Automated Malware Family Classification using Weighted Hierarchical Ensembles of Large Language Models

A continuación presento un resumen técnico detallado del artículo "Automated Malware Family Classification using Weighted Hierarchical Ensembles of Large Language Models" (Clasificación de Familias de Malware Automatizada mediante Ensembles Jerárquicos Ponderados de Grandes Modelos de Lenguaje), traducido y adaptado al español.

1. Planteamiento del Problema

La clasificación de familias de malware es una tarea crítica para la inteligencia de amenazas y el análisis automatizado, pero enfrenta desafíos significativos en entornos del mundo real:

• Evolución y Ofuscación: El malware moderno utiliza técnicas de empaquetado (packing), ofuscación y polimorfismo que limitan la efectividad de los métodos basados en firmas o heurísticas tradicionales.
• Limitaciones de los Enfoques Actuales: Los métodos de aprendizaje automático (ML) y aprendizaje profundo (DL) existentes dependen típicamente de:
  • Conjuntos de datos etiquetados extensivos.
  • Características diseñadas a mano (handcrafted features).
  • Análisis dinámico costoso (ejecución en sandbox).
  • Entrenamiento supervisado, lo que dificulta su escalabilidad en escenarios de "mundo abierto" donde aparecen nuevas familias sin etiquetas previas.
• Inestabilidad de los LLMs Individuales: Aunque los Grandes Modelos de Lenguaje (LLMs) muestran capacidades prometedoras en la comprensión de código y el razonamiento zero-shot (sin entrenamiento previo), los modelos individuales sufren de inconsistencia en sus predicciones, sensibilidad a la ofuscación y variabilidad según el diseño del prompt.

2. Metodología Propuesta

El artículo presenta un marco de trabajo para la clasificación de familias de malware que opera a nivel de decisión (no a nivel de características) utilizando un ensemble jerárquico ponderado de LLMs preentrenados.

Características Principales del Enfoque:

• Sin Etiquetas ni Reentrenamiento: El sistema no requiere datos de entrenamiento etiquetados, ajuste fino (fine-tuning) de modelos ni análisis dinámico. Opera en un modo zero-label.
• Ensemble Jerárquico: En lugar de una agregación plana, el marco utiliza una estructura de decisión en dos etapas que imita el razonamiento de un analista humano:
  1. Etapa 1 (Comportamiento Grueso): Resuelve primero el comportamiento malicioso general (ej. "¿Es un troyano?", "¿Se replica?").
  2. Etapa 2 (Familia Fina): Asigna la familia específica de malware basándose en la agrupación anterior.
• Ponderación por Rendimiento: Los modelos individuales no tienen el mismo peso. Se asignan pesos basados en métricas de rendimiento (Macro-F1) derivadas empíricamente de un pequeño conjunto de datos "gold" (estándar de oro) utilizado solo para calibración, no para entrenamiento.

Flujo de Trabajo:

1. Entrada: Código fuente estático y listas de importación de APIs de muestras de malware (formato PE de Windows).
2. Prompt Zero-Shot: Se utiliza un prompt fijo y único para todos los LLMs para clasificar la muestra en una de 10 familias canónicas.
3. Normalización: Se corrigen respuestas inválidas y se mapean sinónimos (ej. "Backdoor" y "RAT" se tratan como equivalentes).
4. Agregación Jerárquica:
   • Votación Ponderada: Si un modelo con alto peso logra una mayoría absoluta, se selecciona esa etiqueta.
   • Consolidación por Grupo de Comportamiento: Si no hay mayoría, las predicciones se agrupan en categorías de comportamiento (ej. "Troyano-like", "Auto-replicante"). Se selecciona el grupo ganador y luego la familia más específica dentro de él.
   • Resolución de Empates: Se utiliza una jerarquía de especificidad predefinida (ej. preferir "Backdoor" sobre "Trojan" si hay empate) para decisiones finales.

Modelos Utilizados:

El ensemble final combina cuatro LLMs seleccionados por su rendimiento:

• Qwen3-4B-Instruct-2507
• CodeLLaMA-7B-Instruct-hf
• GPT-4.1
• GPT-5.1
  (Nota: DeepSeekCoder fue descartado por bajo rendimiento).

3. Contribuciones Clave

1. Clasificación de Nivel de Decisión con LLMs: Se formula el problema como una agregación de decisiones sobre LLMs preentrenados, eliminando la dependencia de pipelines de características manuales y reentrenamiento supervisado.
2. Estrategia de Ensemble Ponderado Sensible al Rendimiento: Se introduce un esquema de ponderación basado en el Macro-F1 para combinar predicciones complementarias, mejorando la robustez y reduciendo la inestabilidad de modelos individuales.
3. Marco de Decisión Jerárquica: Se diseña una estructura que distingue primero comportamientos de grano grueso y luego resuelve etiquetas de familia de grano fino, mitigando la ambigüedad semántica entre familias superpuestas.
4. Evaluación Exhaustiva en Entornos Realistas: Se demuestra que el enfoque propuesto supera a los LLMs individuales y a métodos de agregación no ponderados bajo restricciones estrictas (sin datos etiquetados, sin ejecución dinámica).

4. Resultados Experimentales

• Dataset: Evaluación realizada en un subconjunto del dataset SBAN (Source-Binary-Assembly-Natural Language), utilizando un conjunto de datos "gold" de 200 muestras de malware de Windows PE con etiquetas verificadas por expertos.
• Métricas: Se utilizaron Precisión, Recall y F1-score macro promediados para abordar el desequilibrio de clases.
• Comparativa:
  • Los modelos individuales mostraron alta variabilidad. GPT-4.1 tuvo la mejor precisión individual (71.0%), pero un F1 macro moderado (40.3%).
  • Votación Mayoritaria Uniforme: Mejoró el rendimiento sobre el mejor modelo individual (Precisión: 74.0%).
  • Ensemble Jerárquico Ponderado (Propuesto): Logró el mejor rendimiento global con una precisión del 75.0% y un Macro-F1 de 48.1%.
• Análisis de Ablación: Se demostró que la combinación de ponderación (calibración de confianza) y jerarquía (resolución de ambigüedad gruesa) es superior a usar solo una de estas técnicas. La jerarquía ayuda a estabilizar decisiones cuando los modelos individuales discrepan en categorías semánticamente cercanas (ej. Troyano vs. Backdoor).

5. Significado y Conclusión

Este trabajo es significativo porque ofrece una solución práctica y escalable para la clasificación de malware en escenarios de mundo abierto, donde las etiquetas son escasas y las técnicas de ofuscación son comunes.

• Robustez: Al no depender de características estáticas específicas ni de reentrenamiento, el sistema es más resistente a la deriva de conceptos (concept drift) y a nuevas variantes de malware.
• Interpretabilidad: La estructura jerárquica alinea el proceso de clasificación con el razonamiento de los analistas de ciberseguridad, proporcionando no solo una etiqueta, sino una justificación implícita basada en el comportamiento.
• Viabilidad: Demuestra que los LLMs preentrenados, cuando se combinan mediante estrategias de ensemble inteligentes y ponderadas, pueden superar a los enfoques tradicionales de aprendizaje profundo en tareas de atribución de malware sin necesidad de costosos recursos de análisis dinámico.

En resumen, el paper valida que un enfoque de ensemble jerárquico ponderado a nivel de decisión es una vía prometedora para automatizar la clasificación de familias de malware de manera robusta, eficiente y sin depender de grandes volúmenes de datos etiquetados.