Malformer: A Multi-Modal Malware Detector Using Transformers
Das Paper stellt Malformer vor, einen auf Quadrimodal-Transformern basierenden Detektor, der Text-, Bild-, Graph- und Audio-Repräsentationen von Windows-Exekutierbaren fusioniert, um eine Genauigkeit von 98,3 % zu erreichen, womit er traditionelle unimodale und bimodale Malware-Detektionssysteme signifikant übertrifft.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der digitalen Welt stehen Sicherheitsteams in einem ständigen, sich ständig verändernden Kampf gegen Schadsoftware. Über Jahrzehnte hinweg war die primäre Verteidigungslinie das Suchen nach bekannten Fingerabdrücken: spezifischen Codemustern oder einzigartigen digitalen Signaturen, die ein Virus identifizieren. Dieser Ansatz funktioniert gut gegen alte Bedrohungen, versagt jedoch, wenn Angreifer neue, bisher unbekannte Programme erstellen oder bestehende leicht verändern, um ihre Spuren zu verwischen. Um einen Schritt voraus zu bleiben, haben Forscher auf maschinelles Lernen zurückgegriffen und Computer darauf trainiert, die subtilen, zugrunde liegenden Strukturen von schlechter Software zu erkennen, anstatt nur bekannte Muster abzugleichen. Frühe Versuche lehrten Computer, den rohen Code zu lesen oder die Datei als einfaches Bild zu betrachten, doch jede Methode hatte ihre blinden Flecken. Eine einzige Art, eine Datei zu betrachten, könnte entscheidende Hinweise übersehen, so wie man versuchen würde, eine Person zu identifizieren, indem man nur ihren Schatten sieht oder nur ihre Stimme hört.
Ein Team von Forschern der Tennessee Tech University, der University of Nebraska at Omaha und der North Carolina A&T State University hat ein neues System namens Malformer entwickelt, um diese Einschränkungen zu überwinden. Anstatt sich nur auf eine einzige Sichtweise auf eine Computerdatei zu verlassen, betrachtet ihr System dieselbe Datei gleichzeitig auf vier völlig unterschiedliche Arten. Sie behandeln die Datei als Textdokument, als Bild, als eine Karte von Verbindungen und als eine Schallwelle. Durch die Kombination dieser vier Perspektiven baut das System ein viel reichhaltigeres Verständnis darüber auf, was die Datei zu tun versucht. Die Forscher testeten diesen Ansatz an einer massiven Sammlung von über 200.000 Computerdateien und fanden heraus, dass das Betrachten des Problems durch alle vier Linsen gleichzeitig es dem System ermöglichte, Bedrohungen mit einer signifikant höheren Genauigkeit als Methoden, die nur eine oder zwei Ansichten verwendeten, zu erkennen.
Die Kernidee hinter Malformer ist, dass verschiedene Arten, eine Datei darzustellen, unterschiedliche Arten von Informationen offenbaren. Wenn eine Computerdatei in Text umgewandelt wird, zeigt sie die spezifischen Anweisungen, die das Programm dem Prozessor gibt. Wenn dieselbe Datei in ein Bild verwandelt wird, offenbart sie Muster in der Anordnung ihrer Daten, ähnlich wie ein Fingerabdruck Grate und Täler zeigt. Wenn sie in einen Graphen umgewandelt wird, bildet sie ab, wie verschiedene Teile des Programms miteinander kommunizieren, und zeigt den Kontrollfluss auf. Wenn sie schließlich als Audiosignal behandelt wird, erzeugt die Sequenz der Bytes in der Datei eine Schallwelle, die rhythmische Muster trägt. Die Forscher entdeckten, dass das Verlassen auf nur eine dieser Ansichten oft Lücken hinterlässt. Wenn ein Angreifer beispielsweise den Textcode verschleiert, um ihn zu verbergen, könnte die Bild- oder Soundansicht die bösartige Struktur dennoch aufzeigen. Durch die Verschmelzung aller vier Ansichten schafft das System ein Sicherheitsnetz, bei dem eine Ansicht die Schwächen einer anderen kompensieren kann.
