💻 computer science

MalTree: Tracing Malware Evolution from Embeddings at Scale

El artículo presenta MalTree, un marco escalable que adapta las técnicas filogenéticas de la bioinformática para modelar automáticamente la evolución del malware utilizando características estructurales, conductuales y basadas en imágenes, logrando un 87% de consistencia temporal y permitiendo estrategias de defensa proactivas y conscientes del linaje.

Autores originales: Akash Amalan, Georgios Smaragdakis, Tom J. Viering

Publicado 2026-06-08

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Akash Amalan, Georgios Smaragdakis, Tom J. Viering

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina el mundo de los virus informáticos (malware) no como un montón caótico de código malicioso aleatorio, sino como un gigantesco y evolutivo árbol genealógico, muy parecido a la historia de los humanos o a la propagación de un virus de la gripe.

Durante mucho tiempo, los expertos en seguridad han jugado al "golpea al topo". Esperan a que aparezca un nuevo virus, lo estudian y luego construyen un escudo para detenerlo. Pero para cuando construyen el escudo, el virus ya ha cambiado su apariencia, se ha colado y ha creado una nueva versión. Este artículo, MalTree, propone una forma de dejar de jugar al golpea al topo y empezar a comprender la historia familiar.

Aquí está el desglose de cómo lo hicieron, utilizando analogías sencillas:

1. El Problema: El juego "Reactivo"

Imagina la detección de malware como un portero de un club. El portero tiene una lista de tipos malos conocidos (firmas). Si alguien parece un tipo malo de la lista, se le expulsa. Pero los tipos malos son inteligentes; usan disfraces (cifrado) o cambian de ropa (polimorfismo) para parecer diferentes. Para cuando el portero actualiza la lista, el tipo malo ya ha cambiado de nuevo.

Los autores argumentan que, en lugar de mirar solo a los "tipos malos" individuales, deberíamos mirar su árbol genealógico. Si sabemos que el "Virus A" es el padre del "Virus B", y el "Virus B" es el padre del "Virus C", podemos predecir cómo será el "Virus D" incluso antes de que aparezca.

2. La Solución: MalTree (El Genealogista Digital)

Los investigadores construyeron una herramienta llamada MalTree. En lugar de leer el código línea por línea (que es como intentar leer un libro escrito en un idioma que no hablas), utilizaron un método tomado de la biología llamado Filogenética.

El ADN del Malware: En biología, los científicos comparan el ADN para ver qué tan relacionados están dos animales. MalTree hace lo mismo con el malware. Toma un virus y lo convierte en una "huella digital" (llamada embedding o incrustación).
Tres tipos de huellas digitales: Para obtener una imagen completa, no se limitaron a mirar una sola cosa. Miraron tres "ángulos" diferentes:
1. El Esqueleto (Estático): Cómo se ve el código cuando está congelado (como mirar el bloque del motor de un coche).
2. El Comportamiento (Dinámico): Qué hace el virus cuando se ejecuta (como observar un coche conducir para ver si acelera o da bandazos).
3. Lo Visual (Imagen): Convirtieron el código en una imagen (como un código de barras) y utilizaron IA para "ver" patrones, de forma similar a cómo un humano reconoce un rostro.

Combinaron estas tres visiones en una única huella digital superdetallada para cada virus.

3. Construyendo el Árbre

Una vez que tuvieron las huellas digitales, utilizaron matemáticas (específicamente algoritmos llamados UPGMA y Neighbor-Joining) para calcular qué tan "diferente" es cada virus de todos los demás.

Si dos virus tienen huellas digitales muy similares, se colocan cerca en el árbol (hermanos).
Si son muy diferentes, se colocan lejos (primos lejanos).

Hicieron esto para 103,883 muestras de malware distintas. ¡Eso es una reunión familiar masiva!

4. La Prueba de la "Máquina del Tiempo"

Una gran pregunta es: ¿Es este árbol realmente real, o la computadora simplemente lo adivinó?

