Resumen Técnico: Detección de Malware Transparente con Explicabilidad de Flujo de Ensamblador Granular mediante Redes Neuronales de Grafos

Planteamiento del Problema

A medida que el malware se vuelve cada vez más sofisticado y evasivo, los sistemas de detección deben evolucionar para ser igualmente inteligentes y transparentes. Aunque las Redes Neuronales de Grafos (GNN) aplicadas a los Grafos de Flujo de Control (CFG) han mostrado ser prometedoras en la detección de malware, sufren de una falta de explicabilidad intrínseca. Los métodos de explicabilidad basados en GNN aplicados a los CFG enfrentan una limitación crítica: los nodos de los CFG representan "bloques básicos" (secuencias de instrucciones sin saltos), lo que significa que las instrucciones de ensamblador individuales dentro de esos bloques quedan ocultas. En consecuencia, las GNN no pueden proporcionar explicaciones granulares a nivel de instrucción, dejando ambigüedad sobre qué instrucciones específicas impulsan una predicción maliciosa. Además, la escala masiva de los Grafos de Flujo de Ensamblador (AFG), que representan cada instrucción como un nodo, hace que la aplicación directa de las GNN sea computacionalmente inabordable para el preprocesamiento, la incrustación (embedding) y el entrenamiento.

Metodología

Los autores proponen un marco novedoso centrado en el Grafo de Flujo de Ensamblador (AFG) y un enfoque de Meta-Coarsening (Meta-Agrupación) para permitir una explicabilidad granular manteniendo la viabilidad computacional.

1. Construcción del Grafo

• Grafo de Flujo de Ensamblador (AFG): A diferencia de los CFG tradicionales donde los nodos son bloques básicos, el AFG sustituye cada nodo del CFG por una lista simplemente enlazada de sus instrucciones de ensamblador secuenciales constituyentes. Los bordes se redirigen para conectar la cabeza y la cola de estas listas de instrucciones, creando un grafo donde cada nodo representa una sola instrucción.
• Codificación de Instrucciones: Las instrucciones se codifican utilizando un vector de 1,103 bits derivado de la biblioteca Capstone, que captura opcodes, prefijos y diversas banderas (flags).

2. Enfoque de Meta-Coarsening

Para abordar el costo computacional de los AFG masivos, los autores introducen un flujo de trabajo de dos etapas de "Meta-Coarsening":

• Fase 1: Coarsening del CFG (C-CFG): En lugar de realizar el coarsening directamente sobre el masivo AFG, los autores realizan el coarsening del CFG subyacente (la "meta-estructura"). Esto es computacionalmente tratable y preserva la similitud estructural con el AFG. Se entrena una GNN en estos CFG agrupados (C-CFGs), y un explicador identifica subgrafos importantes a este nivel.
• Fase 2: Backtracking y Entrenamiento de B-AFG: Los subgrafos importantes identificados en el C-CFG son "retrocedidos" (backtracked) a través de la jerarquía hacia el AFG original, creando un conjunto de datos de AFG Retrocedido (B-AFG). Este B-AFG contiene solo los nodos específicos a nivel de instrucción que son relevantes para la explicación. Una segunda GNN separada se entrena en estos B-AFGs para generar explicaciones granulares finales al nivel de la instrucción de ensamblador.

3. Métricas de Evaluación

El artículo introduce y utiliza varias métricas para cuantificar la calidad de la explicación:

• Puntuaciones de Fidelidad ($fid^+$ y $fid^-$): Miden la necesidad (eliminar el subgrafo cambia la predicción) y la suficiencia (mantener solo el subgrafo mantiene la predicción).
• Puntuación de Caracterización ($\lambda$): Una media armónica ponderada de las puntuaciones de fidelidad, adaptada para medir el acuerdo entre los niveles C-CFG y B-AFG.
• Puntuación del Indicador $\beta$: Una métrica novedosa para detectar ambigüedad. Devuelve 0 si las explicaciones son binarias (claras) y un valor positivo si son no binarias (ambiguas), resaltando específicamente la diferencia entre las explicaciones a nivel de bloque básico (ambiguas) y las explicaciones a nivel de instrucción (no ambiguas).

