awesome-malware-benign-datasets

这是一个精选的高质量恶意软件和良性软件数据集集合，专为网络安全研究人员、AI网络安全研究人员、机器学习和恶意软件分析领域设计。合集覆盖了Windows、Android和文档等不同平台的数据集，包括二进制文件、图像、APK、PCAP和CSV等多种格式，收录了如VirusShare、Malimg、Android Malware Genome等多个知名数据集，旨在为相关研究提供便捷的数据资源索引和参考。This is a curated high-quality collection of malware and benign software datasets, specifically tailored for cybersecurity researchers, AI-driven cybersecurity researchers, as well as the fields of machine learning and malware analysis. The collection encompasses datasets across multiple platforms including Windows, Android, and document-related scenarios, with various data formats such as binary files, images, APK, PCAP, and CSV. It incorporates multiple renowned datasets like VirusShare, Malimg, and Android Malware Genome, aiming to provide convenient data resource indexing and reference resources for relevant research.

原始信息汇总

数据集概述

这是一个精选的高质量恶意软件与良性软件数据集列表，专为网络安全研究人员、AI网络安全研究人员、机器学习及恶意软件分析设计。该仓库共收录 39个可用数据集。

数据集分类

数据集按平台和应用类型分为三大类别：

Windows 数据集

共收录 22个 相关数据集，涵盖从2010年到2025年的样本。关键信息如下：

数据集名称	年份	规模/样本数	标签类型	格式	访问权限	描述摘要
VirusShare	2010–至今	数百万	恶意软件家族	Binary	需申请	大型恶意软件二进制存档
Malimg	2011	~9,458张图片	恶意软件家族	Image	公开	用于恶意软件分类的灰度图像
Microsoft BIG 2015	2015	~20K	恶意软件类型	Binary	公开	PE恶意软件二进制文件
EMBER2017-2018	2018	~3.2M文件	恶意/良性	Features	公开	大型公开恶意软件分类器基准
Microsoft Malware Prediction	2019	~8M行	二分类	CSV	公开	Windows系统遥测数据，预测恶意或良性文件
Malware Bazaar	2019–至今	1000万以上	恶意软件	Binary	公开	社区恶意软件样本交换
SOREL-20M	2020	~20M样本 (8TB)	恶意/良性	Binary/Features	公开	大规模PE恶意软件检测基准数据集
MalMem-2022	2022	29,298良性 + 29,298恶意	恶意/良性	Binary	公开	基于内存转储的混淆恶意软件检测数据集
BODMAS	2021	57,293恶意 + 77,142良性	恶意/良性	Binary	需申请	Blue Hexagon数据集，含恶意软件家族信息
EMBER2024	2025	~3.2M文件	恶意/良性	Features	公开	新的恶意软件分类器公开基准

Android 数据集

共收录 13个 相关数据集，涵盖从2012年到2023年的样本。关键信息如下：

数据集名称	年份	规模/样本数	标签类型	格式	访问权限	描述摘要
Android Malware Genome	2012	1,260恶意	恶意软件家族	APK	公开	早期Android恶意软件历史数据集
Drebin	2014	5,560恶意	恶意软件	APK, Features	公开	最著名的Android恶意软件数据集之一
CICAndMal2017	2017	10,854样本	Adware等	APK, PCAP, CSV	公开	真实设备采集，含网络与行为数据
CICMalDroid-2020	2020	17,341样本	Adware等	APK, CSV	公开	综合性Android恶意软件数据集
MalNet	2021	1,262,024图像/图	恶意/良性	Image/Graph	公开	大规模Android恶意软件函数调用图和图像
AMD 2.0	2022	150K恶意	恶意软件家族	APK, JSON	公开	更新的现代Android恶意软件家族数据集
AndroZoo (2022+)	2022	2500万以上	恶意/良性	APK	受限	最大的Android数据集
Android-Malware-2023 (AIM-2023)	2023	250K应用	恶意/良性	APK, CSV	公开	新Android恶意软件与良性应用，含详细元数据

文档数据集

共收录 3个 相关数据集，年份跨度为2020至2022年。关键信息如下：

数据集名称	年份	规模/样本数	标签类型	格式	访问权限	描述摘要
Malicious PDF Generator	2020	10份PDF（生成）	恶意	PDF	公开	用于渗透测试的10个不同恶意PDF
Dike	2020	1,871文档	恶意/良性	doc, xls, ppt等	公开	包含多种文档格式的恶意软件检测数据集
CIC-Evasive-PDFMal2022	2022	10,025记录	恶意/良性	CSV, PDF	公开	5,557个恶意和4,468个良性的PDF记录数据集