Para demostrar que funciona, los investigadores utilizaron marcas de tiempo de VirusTotal (la fecha en que un virus fue reportado por primera vez en internet).

La Lógica: En un árbol genealógico real, el "padre" debe existir antes que el "hijo".
La Prueba: Comprobaron si los virus que aparecieron antes en el tiempo estaban realmente situados más arriba en el árbol (más cerca de la raíz) que los que aparecieron más tarde.
El Resultado: Funcionó el 87% de las veces. Esto significa que el árbol que construyeron coincide con la historia real de cómo evolucionaron estos virus.

5. Lo que Encontraron (Los Momentos "¡Ajá!")

El artículo destaca algunos descubrimientos clave utilizando este árbol:

Diferentes Velocidades: Al igual que algunas familias tienen hijos cada año y otras esperan una década, algunas familias de malware evolucionan muy lentamente, mientras que otras mutan increíblemente rápido. Una familia (Bashlite) cambió más de 10 veces más rápido que otras. Esto sugiere que los equipos de seguridad no pueden usar una defensa de "talla única"; necesitan adaptar su velocidad a la familia de virus específica.
La Botnet Mirai: Rastrearon el famoso virus Mirai (que causó un enorme apagón de internet en 2016). El árbol identificó correctamente a sus "hijos", incluyendo a Bashlite, Okiru y Gafgyt. Esto coincidió con lo que los expertos humanos ya sabían tras años de investigación manual, demostrando que la computadora puede hacer en horas lo que a los humanos les toma meses.
El Probleo de los "Hubs" (Nodos Centrales): Descubrieron que algunos virus actúan como "camiones de reparto" (loaders) que transportan muchos tipos diferentes de cargas útiles (payloads) maliciosas. El árbol mostró estas conexiones, pero también advirtió que, a veces, los virus parecen emparentados solo porque utilizan las mismas herramientas, no porque sean realmente familia.

La Conclusión

MalTree es una herramienta que convierte el caos del malware en un árbol genealógico organizado. Al comprender la historia familiar, los expertos en seguridad pueden dejar de limitarse a reaccionar ante el último disfraz y empezar a anticipar cómo evolucionará la siguiente familia de virus.

Es como pasar de intentar atrapar a un solo ladrón en la oscuridad a tener un mapa de todo el submundo criminal, sabiendo exactamente quién está relacionado con quién y dónde es probable que golpeen después.

Resumen Técnico: MalTree – Rastreo de la Evolución del Malware mediante Embeddings a Escala

1. Planteamiento del Problema

Los paradigmas actuales de detección de malware son fundamentalmente reactivos. Los modelos de aprendizaje automático entrenados en muestras conocidas se degradan a medida que las amenazas evolucionan mediante el polimorfismo, el metamorfismo y la ofuscación. Si bien la comprensión de las relaciones evolutivas entre familias de malware podría informar una defensa proactiva, la ingeniería inversa tradicional para descubrir el linaje es lenta, tomando a menudo meses o años. Además, los enfoques filogenéticos existentes en el análisis de malware están limitados por tamaños de muestra pequeños, modalidades de características únicas o la falta de validación temporal para confirmar si los árboles inferidos reflejan cronologías de emergencia reales. Existe una brecha crítica en la capacidad de escalar el análisis evolutivo a grandes conjuntos de datos y en validar si las similitudes estructurales corresponden a linajes históricos genuinos.

