Detecting and Explaining Malware Family Evolution Using Rule-Based Drift Analysis

Resumen Técnico: Detección y Explicación de la Evolución de Familias de Malware mediante el Análisis de Deriva Basado en Reglas

Planteamiento del Problema
La detección y clasificación de malware son tareas críticas pero cada vez más difíciles debido a la evolución continua del código malicioso. Los atacantes modifican constantemente el malware para evadir la detección, introduciendo la deriva de concepto (concept drift): un fenómeno donde las propiedades estadísticas de las características del malware cambian con el tiempo. Esta deriva socava los modelos de aprendizaje automático estáticos, reduciendo su eficacia. Además, aunque los modelos de caja negra pueden lograr una alta precisión, carecen de interpretabilidad, ofreciendo poca información sobre por qué una muestra se clasifica como maliciosa o cómo ha evolucionado. Esta opacidad obstaculiza la confianza del analista y la capacidad de derivar inteligencia accionable para la respuesta ante incidentes. Los métodos de detección de deriva existentes suelen depender de modelos complejos y opacos (por ejemplo, redes neuronales profundas, métodos de ensamble) o marcos estadísticos que no logran explicar la deriva a nivel de característica.

Metodología
Los autores proponen un marco interpretable para detectar y explicar la deriva de concepto en familias de malware utilizando un clasificador basado en reglas. El enfoque consta de tres etapas principales:

1. Generación de Reglas (Original vs. Evolucionado):

   • Familia Original: Se entrena un clasificador basado en reglas (específicamente RIPPER, implementado mediante la biblioteca wittgenstein) con un conjunto representativo de muestras de malware originales para generar un conjunto de reglas lógicas legibles por humanos ($R_{orig}$). Estas reglas describen las características estructurales y de comportamiento de la familia.
   • Familia Evolucionada: Se generan variantes adversarias del malware utilizando MAB-malware, un generador adversario basado en aprendizaje por refuerzo. Esta herramienta emplea un agente de banda estriada de múltiples brazos (multi-armed bandit) para aplicar modificaciones binarias mínimas (por ejemplo, añadir datos benignos, poner campos en cero, transformaciones de código) para evadir un clasificador objetivo (EMBER). Se genera un segundo conjunto de reglas ($R_{adv}$) a partir de estas muestras evolucionadas utilizando el mismo proceso RIPPER.

2. Cuantificación de la Deriva:

   • El método compara los conjuntos de reglas $R_{orig}$ y $R_{adv}$ utilizando una distancia de Hamming normalizada.
   • Las reglas se convierten en vectores binarios donde un '1' indica que una muestra es detectada por la regla y un '0' en caso contrario.
   • La métrica de distancia $d(x,y)$ calcula la proporción de posiciones donde los vectores binarios difieren, cuantificando el desacuerdo entre los conjuntos de reglas. Una distancia significativa indica deriva de concepto.

3. Detección y Explicación de la Deriva:

   • Regla de Decisión: Se establece un umbral como la media aritmética de la distancia promedio entre los conjuntos de reglas del mismo grupo original (varianza intra-familia) y la distancia entre las familias originales y las adversarias. Si la distancia entre las nuevas reglas y las reglas históricas supera este umbral, se predice la deriva de concepto.
   • Interpretabilidad: Debido a que el clasificador emite condiciones lógicas explícitas (por ejemplo, f3=72 AND f1 in [10,48]), el método identifica intrínsecamente qué características y valores específicos han cambiado entre las muestras originales y las evolucionadas, proporcionando una explicación directa de las tácticas evolutivas del malware.

Configuración Experimental
El marco fue validado en seis familias de malware: Agensla, DCRat, Makoob, Mokes, Strab y Taskun.

• Datos: Las muestras se extrajeron del conjunto de datos RawMal-TF.
• Características: Se extrajeron características estáticas de archivos Windows Portable Executable (PE) utilizando la biblioteca LIEF, incluyendo metadatos, información de cabecera, estadísticas de secciones, funciones importadas/exportadas y distribuciones a nivel de bytes.
• Generación Adversaria: Se utilizó MAB-malware para crear muestras adversarias que lograron evadir el clasificador EMBER.
• Dimensiones: Los experimentos se realizaron en dimensionalidades de vectores de características de 3, 5, 10, 15, 25, 50, 75 y 100.

Resultados Clave

• Precisión de Detección: El método propuesto alcanzó una precisión general de detección de deriva de concepto del 92.08% en todas las familias y dimensionalidades de características.
• Rendimiento por Familia:
  • Agensla y Mokes alcanzaron un 100% de precisión en todas las dimensionalidades.
  • Taskun tuvo un único error (de 80 experimentos) en la configuración de 100 dimensiones.
  • DCRat mostró la tasa de error más alta (22.5% en total), aunque logró un 0% de error en la configuración de 25 dimensiones.
• Magnitud de la Deriva: El estudio demostró que la métrica de distancia cuantifica eficazmente la magnitud de la deriva. Para la familia Mokes, la distancia entre los conjuntos de reglas originales y adversarios fue hasta 15 veces mayor que la distancia entre los conjuntos de reglas derivados de diferentes subconjuntos de la misma familia original.
• Interpretabilidad: El enfoque basado en reglas identificó con éxito los cambios de características responsables de la evolución, distinguiéndose de los métodos de detección de deriva de caja negra.

Significancia y Contribuciones
El artículo sostiene que su principal contribución es cerrar la brecha entre la detección de deriva efectiva y el análisis forense práctico al priorizar la interpretabilidad. A diferencia de los enfoques existentes de estadística o aprendizaje profundo que operan como cajas negras, este marco:

1. Enfatiza Explícitamente la Interpretabilidad: Al aprovechar clasificadores basados en reglas, proporciona descripciones legibles por humanos tanto del malware original como del evolucionado.
2. Permite la Explicación a Nivel de Característica: Identifica las condiciones y características específicas responsables de la deriva, permitiendo a los analistas comprender cómo los autores de malware están eludiendo la detección (por ejemplo, cambios específicos en el uso de API o campos de cabecera).
3. Cuantifica la Evolución: Ofrece una medida cuantitativa rigurosa de la deriva mientras explica simultáneamente los cambios de comportamiento subyacentes.

Los autores posicionan este trabajo como uno de los primeros estudios en aplicar un marco interpretable basado en reglas específicamente para la detección de la deriva de concepto en el análisis de malware, con el objetivo de apoyar tanto a los sistemas de detección como a los esfuerzos de análisis de amenazas. Se señala que el trabajo futuro podría extender este marco utilizando árboles de decisión y explorando diferentes métricas de distancia.