Contribuciones Clave

1. Grafo de Flujo de Ensamblador (AFG): La propuesta de una representación de grafo novedosa que captura el flujo completo de instrucciones de ensamblador de un ejecutable binario, permitiendo la granularidad a nivel de instrucción.
2. Meta-Coarsening: Un enfoque novedoso para mejorar la viabilidad computacional mediante el agrupamiento del CFG para aproximar el coarsening del AFG, lo que permite el entrenamiento de GNN en datos a gran escala conservando la capacidad de retroceder al nivel de instrucción.
3. Explicabilidad Granular: La primera demostración de detección de malware basada en GNN que proporciona explicaciones al nivel de la instrucción de ensamblador específica, resolviendo la ambigüedad inherente a los CFG de bloques básicos.
4. Métricas Novedosas: La definición de la puntuación del indicador $\beta$ para medir empíricamente la granularidad de la explicación y la adaptación de la puntuación $\lambda$ para evaluar la consistencia de la explicación entre niveles.
5. Control de Hiperparámetros: La identificación de hiperparámetros (coeficiente de coarsening $r$ y política de selección $\epsilon$) que permiten a los usuarios equilibrar los requisitos computacionales con la expresividad de la explicación.

Resultados Experimentales

El enfoque fue evaluado utilizando el conjunto de datos CIC-DGG-2025, que contiene binarios Windows PE x86.

• Rendimiento de Inferencia: El enfoque de Meta-Coarsening logró una precisión competitiva o superior en comparación con los modelos base. Específicamente, el método de coarsening Kron con un coeficiente $r=0.25$ y Variation Edges con $r=0.75$ arrojaron los mejores resultados (hasta un 89.8% de precisión promedio), lo que sugiere que un coarsening moderado puede actuar como un regularizador, mejorando la generalización.
• Explicabilidad:
  • La puntuación $\lambda$ fue más alta (0.713) para Kron con $r=0.25$, lo que indica un fuerte acuerdo entre las explicaciones gruesas y las de grano fino.
  • Análisis de Fidelidad: El nivel C-CFG mostró una alta necesidad ($fid^+$), lo que significa que eliminar los subgrafos identificados causó la clasificación errónea. El nivel B-AFG mostró una alta suficiencia ($fid^-$), lo que significa que los subgrafos de instrucciones seleccionados por sí solos fueron suficientes para mantener la predicción correcta.
  • Granularidad: El indicador $\beta$ fue 1 para todos los niveles (C-)CFG (indicando ambigüedad) y 0 para todos los niveles B-AFG (indicando explicaciones de nivel de instrucción no ambiguas y binarias).
• Diferencias de Clase: El estudio observó que las muestras benignas eran generalmente más explicables que las maliciosas. Las clases maliciosas mostraron puntuaciones de caracterización más bajas, lo que sugiere que son más difíciles de explicar o predecir de manera consistente.

Significancia y Reivindicaciones

El artículo afirma ser el primero en considerar la explicabilidad granular en la detección de malware utilizando GNN al nivel de la instrucción de ensamblador. Los autores enfatizan que, aunque trabajos previos han utilizado CFG o grafos de opcodes, no pudieron proporcionar información no ambigua a nivel de instrucción debido a la agregación de instrucciones en bloques básicos.

La significancia de este trabajo radica en su capacidad para:

• Proporcionar sistemas de detección transparentes donde los defensores puedan entender exactamente qué instrucciones contribuyen a una clasificación maliciosa.
• Superar las barreras computacionales de aplicar GNN a grafos masivos a nivel de instrucción mediante la estrategia de Meta-Coarsening.
• Ofrecer un marco para controlar la compensación entre el tamaño del grafo y el detalle de la explicación a través de hiperparámetros.

Los autores concluyen que su enfoque proporciona con éxito explicaciones a nivel de ensamblador, sirviendo como base para futuros trabajos en la explicabilidad de la detección de malware a gran escala y asistiendo a los defensores en la caracterización del comportamiento del malware. Reconocen limitaciones con respecto a la generalización a otros formatos binarios y el potencial de evasión adversaria, señalando que el trabajo futuro podría explorar el entrenamiento adversario o métodos de generación estática para mitigar estos problemas.