Detecting and Explaining Malware Family Evolution Using Rule-Based Drift Analysis

Technisches Resümee: Erkennung und Erklärung der Evolution von Malware-Familien mittels regelbasierter Drift-Analyse

Problemstellung
Die Erkennung und Klassifizierung von Malware ist eine kritische, aber zunehmend schwierige Aufgabe, da sich bösartiger Code kontinuierlich weiterentwickelt. Angreifer modifizieren Malware ständig, um die Erkennung zu umgehen, was einen Concept Drift (Konzeptdrift) hervorruft – ein Phänomen, bei dem sich die statistischen Eigenschaften der Malware-Merkmale im Zeitverlauf ändern. Dieser Drift untergräbt statische maschinelle Lernmodelle und verringert deren Effektivität. Darüber hinaus fehlt es Black-Box-Modellen, obwohl sie eine hohe Genauigkeit erreichen können, an Interpretierbarkeit; sie bieten kaum Einblicke darüber, warum eine Probe als bösartig klassifiziert wurde oder wie sie sich entwickelt hat. Diese Undurchsichtigkeit behindert das Vertrauen von Analysten und die Fähigkeit, verwertbare Erkenntnisse für die Reaktion auf Vorfälle (Incident Response) zu gewinnen. Bestehende Methoden zur Drift-Erkennung stützen sich oft auf komplexe, undurchsichtige Modelle (z. B. tiefe neuronale Netze, Ensemble-Methoden) oder statistische Frameworks, die den Drift nicht auf Merkmalsebene erklären können.

Methodik
Die Autoren schlagen ein interpretierbares Framework zur Erkennung und Erklärung von Concept Drift in Malware-Familien unter Verwendung eines regelbasierten Klassifikators vor. Der Ansatz besteht aus drei primären Phasen:

1. Regelgenerierung (Original vs. Evolviert):

   • Originale Familie: Ein regelbasierter Klassifikator (speziell RIPPER, implementiert über die wittgenstein-Bibliothek) wird auf einem repräsentativen Satz originaler Malware-Proben trainiert, um eine Menge menschlich lesbarer logischer Regeln ($R_{orig}$) zu generieren. Diese Regeln beschreiben die strukturellen und verhaltensbezogenen Merkmale der Familie.
   • Evolvierte Familie: Adversarielle Varianten der Malware werden mithilfe von MAB-malware erzeugt, einem Reinforcement-Learning-basierten adversariellen Generator. Dieses Tool verwendet einen Multi-Armed-Bandit-Agenten, um minimale binäre Modifikationen (z. B. Anhängen von benignen Daten, Nullsetzen von Feldern, Code-Transformationen) anzuwenden, um einen Zielklassifikator (EMBER) zu umgehen. Ein zweiter Satz von Regeln ($R_{adv}$) wird aus diesen evolvierten Proben unter Verwendung desselben RIPPER-Prozesses generiert.

2. Quantifizierung des Drifts:

   • Die Methode vergleicht die Regelsätze $R_{orig}$ und $R_{adv}$ mittels einer normalisierten Hamming-Distanz.
   • Regeln werden in binäre Vektoren umgewandelt, wobei eine '1' angibt, dass eine Probe durch die Regel erkannt wird, und '0' andernfalls.
   • Die Metrik $d(x,y)$ berechnet den Anteil der Positionen, an denen die binären Vektoren voneinander abweichen, und quantifiziert die Diskrepanz zwischen den Regelsätzen. Eine signifikante Distanz deutet auf Concept Drift hin.

3. Drift-Erkennung und Erklärung:

   • Entscheidungsregel: Ein Schwellenwert wird als arithmetisches Mittel der durchschnittlichen Distanz zwischen Regelsätzen derselben ursprünglichen Familie (Intra-Family-Varianz) und der Distanz zwischen den ursprünglichen und den adversariellen Familien festgelegt. Wenn die Distanz zwischen neuen Regeln und historischen Regeln diesen Schwellenwert überschreitet, wird Concept Drift vorhergesagt.
   • Interpretierbarkeit: Da der Klassifikator explizite logische Bedingungen ausgibt (z. B. f3=72 AND f1 in [10,48]), identifiziert die Methode inhärent, welche spezifischen Merkmale und Werte sich zwischen den originalen und den evolvierten Proben geändert haben, und liefert so eine direkte Erklärung der evolutionären Taktiken der Malware.

