💻 computer science

AsmRAG: LLM-Driven Malware Detection by Retrieving Functionally Similar Assembly Code

AsmRAG ist ein Framework zur Malware-Erkennung, das mittels Large Language Models und Assembly-basierter Retrieval-Augmented Generation (RAG) semantische Ähnlichkeiten in Maschinencode nutzt, um sowohl präzise Klassifizierungen als auch interpretierbare forensische Beweise gegen Obfuskationsversuche zu liefern.

Ursprüngliche Autoren: ElMouatez Billah Karbab

Veröffentlicht 2026-04-28

📖 3 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: ElMouatez Billah Karbab

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Der digitale Detektiv: Warum herkömmliche Antiviren-Software oft „blind“ ist – und wie AsmRAG das ändert

Stellen Sie sich vor, Sie sind ein Sicherheitsbeamter in einem riesigen Flughafen. Ihre Aufgabe ist es, gefährliche Schmuggler zu finden.

Das Problem: Die „Statistik-Falle“ (Die alten Methoden)

Bisher arbeiteten die meisten digitalen Sicherheits-Scanner (wie EMBER oder ResNeXt) wie ein Scanner, der nur das Gesamtgewicht und die Farbe eines Koffers prüft.

Wenn ein Schmuggler nun einen Koffer hat, der genau 20 kg wiegt und blau ist, schlägt der Alarm. Aber der Schmuggler ist schlau: Er packt einfach ein paar Kilo Steine dazu oder klebt ein anderes Etikett auf den Koffer. Plötzlich sieht der Koffer ganz anders aus, und der Scanner sagt: „Alles okay, der Koffer ist jetzt 25 kg und grün, das ist kein Schmuggler!“

Das Problem: Die alten Programme schauen auf das „Wie es aussieht“ (die Statistik), aber nicht auf das „Was es wirklich tut“ (die Absicht).

Die Lösung: AsmRAG – Der Detektiv mit dem Röntgenblick

Die Forscher haben nun AsmRAG entwickelt. AsmRAG ist nicht der Scanner, der nur das Gewicht prüft. AsmRAG ist ein Detektiv, der den Koffer öffnet und sich die Handlungen der Personen ansieht.

Stellen Sie sich vor, der Detektiv ignoriert, ob der Koffer blau oder grün ist oder ob er schwer oder leicht ist. Er achtet nur auf eine ganz bestimmte Bewegung: „Wie hält die Person das Werkzeug in der Hand? Wie bewegt sie die Finger, um das Schloss zu knacken?“

Egal, ob der Schmuggler Handschuhe trägt, einen anderen Mantel anhat oder in einem anderen Licht steht – die Art und Weise, wie er ein Schloss knackt, bleibt immer dieselbe. Das ist das, was die Forscher „Semantische Ähnlichkeit“ nennen.

Wie funktioniert das technisch? (In einfachen Schritten)

Das digitale Gedächtnis (Die Wissensdatenbank): AsmRAG hat ein riesiges Archiv mit „Tatmustern“ von bekannten Verbrechern. Es speichert nicht die Fotos der Verbrecher, sondern die „DNA ihrer Bewegungen“ (den Code).
Das Filtern des Rauschens: In jedem Computerprogramm gibt es viel „Müll“ – unwichtige Befehle, die nichts zu sagen haben (wie das unnötige Packen von Kleidung in den Koffer). AsmRAG ist schlau genug, diesen Müll sofort zu ignorieren und sich nur auf die wichtigen Funktionen zu konzentrieren.
Die Suche nach dem „Anker“: Wenn ein verdächtiges Programm auftaucht, sucht AsmRAG nach der einen, entscheidenden Stelle – dem sogenannten „Anker-Funktion“. Das ist der Moment, in dem der Code wirklich etwas Böses tut (z. B. Daten stehlen).
Die Erklärung (Der Bericht): Das Beste ist: AsmRAG sagt nicht nur: „Das ist zu 96 % gefährlich.“ Das ist für einen Experten wertlos. Stattdessen schreibt AsmRAG einen Bericht wie ein menschlicher Ermittler: „Achtung! Dieses Programm ist gefährlich, weil es genau die gleiche Methode benutzt wie die 'Ramnit'-Virus-Familie, um Passwörter zu stehlen – auch wenn es versucht hat, sich durch unnötige Befehle zu tarnen.“

Warum ist das ein Durchbruch?

Es lässt sich nicht austricksen: Selbst wenn Hacker den Code „umschreiben“ oder „verwirren“ (Obfuskation), bleibt die logische Absicht gleich. AsmRAG erkennt die Absicht.
Es ist ehrlich: Es liefert Beweise statt nur Wahrscheinlichkeiten.
Es lernt ständig dazu: Wenn ein Experte einen neuen Virus bestätigt, speichert AsmRAG das Bewegungsmuster sofort in sein Gedächtnis ab. Es wird also mit jedem Tag schlauer.

Zusammenfassend: Während alte Programme nur auf die „Verpackung“ achten, schaut AsmRAG direkt auf das „Verhalten“. Es ist der Unterschied zwischen jemandem, der nur prüft, ob ein Gesicht verdächtig aussieht, und einem Experten, der erkennt, wie ein Profi-Einbrecher eine Tür manipuliert.