搜集汇总

数据集介绍

构建方式

在网络安全研究领域，高质量的数据集是开展恶意软件分析与机器学习模型训练的基石。该数据集以精心策划的方式构建，系统收集了涵盖Windows、Android及文档三大类别的39个公开与受限访问的恶意及良性样本集合。每个数据集均依据其发布年份、样本规模、标签类型、数据格式及获取途径进行结构化整理，形成了层次清晰、便于检索的资源索引。

特点

该数据集聚合库具有显著的多样性与时效性，囊括从2010年至今的经典与前沿资源，如包含数千万样本的VirusShare与AndroZoo，以及专注于概念漂移研究的Kronodroid。其特色在于覆盖了二进制文件、图像、网络流量捕获、APK及CSV特征等多种数据格式，并提供了恶意软件家族、二元分类等精细标签，为不同研究场景提供了丰富的选择。

使用方法

研究者可直接通过提供的超链接访问各数据集的原始出处，依据自身需求（如恶意PE检测、Android恶意软件分类或文档威胁分析）选取对应子集。该索引本身作为导航工具，无需额外安装，用户需遵循各数据集的许可协议与获取方式（如公开下载或申请访问），即可将数据集成至机器学习流水线或分析框架中进行实验与验证。

背景与挑战

背景概述

在网络安全研究领域，恶意软件检测与防御始终是核心议题。随着攻击手段的日益复杂化与多样化，高质量、大规模且标注精准的数据集成为推动机器学习与人工智能技术应用于恶意软件分析的关键基石。由社区维护的awesome-malware-benign-datasets项目应运而生，它系统性地汇总了自2010年至今横跨Windows、Android及文档格式的数十个公开与受限访问数据集，如VirusShare、SOREL-20M、EMBER及CICAndMal2017等。该项目旨在为研究人员提供一站式的资源索引，解决数据孤岛问题，从而促进恶意软件检测模型的公平比较与可复现研究，对推动基于数据驱动的网络安全防御体系的发展具有重要影响力。

当前挑战

该领域面临的核心挑战在于数据集的时效性与代表性。恶意软件演化迅速，早期数据集（如2011年的Malimg）难以捕捉当前攻击技术，导致模型存在概念漂移风险。构建过程中，收集大规模、真实且标注一致的恶意与良性样本极为困难，涉及隐私保护、样本多样性不足（如对抗性样本缺失）以及跨平台（Windows与Android）特征异构等问题。此外，不同数据集之间的格式不统一、访问权限受限（如VirusShare需申请）以及元数据标准缺乏，增加了数据整合与模型泛化的难度，亟需建立动态更新与标准化共享的机制。

常用场景

经典使用场景

在网络安全与人工智能的交叉领域中，该数据集集锦为研究者提供了涵盖Windows、Android及文档格式的多种恶意与良性样本资源。其经典使用场景集中于基于机器学习的恶意软件检测任务，例如利用EMBER或SOREL-20M中的特征向量训练分类器，或借助Malimg与Virus-MNIST的图像表示方法实现视觉化恶意软件识别。研究者可借此构建端到端的检测流水线，从静态分析到动态行为建模，全面评估算法在真实恶意软件变体上的泛化能力。

实际应用

在实际应用中，该资源被广泛部署于企业安全运营中心的威胁情报流水线。安全分析师可借助Malware Bazaar与VirusShare中的实时样本更新签名库，或利用Microsoft Malware Prediction的遥测特征开发轻量级终端检测规则。此外，AndroZoo与AIM-2023等Android数据集支撑了移动应用商店的自动化审核系统，通过分析APK元数据与网络流量，实现零日恶意软件的早期预警与拦截。

衍生相关工作

该数据集集锦催生了一系列具有影响力的衍生工作。例如，基于EMBER的轻量级分类器架构成为恶意软件检测领域的基准模型，而SOREL-20M则推动了大规模预训练特征提取器的开发。在Android生态中，Drebin数据集衍生出多篇关于权限滥用与API调用模式挖掘的经典论文，MalNet的函数调用图数据则启发了图神经网络在恶意软件同源性分析中的创新应用，形成了从数据到模型再到部署的完整研究闭环。