2. Metodología

Los autores proponen MalTree, un marco que aplica técnicas filogenéticas inspiradas en la bioinformática a muestras de malware a una escala sin precedentes. El flujo de trabajo consta de cuatro etapas principales:

2.1. Extracción de Embeddings Multimodales

En lugar de analizar binarios crudos (que suelen estar empaquetados), MalTree analiza volcados de memoria extraídos de ejecuciones controladas en entornos de sandbox para revelar el código desencriptado y los estados de ejecución. Extrae tres embeddings complementarios:

Pseudo-estático ( $e_s$ ): Derivado de las secciones ejecutables (cabeceras, importaciones, exportaciones, opcodes) utilizando la biblioteca LIEF, codificado mediante un modelo de embedding de texto (OpenAI text-embedding-3-large) a 3,000 dimensiones, concatenado con histogramas de bytes.
Dinámico ( $e_d$ ): Captura trazas de comportamiento (actividad de archivos, procesos, registro, red, mutex) de la ejecución en el sandbox, codificado a 1,000 dimensiones.
Imagen ( $e_i$ ): Volcados de memoria convertidos en imágenes RGB (bin2png) y procesados a través de una arquitectura ResNet-50 preentrenada en benchmarks de imágenes de malware y ajustada (fine-tuned) sobre el conjunto de datos, produciendo vectores de 2,048 dimensiones.

Estos embeddings se fusionan mediante concatenación y una red neuronal de dos capas, reduciendo la representación combinada de 6,560 dimensiones a una de 1,000 dimensiones para la construcción del árbol.

2.2. Construcción del Árbol

El marco construye árboles filogenéticos a partir de distancias pareadas en el espacio de embeddings utilizando dos algoritmos basados en distancia:

UPGMA (Método de Unión de Pares Desponderado con Media Aritmética): Asume una tasa evolutiva constante (reloj molecular).
Neighbor-Joining (NJ - Unión de Vecinos): Acomoda la heterogeneidad de las tasas, permitiendo que los linajes evolucionen a diferentes velocidades.
Los autores utilizan RapidNJ para lograr una escalabilidad cercana a $O(n^2)$ , lo que permite el procesamiento de más de 100,000 muestras.

2.3. Validación Temporal

Dado que el malware carece de secuencias genéticas y fechas de divergencia conocidas, MalTree introduce un método de validación novedoso utilizando los timestamps de la primera sumisión en VirusTotal como proxies de la emergencia temporal.

Enraizamiento (Rooting): Los árboles se enraízan utilizando la muestra con el timestamp más antiguo (enraizamiento por outgroup) o mediante enraizamiento de punto medio (midpoint rooting).
Métrica de Consistencia: El marco valida el árbol comparando el orden de divergencia inferido contra los timestamps. Para pares hermanos que comparten un Ancestro Común Más Reciente (MRCA), se infiere que la muestra con la longitud de rama (distancia de rama) más corta hacia el MRCA surgió primero. Se calcula un "puntaje de consistencia temporal" como la proporción de pares hermanos donde el orden inferido por el árbol coincide con el orden de los timestamps.

2.4. Análisis Inter-familiar

Para inferir relaciones entre familias, el marco agrega muestras por familia (determinada por etiquetas de consenso de VirusTotal). Calcula la distancia de ruta mediana desde las hojas de cada familia hasta su MRCA compartido. Se crean aristas dirigidas desde la familia con la distancia mediana más corta (divergencia más temprana) hacia la familia con la distancia más larga, donde los pesos de las aristas representan la distancia mediana de la familia origen.

3. Contribuciones Clave

Análisis Filogenético a Gran Escala: Los autores construyeron árboles filogenéticos validados a partir de 103,883 muestras de malware que abarcan 538 familias. Este análisis se completó en aproximadamente 11 horas (UPGMA) o 3 días (NJ) en un clúster de 20 núcleos, representando el análisis más grande de este tipo hasta la fecha.
Marco de Validación Temporal: El artículo introduce un método para validar la direccionalidad evolutiva utilizando los timestamps de VirusTotal, abordando una brecha en trabajos previos donde los árboles inferidos no eran verificados contra las líneas de tiempo de emergencia del mundo real.
Perspectivas Evolutivas Interpretables: El marco incluye métodos para la simplificación de árboles y el análisis inter-familiar que revelan relaciones consistentes con la inteligencia de ciberseguridad pública (por ejemplo, el linaje del botnet Mirai).
Lanzamiento Abierto: El código y los embeddings se liberan a la comunidad para facilitar investigaciones adicionales.