Technische Zusammenfassung: AsmRAG

1. Problemstellung (The Problem)

Moderne Malware-Detektoren, die auf Deep Learning basieren (z. B. EMBER oder ResNeXt), erreichen zwar hohe Klassifizierungsgenauigkeiten, leiden jedoch unter zwei fundamentalen Schwächen:

Mangelnde Interpretierbarkeit („Black Box“-Problem): Diese Modelle liefern lediglich probabilistische Urteile (z. B. „99 % Wahrscheinlichkeit für Malware“), ohne forensischen Kontext zu liefern. Analysten in Security Operations Centers (SOCs) erfahren nicht, warum eine Datei als bösartig eingestuft wurde.
Anfälligkeit gegenüber Obfuskation: Klassische Modelle verlassen sich oft auf globale statistische Merkmale (z. B. Byte-Histogramme oder Entropie). Angreifer können diese durch Techniken wie Dead-Code-Insertion oder Instruction Substitution leicht manipulieren, ohne die eigentliche bösartige Logik zu verändern. Dies verschiebt die Datei im Merkmalsraum und führt zu Fehlklassifizierungen.

2. Methodik (Methodology)

Die Autoren schlagen AsmRAG vor, ein Framework, das die Malware-Analyse von einer geschlossenen Klassifizierung hin zu einer evidenzbasierten Retrieval-Aufgabe (Retrieval-Augmented Generation, RAG) auf Assembly-Ebene verschiebt.

Der Prozess gliedert sich in drei Phasen:

Phase 1: Aufbau der Wissensbasis (Knowledge Base Construction):
- Anstatt ganze Dateien zu analysieren, werden einzelne Funktionen extrahiert und mittels eines spezialisierten Large Language Models (LLM, hier Qwen3-Embedding) in semantische Vektoren (Embeddings) umgewandelt.
- Semantic Library Filtering: Um Rauschen zu minimieren, werden Standard-Bibliotheksfunktionen (z. B. aus glibc oder openssl) durch einen semantischen Vergleich mit einer Blockliste entfernt. Dies verhindert, dass harmlose Code-Fragmente die Detektion verfälschen.
Phase 2: Evidenzbasierte Analyse (Evidence-Based Analysis):
- Eine unbekannte Datei wird disassembliert und ihre Funktionen werden in den Vektorraum projiziert.
- Distance-Weighted Voting: Anstatt einer einfachen Mehrheitsentscheidung gewichtet das System die Ähnlichkeit der gefundenen Nachbarn im Vektorraum. Eine Funktion gilt als bösartig, wenn sie in einer dichten Umgebung bekannter Malware-Funktionen liegt.
- Anchor Function Selection: Das System identifiziert die „Anker-Funktion“ ( $q^*$ ) – also die spezifische Code-Einheit, die die höchste semantische Dichte innerhalb einer bestimmten Malware-Familie aufweist.
Phase 3: Generative Erklärung (Generative Reporting):
- Das LLM nutzt die Anker-Funktion und ein gefundenes „Beweis-Beispiel“ ( $v_{proof}$ ) aus der Wissensbasis, um eine natürliche, menschenlesbare Erklärung zu generieren. Es beschreibt die funktionale Logik (z. B. „implementiert einen ROR-13 Hash für die API-Auflösung“), anstatt nur Syntax zu vergleichen.

3. Hauptergebnisse (Key Results)

Das Framework wurde an einem Datensatz von über 40.000 Binärdateien getestet:

Detektionsleistung: AsmRAG erreichte einen F1-Score von 96 % bei der Malware-Erkennung und 95 % bei der Zuordnung zu Malware-Familien (Attribution).
Robustheit gegen Obfuskation: In Tests mit aggressiver Compiler-Optimierung (z. B. -O3) zeigten klassische Modelle (EMBER, ResNeXt) einen signifikanten Leistungsabfall (bis zu 18 %). AsmRAG hingegen blieb stabil (Abfall < 3 %), da es die semantische Absicht und nicht die syntaktische Form analysiert.
Erklärungsqualität: Die generierten Erklärungen wurden durch ein anderes LLM (Claude Opus) und menschliche Experten validiert. Die „Halluzinationsrate“ (falsche Behauptungen über den Code) war mit ca. 2,6 % extrem gering.

4. Bedeutung und Beitrag (Significance)

Die Arbeit leistet einen wesentlichen Beitrag zur Explainable AI (XAI) im Bereich der Cybersicherheit:

Verschiebung des Paradigmas: Weg von der statistischen Annäherung (wie sieht die Datei aus?) hin zur semantischen Identifikation (was tut der Code?).
Forensische Beweisführung: Durch die Bereitstellung von konkreten Code-Snippets als Beweis wird die Arbeit von Sicherheitsanalysten massiv beschleunigt.
Aktive Verteidigung (Active Learning): Das System ermöglicht einen geschlossenen Regelkreis. Sobald ein Analyst eine neue Variante bestätigt, kann deren Embedding sofort in die Wissensbasis aufgenommen werden, wodurch das System ohne aufwendiges Retraining sofort gegen neue Varianten immunisiert wird.

Zusammenfassend: AsmRAG überwindet die Grenzen klassischer Deep-Learning-Detektoren, indem es die semantische Invarianz von Code nutzt, um sowohl die Robustheit gegen Angriffe als auch die Transparenz für den menschlichen Analysten zu maximieren.