Integrating APK Image and Text Data for Enhanced Threat Detection: A Multimodal Deep Learning Approach to Android Malware

Resumen Técnico: Integración de Datos de Imagen y Texto de APK para la Detección Mejorada de Amenazas

Planteamiento del Problema
La proliferación de malware de Android sofisticado de día cero requiere mecanismos de detección robustos que vayan más allá del análisis estático y dinámico tradicional, los cuales suelen ser vulnerables a la ofuscación. Si bien investigaciones recientes han demostrado la eficacia de convertir el bytecode de los paquetes de aplicaciones Android (APK) en representaciones de imagen para la detección basada en aprendizaje profundo, persisten brechas significativas. Los estudios existentes frecuentemente no evalúan sistemáticamente cómo los atributos de la imagen —específicamente el formato de color (RGB frente a escala de grises) y la resolución (por ejemplo, 128x128, 256x256, 512x512)— impactan en el rendimiento de la detección. Además, los enfoques basados en imágenes actuales suelen descuidar valiosos datos textuales embebidos dentro de los APK, tales como permisos, metadatos y archivos de manifiesto. El potencial de integrar estas características textuales con datos de imagen mediante aprendizaje profundo multimodal para mejorar la precisión de la detección sigue siendo poco explorado.

Metodología
Los autores proponen un marco de aprendizaje profundo multimodal para abordar estas brechas a través de dos fases investigativas primarias:

1. Evaluación de Atributos de Imagen (RQ1):

   • Recolección de Datos: El estudio utilizó 4,303 APKs maliciosos y 4,039 APKs benignos de los conjuntos de datos CIC-AndMal2017 y CICMalDroid 2020.
     • Generación de Imágenes: Los archivos APK fueron descompilados y convertidos en flujos binarios, luego transformados en dos tipos de imagen: Escala de Grises y RGB. Estas fueron generadas en tres resoluciones: 128x128, 256x256 y 512x512.
   • Entrenamiento del Modelo: Ocho arquitecturas de Redes Neuronales Convolucionales (CNN) preentrenadas fueron entrenadas y probadas en estos conjuntos de datos: VGG-16, VGG-19, ResNet-50, ResNet-101, ResNet-152, MobileNet-V2, DenseNet-169 y EfficientNet-B4.
   • Métricas: El rendimiento se evaluó utilizando exactitud (accuracy), precisión, exhaustividad (recall), puntuación F1 y el Área Bajo la Curva ROC (AUC-ROC).

2. Integración Multimodal (RQ2):

   • Extracción y Anotación de Texto: Se extrajeron características textuales (permisos, recursos, datos de manifiesto) de los APK. Se empleó un Modelo de Lenguaje de Gran Escala (LLM), específicamente LLaMA-2, para generar anotaciones basadas en prompts que resumen estas características como "maliciosas" o "benignas".
   • Fusión Multimodal: El texto anotado y las imágenes de los APK correspondientes se integraron en un conjunto de datos multimodal.
   • Evaluación del Modelo: Se utilizó el modelo CLIP (Pre-entrenamiento de Lenguaje-Imagen Contrastivo) para clasificar los datos combinados de imagen-texto de manera zero-shot. Esto se comparó contra los modelos CNN independientes y una línea base de Red Neuronal Cuántica (QNN).

Contribuciones Clave

• Análisis Sistemático de Imágenes: El artículo proporciona una evaluación exhaustiva de los atributos de imagen a través de ocho arquitecturas CNN, identificando configuraciones óptimas para diferentes modelos.
• Marco Multimodal Novedoso: Los autores desarrollaron un marco que combina imágenes de APK con anotaciones de texto generadas por LLaMA-2, utilizando el modelo CLIP para fusionar características visuales y semánticas.
• Contribución de Conjunto de Datos: Se creó un conjunto de datos multimodal limitado que comprende diversas imágenes con sus correspondientes anotaciones textuales para apoyar investigaciones adicionales en este dominio.

Resultados

• Detección Basada en Imágenes (RQ1):

  • Superioridad de RGB de Alta Resolución: Para arquitecturas profundas (ResNet-50, ResNet-101, ResNet-152, EfficientNet-B4), las imágenes RGB a una resolución de 512x512 arrojaron el mayor rendimiento, con ResNet-101 alcanzando un 97% de exactitud y un AUC-ROC de 0.9919.
  • Eficiencia Equilibrada: La configuración RGB de 256x256 ofreció un sólido compromiso entre el costo computacional y el rendimiento, particularmente para ResNet-152 y DenseNet-169.
  • Optimizaciones Específicas del Modelo: VGG-16 funcionó mejor con Escala de Grises de baja resolución (128x128), mientras que MobileNet-V2 alcanzó su pico de exactitud (96%) con imágenes de 512x512 tanto en RGB como en Escala de Grises.
  • Tendencia General: Las imágenes RGB generalmente superaron a las imágenes en Escala de Grises para modelos complejos, mientras que la Escala de Grises fue más efectiva para modelos más simples o resoluciones más bajas para evitar el sobreajuste (overfitting).

• Rendimiento Multimodal (RQ2):

  • Éxito Limitado de CLIP: El enfoque multimodal utilizando CLIP funcionó deficientemente, logrando solo un 50% de exactitud (equivalente al azar en un contexto de clasificación binaria).
  • Fallo en la Detección de Malware: El modelo CLIP no logró detectar ninguna muestra de malware (Recall = 0.00 para malware) y alcanzó una puntuación F1 macro de 0.33.
  • Comparación: Los modelos independientes basados en imágenes, particularmente ResNet-152 (71% de exactitud en el conjunto de prueba específico utilizado para la comparación), superaron significativamente al enfoque multimodal de CLIP. Los autores atribuyen esto al tamaño limitado del conjunto de datos multimodal (solo 34 pares de imagen-texto).

Significancia y Reivindicaciones
El artículo sostiene que, si bien la integración multimodal es una dirección prometedora, su implementación actual utilizando CLIP y conjuntos de datos pequeños aún no supera a las CNN optimizadas de solo imagen para la detección de malware de Android. El estudio enfatiza la importancia crítica de evaluar sistemáticamente los atributos de la imagen (resolución y espacio de color) para maximizar la eficacia de la detección. Los autores concluyen que las imágenes RGB de alta resolución combinadas con CNN profundas (como ResNet-152 y EfficientNet-B4) ofrecen actualmente la solución más efectiva. Afirman modestamente que el enfoque multimodal requiere conjuntos de datos más grandes y diversos, así como técnicas de fusión avanzadas (más allá de CLIP zero-shot) para alcanzar su potencial en la mejora de las capacidades de detección de amenazas.