# Wykrywanie malware po zachowaniu w piaskownicy

EN: **Dynamic (behavioural) malware detection** · id `dynmalware` · aliases: dynamic malware analysis, behavioural malware detection, API call sequence classification, sandbox-based detection, analiza dynamiczna malware

Path: [AI Atlas](https://aiatlasgraph.com/llms.txt) › [AI w cyberbezpieczeństwie](https://aiatlasgraph.com/t/cyberai.md) › [Wykrywanie złośliwego oprogramowania](https://aiatlasgraph.com/t/malwareml.md) › Wykrywanie malware po zachowaniu w piaskownicy

## Description

- PL: Klasyfikacja programów na podstawie śladów ich działania w odizolowanym środowisku, najczęściej sekwencji wywołań API systemu wraz z argumentami.
- EN: Classifying programs from traces of their execution in an isolated environment, most often sequences of system API calls with their arguments.

## In one sentence

- PL: Uruchamianie podejrzanego programu w zamkniętej klatce i ocenianie, czy jest groźny, po tym, co próbuje robić.
- EN: Running a suspicious program inside a sealed cage and judging whether it is dangerous by what it tries to do.

## Problem it solves

- PL: Szkodnik może być tak zaszyfrowany i przebrany, że po samym pliku nie da się poznać, co zrobi po uruchomieniu.
- EN: Malware can be so encrypted and disguised that the file alone gives no clue what it will do once launched.

## What it does

- PL: Jak obserwacja gościa przez lustro weneckie: nie oceniasz jego stroju, tylko to, czy zaczyna grzebać w szufladach.
- EN: Like watching a visitor through a one-way mirror: you ignore the outfit and check whether they start rifling through drawers.

## Everyday example

- PL: Firmowa poczta zatrzymuje załącznik na kilka minut, uruchamia go w wirtualnym komputerze i blokuje, bo plik zaczął szyfrować testowe dokumenty.
- EN: The company mail system holds an attachment for a few minutes, runs it in a virtual computer and blocks it because it started encrypting test documents.

## This concerns you if you…

- PL: dostajesz w pracy załączniki od nieznanych nadawców
- PL: analizujesz podejrzane pliki
- PL: budujesz model na danych sekwencyjnych
- EN: receive attachments from unknown senders at work
- EN: analyse suspicious files
- EN: build models on sequential data

## Keywords

Cuckoo Sandbox · CAPE · API call sequences · feature hashing · Bi-LSTM · gated CNN · system call traces · emulation · sandbox evasion

## How it works

- PL: System uruchamia próbkę w kontrolowanym środowisku i rejestruje wywołania API wraz z argumentami. W pracy źródłowej cechy argumentów są haszowane, a sekwencję modeluje połączenie bramkowanej sieci konwolucyjnej i dwukierunkowego LSTM.
- EN: The system executes a sample in a controlled environment and records API calls together with arguments. In the cited work, argument features are hashed and the sequence is modeled by a gated convolutional network combined with a bidirectional LSTM.

## Limits

- PL: Badanie źródłowe dotyczy plików Windows zebranych przez dwa miesiące, etykietowanych przez zespół silników antywirusowych. Wykonanie jednej próbki trwało zwykle 3–5 minut, więc metoda jest kosztowniejsza niż analiza statyczna i wymaga ostrożnej interpretacji etykiet.
- EN: The cited study concerns Windows files collected over two months and labeled by an ensemble of antivirus engines. Executing one sample typically took 3–5 minutes, making the method costlier than static analysis and requiring careful interpretation of labels.

## Key terms

- PL: **piaskownica**: Odizolowany komputer wirtualny do bezpiecznego uruchamiania podejrzanych programów.
- PL: **wywołanie API**: Prośba programu do systemu, np. o otwarcie pliku lub połączenie z siecią.
- PL: **unikanie piaskownicy**: Sztuczki, którymi szkodnik rozpoznaje środowisko testowe i ukrywa zachowanie.
- EN: **sandbox**: An isolated virtual machine for safely running suspicious programs.
- EN: **API call**: A program's request to the system, e.g. to open a file or connect to a network.
- EN: **sandbox evasion**: Tricks malware uses to spot a test environment and hide its behaviour.

## Know first

- [LSTM i GRU — sieci z bramkami pamięci (LSTM and GRU (gated recurrent networks))](https://aiatlasgraph.com/t/lstmgru.md)
- [Sieci konwolucyjne i sekwencyjne (Convolutional and recurrent networks)](https://aiatlasgraph.com/t/cnn.md)

## Related topics

Untyped, symmetric "see also" links.

- [Analiza programów binarnych i inżynieria wsteczna z AI (AI for binary analysis and reverse engineering)](https://aiatlasgraph.com/t/binaryai.md)

## Sources

- [Dynamic Malware Analysis with Feature Engineering and Feature Learning](<https://arxiv.org/pdf/1907.07352>) `zhang-dynamic-malware-feature-learning-2019` · by Yao Zhang, Xiao Song, Dong Liu

---

AI Atlas revision 122 (2026-10-30) · HTML: https://aiatlasgraph.com/t/dynmalware · index: https://aiatlasgraph.com/llms.txt · everything: https://aiatlasgraph.com/llms-full.txt · updated 2026-10-30