Integrating APK Image and Text Data for Enhanced Threat Detection: A Multimodal Deep Learning Approach to Android Malware

ملخص تقني: دمج بيانات صور ونصوص ملفات APK لتعزيز اكتشاف التهديدات

بيان المشكلة
إن انتشار برمجيات أندرويد الخبيثة المتطورة من نوع "اليوم الصفر" (zero-day) يستلزم آليات كشف قوية تتجاوز التحليل الساكن والديناميكي التقليدي، والتي غالباً ما تكون عرضة للتمويه (obfuscation). وبينما أظهرت الأبحاث الحديثة فعالية تحويل بايت كود حزم تطبيقات أندرويد (APK) إلى تمثيلات صورية للاكتشاف القائم على التعلم العميق، إلا أن فجوات كبيرة لا تزال قائمة. فالدراسات الحالية غالباً ما تفشل في تقييم كيفية تأثير سمات الصورة بشكل منهجي — وتحديداً تنسيق الألوان (RGB مقابل التدرج الرمادي) والدقة (مثل 128x128، 256x256، 512x512) — على أداء الكشف. علاوة على ذلك، فإن النهج القائم على الصور غالباً ما يهمل البيانات النصية القيمة المضمنة داخل ملفات APK، مثل الأذونات، والبيانات الوصفية (metadata)، وملفات المانيفست (manifest). ولا تزال إمكانية دمج هذه الميزات النصية مع بيانات الصور عبر التعلم العميق متعدد الوسائط لتعزيز دقة الكشف أمراً غير مستكشف بشكل كافٍ.

المنهجية
يقترح المؤلفون إطار عمل للتعلم العميق متعدد الوسائط لمعالجة هذه الفجوات من خلال مرحلتين استقصائيتين رئيسيتين:

1. تقييم سمات الصورة (RQ1):

   • جمع البيانات: استخدمت الدراسة 4,303 ملف APK خبيث و4,039 ملف APK سليم من مجموعتي بيانات CIC-AndMal2017 وCICMalDroid 2020.
   • توليد الصور: تم تفكيك ملفات APK وتحويلها إلى تدفقات ثنائية (binary streams)، ثم تحويلها إلى نوعين من الصور: التدرج الرمادي (Grayscale) وRGB. وقد تم توليد هذه الصور بثلاث دقات مختلفة: 128x128، 256x256، و512x512.
   • تدريب النماذج: تم تدريب واختبار ثماني بنى للشبكات العصبية الالتفافية (CNN) سابقة التدريب على هذه المجموعات وهي: VGG-16، VGG-19، ResNet-50، ResNet-101، ResNet-152، MobileNet-V2، DenseNet-169، وEfficientNet-B4.
   • المقاييس: تم تقييم الأداء باستخدام الدقة (accuracy)، والضبط (precision)، والاستدعاء (recall)، ومقياس F1-score، والمساحة تحت منحنى خصائص التشغيل المستقبلي (AUC-ROC).

2. التكامل متعدد الوسائط (RQ2):

   • استخراج النصوص والتعليق التوضيحي: تم استخراج الميزات النصية (الأذونات، الموارد، بيانات المانيفست) من ملفات APK. واستُخدم نموذج لغوي كبير (LLM)، وتحديداً LLaMA-2، لتوليد تعليقات توضيحية قائمة على المطالبات (prompts) تلخص هذه الميزات كـ "خبيثة" أو "سليمة".
   • الدمج متعدد الوسائط: تم دمج النصوص المشروحة مع صور APK المقابلة في مجموعة بيانات متعددة الوسائط.
   • تقييم النموذج: استُخدم نموذج CLIP (التعلم المسبق للغة والصور التبايني) لتصنيف البيانات المدمجة (صورة-نص) بطريقة التعلم الصفري (zero-shot). وتمت مقارنة ذلك مع نماذج CNN المستقلة ومع خط أساس للشبكة العصبية الكمومية (QNN).

