale aanvulling, omdat het niet alleen stelt dat een bestand kwaadaardig is, maar exact aantoont wat de software doet zodra het systeem is binnengedrongen.
Hoewel sommige bronnen, zoals de informatiepagina's van cisco.com, algemene definities van malware bieden, verschuift de focus van het academische veld nu naar de empirische analyse van post-infectie gedrag om de reactiesnelheid van security-teams te verhogen.