Um dieses System zu bauen, verwendeten die Forscher fortschrittliche Werkzeuge, die als Transformer bekannt sind – leistungsstarke Computermodelle, die in der Lage sind, komplexe Beziehungen in Daten zu verstehen. Sie passten diese Modelle an, um die vier verschiedenen Arten von Daten zu verarbeiten. Für den Text und die Verbindungskarte verwendeten sie Modelle, die darauf ausgelegt sind, Sprache und Sequenzen zu verstehen. Für das Bild verwendeten sie ein Modell, das normalerweise Fotografien analysiert, aber modifizierten es so, dass es die Byte-Muster einer Datei sieht. Für den Sound verwendeten sie ein Modell, das auf menschliche Sprache trainiert wurde, um dem Rhythmus der Daten der Datei zuzuhören. Die Herausforderung bestand nicht nur darin, diese vier separaten Ansichten zu erstellen, sondern auch darin, dem System beizubringen, wie es sie gegeneinander abwägt. Die Forscher entwickelten eine Methode, die automatisch anpasst, wie viel Aufmerksamkeit das System während des Trainings jeder Ansicht schenkt. Wenn eine Ansicht schneller lernt als die anderen, reduziert das System vorübergehend deren Einfluss, um sicherzustellen, dass die langsameren Ansichten aufholen, wodurch verhindert wird, dass das gesamte System zu nur einer Art von Information voreingenommen wird.
Die Ergebnisse dieses Ansatzes waren beeindruckend. Als das Malformer-System an einem Datensatz von 201.549 Dateien getestet wurde, identifizierte es Schadsoftware in 98,3 % der Fälle korrekt. Diese Leistung war deutlich besser als die von Systemen, die nur eine Art von Daten betrachteten oder sogar jene, die nur zwei Kombinationen nutzten. Die Forscher fanden heraus, dass die Kombination dieser vier Ansichten ein Detailniveau bot, das keine einzelne Ansicht allein erreichen konnte. Noch wichtiger war, dass sich das System als belastbar erwies. In realen Szenarien können Teile einer Datei beschädigt oder unlesbar sein, was dazu führt, dass eine der vier Ansichten ausfällt. Die Forscher testeten, was passiert, wenn man die Textansicht oder die Verbindungskartenansicht entfernt, und das System schnitt immer noch sehr gut ab, wobei die Genauigkeit nur leicht sank. Dies deutet darauf darauf hin, dass das System nicht auf einen einzelnen Schwachpunkt angewiesen ist, sondern vielmehr auf die kollektive Stärke aller vier Perspektiven.
Die Studie hob auch den einzigartigen Wert jeder Perspektive hervor. Während die Bildansicht die konsistenteste und zuverlässigste war, lieferte die Verbindungskartenansicht das stärkste individuelle Signal, sofern sie verfügbar war. Die Textansicht, die den Assembly-Code repräsentiert, war besonders nützlich, wenn die Verbindungskarte keine Daten ordnungsgemäß extrahieren konnte. Die Soundansicht, ein in diesem Bereich weniger gebräuchlicher Ansatz, erwies sich ebenfalls als effektiv und erfasste Muster, die die anderen Ansichten übersahen. Durch die Zusammenführung dieser vielfältigen Methoden schufen die Forscher einen Detektor, der nicht nur genauer, sondern auch robuster gegenüber den Tricks ist, mit denen Angreifer versuchen, ihre Arbeit zu verbergen. Die Arbeit legt nahe, dass die Zukunft der Malware-Erkennung nicht im Finden eines einzigen perfekten Weges zur Analyse einer Datei liegt, sondern in der Integration mehrerer, komplementärer Wege, dieselbe Bedrohung zu sehen. Da Angreifer ihre Methoden kontinuierlich weiterentwickeln, bietet ein System, das in der Lage ist, ein Problem gleichzeitig aus vier verschiedenen Blickwinkeln zu betrachten, eine leistungsstarke und generalisierte Verteidigung für die digitale Infrastruktur, auf die wir uns jeden Tag verlassen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.