Experimenteller Aufbau
Das Framework wurde an sechs Malware-Familien validiert: Agensla, DCRat, Makoob, Mokes, Strab und Taskun.

• Daten: Die Proben wurden aus dem RawMal-TF-Datensatz entnommen.
• Merkmale: Statische Merkmale wurden unter Verwendung der LIEF-Bibliothek aus Windows Portable Executable (PE)-Dateien extrahiert, einschließlich Metadaten, Header-Informationen, Sektionsstatistiken, importierter/exportierter Funktionen und Byte-Verteilungen.
• Adversarielle Generierung: MAB-malware wurde verwendet, um adversarielle Proben zu erstellen, die den EMBER-Klassifikator erfolgreich umgingen.
• Dimensionen: Die Experimente wurden über Feature-Vektor-Dimensionalitäten von 3, 5, 10, 15, 25, 50, 75 und 100 durchgeführt.

Wichtigste Ergebnisse

• Erkennungsgenauigkeit: Die vorgeschlagene Methode erreichte eine Gesamtgenauigkeit der Concept-Drift-Erkennung von 92,08 % über alle sechs Familien und Dimensionalitäten hinweg.
• Familienspezifische Leistung:
  • Agensla und Mokes erreichten eine Genauigkeit von 100 % über alle Dimensionalitäten.
  • Taskun wies einen Fehler auf (aus 80 Experimenten) bei der 100-dimensionalen Einstellung.
  • DCRat zeigte die höchste Fehlerrate (22,5 % insgesamt), erreichte jedoch 0 % Fehler bei der 25-dimensionalen Einstellung.
• Drift-Magnitude: Die Studie demonstrierte, dass die Distanzmetrik die Magnitude des Drifts effektiv quantifiziert. Für die Mokes-Familie war die Distanz zwischen den originalen und den adversariellen Regelsätzen bis zu 15 Mal größer als die Distanz zwischen den Regelsätzen, die aus verschiedenen Teilmengen derselben ursprünglichen Familie abgeleitet wurden.
• Interpretierbarkeit: Der regelbasierte Ansatz konnte die spezifischen Merkmalsänderungen erfolgreich identifizieren, die für die Evolution verantwortlich waren, und grenzte sich damit von Black-Box-Drift-Erkennungsmethoden ab.

Bedeutung und Beiträge
Die Arbeit beansprucht als primären Beitrag, die Lücke zwischen effektiver Drift-Erkennung und praktischer forensischer Analyse zu schließen, indem sie die Interpretierbarkeit priorisiert. Im Gegensatz zu bestehenden statistischen oder Deep-Learning-Ansätzen, die als Black Boxes operieren, bietet dieses Framework:

1. Explizite Betonung der Interpretierbarkeit: Durch die Nutzung regelbasierter Klassifikatoren liefert es menschenlesbare Beschreibungen sowohl der ursprünglichen als als auch der evolvierten Malware.
2. Ermöglicht Erklärungen auf Merkmalsebene: Es identifiziert die spezifischen Bedingungen und Merkmale, die für den Drift verantwortlich sind, sodass Analysten verstehen können, wie Malware-Autoren die Detektion umgehen (z. B. durch spezifische Änderungen in der API-Nutzung oder in Header-Feldern).
3. Quantifiziert Evolution: Es bietet ein rigoroses, quantitatives Maß für den Drift und erklärt gleichzeitig die zugrunde liegenden Verhaltensänderungen.

Die Autoren positionieren diese Arbeit als eine der ersten Studien, die ein interpretierbares, regelbasiertes Framework speziell für die Concept-Drift-Erkennung in der Malware-Analyse anwenden, mit dem Ziel, sowohl Detektionssysteme als auch Threat-Analysis-Bemühungen zu unterstützen. Als zukünftige Arbeit wird die potenzielle Erweiterung dieses Frameworks unter Verwendung von Entscheidungsbäumen und die Untersuchung anderer Distanzmetriken angemerkt.