المساهمات الرئيسية

• التحليل المنهجي للصور: تقدم الورقة تقييماً شاملاً لسمات الصورة عبر ثماني بنى CNN، مما يحدد التكوينات المثلى لمختلف النماذج.
• إطار عمل مبتكر متعدد الوسائط: طور المؤلفون إطار عمل يجمع بين صور APK والتعليقات النصية المولدة بواسطة LLaMA-2، باستخدام نموذج CLIP لدمج الميزات البصرية والدلالية.
• المساهمة بمجموعة بيانات: تم إنشاء مجموعة بيانات متعددة الوسائط محدودة تضم صوراً متنوعة مشروحة وتعليقاتها النصية لدعم المزيد من الأبحاث في هذا المجال.

النتائج

• الكشف القائم على الصور (RQ1):

  • تفوق RGB عالي الدقة: بالنسبة للبنى الأكثر عمقاً (ResNet-50، ResNet-101، ResNet-152، EfficientNet-B4)، حققت صور RGB بدقة 512x512 أعلى أداء، حيث حقق ResNet-101 دقة بنسبة 97% ومساحة AUC-ROC بلغت 0.9919.
  • الكفاءة المتوازنة: قدم تكوين RGB بدقة 256x256 حلاً وسطاً قوياً بين التكلفة الحسابية والأداء، لا سيالما لنموذجي ResNet-152 وDenseNet-169.
  • التحسينات الخاصة بالنماذج: حقق VGG-16 أفضل أداء مع صور التدرج الرمادي منخفضة الدقة (128x128)، بينما حقق MobileNet-V2 ذروة الدقة (96%) مع صور 512x512 في كل من تنسيقي RGB والتدرج الرمادي.
  • الاتجاه العام: تفوقت صور RGB عموماً على صور التدرج الرمادي في النماذج المعقدة، بينما كان التدرج الرمائي أكثر فعالية في النماذج الأبسط أو الدقات المنخفضة لتجنب الإفراط في التخصيص (overfitting).

• الأداء متعدد الوسائط (RQ2):

  • النجاح المحدود لـ CLIP: حقق النهج متعدد الوسائط باستخدام CLIP أداءً ضعيفاً، حيث سجل دقة 50% فقط (ما يعادل التخمين العشوائي في سياق التصنيف الثنائي).
  • الفشل في اكتشاف البرمجيات الخبيثة: فشل نموذج CLIP في اكتشاف أي عينات خبيثة (الاستدعاء = 0.00 للملفات الخبيثة) وحقق مقياس F1-score كلي قدره 0.33.
  • المقارنة: تفوقت نماذج الصور المستقلة، وخاصة ResNet-152 (الذي حقق 71% دقة في مجموعة الاختبار المحددة المستخدمة للمقارنة)، بشكل كبير على نهج CLIP متعدد الوسائط. ويعزو المؤلفون ذلك إلى الحجم المحدود لمجموعة البيانات متعددة الوسائط (34 زوجاً فقط من الصور والنصوص).

الأهمية والادعاءات
تزعم الورقة أنه بينما يعد التكامل متعدد الوسائط اتجاهاً واعداً، فإن تنفيذه الحالي باستخدام CLIP ومجموعات البيانات الصغيرة لا يتفوق بعد على نماذج CNN المحسنة المعتمدة على الصور فقط لاكتشاف برمجيات أندرويد الخبيثة. وتؤكد الدراسة على الأهمية البالغة للتقييم المنهجي لسمات الصورة (الدقة وفضاء الألوان) لتعظيم فعالية الكشف. ويخلص المؤلفون إلى أن صور RGB عالية الدقة Combined مع شبكات CNN العميقة (مثل ResNet-152 وEfficientNet-B4) توفر حالياً الحل الأكثر فعالية. كما يشيرون بتواضع إلى أن النهج متعدد الوسائط يتطلب مجموعات بيانات أكبر وأكثر تنوعاً وتقنيات دمج متقدمة (تتجاوز التعلم الصفري لـ CLIP) لتحقيق إمكاناته في تعزيز قدرات اكتشاف التهديدات.