4. Resultados Experimentales

Calidad de los Embeddings: Los embeddings multimodales combinados lograron una precisión de clasificación de familias del 93.69% usando un probe lineal, superando a las modalidades individuales. Los embeddings de imagen por sí solos alcanzaron un 94.91%, lo que sugiere que la estructura visual discrimina fuertemente las familias.
Consistencia Temporal: El algoritmo Neighbor-Joining con enraizamiento por outgroup logró un puntaje de consistencia temporal del 87.1%. Esto indica que las relaciones evolutivas inferidas se alinean estrechamente con las líneas de tiempo de emergencia del mundo real. En contraste, UPGMA funcionó bien (86.0%) en su configuración nominal, pero se degradó significamente cuando se forzó en esquemas de enraizamiento alternativos, sugiriendo que la evolución del malware a menudo viola la suposición de tasa constante.
Tasas Evolutivas: El análisis del drift (deriva) de los embeddings reveló que las tasas de mutación no son uniformes entre familias. Algunas familias (por ejemplo, Bashlite, Syslogk) exhiben una deriva más de 10 veces mayor que otras, violando la suposición del reloj molecular requerida por UPGMA y favoreciendo a Neighbor-Joining.
Estudios de Caso:
- Botnet Mirai: El árbol inferido identificó correctamente cinco descendientes conocidos de Mirai (Bashlite, Okiru, MooBot, Gafgyt, Rapperbot) con pesos de arista consistentes con el linaje de código documentado y la inteligencia de amenazas. El análisis estático de los símbolos de importación/exportación confirmó una alta reutilización de código (por ejemplo, un 82% de superposición entre Mirai y Okiru).
- SmokeLoader: El marco identificó asociaciones en la cadena de entrega (por ejemplo, con Amadey, RedLine) en lugar de herencia de código, demostrando su capacidad para capturar la proximidad operativa.
- Limitaciones Observadas: El marco capturó similitudes funcionales en lugar de organizacionales. Por ejemplo, el ecosistema de Conti (grupo Wizard Spider) no se agrupó junto debido a que las herramientas (troyanos bancarios, loaders, ransomware) ocupaban regiones diferentes del espacio de características a pesar de compartir autoría.

5. Significancia y Reivindicaciones

El artículo afirma que MalTree proporciona una base para cambiar el análisis de malware de la clasificación muestra por muestra hacia un modelado evolutivo consciente del linaje. Al demostrar que los métodos filogenéticos pueden capturar estructuras evolutivas significativas a escala, el trabajo sugiere que las estrategias de detección deben adaptarse a los tempos evolutivos específicos de las familias de malware.

Los autores enfatizan que su enfoque complementa los flujos de trabajo existentes al producir perspectivas evolutivas en semanas en lugar de los meses requeridos para la ingeniería inversa manual. Sin embargo, mantienen la modestia sobre su alcance, señalando que:

El marco captura relaciones funcionales (reutilización de código, toolkits compartidos) en lugar de organizacionales (atribución de actores de amenazas).
No puede distinguir automáticamente entre la evolución del código, las asociaciones de la cadena de entrega y la proximidad incidental en el espacio de características.
La validez de los árboles inferidos depende de la suposición de que las longitudes de rama más cortas dentro de los pares hermanos corresponden a una emergencia más temprana, una suposición de "reloj local" que se sostiene empíricamente para divergencias superficiales pero que requiere mayor validación para evoluciones altamente irregulares.

En última instancia, MalTree ofrece un método escalable y automatizado para visualizar y validar el ecosistema digital co-evolutivo del malware, proporcionando a los profesionales de la seguridad hipótesis para la investigación y una comprensión más profunda de cómo evolucionan las familias de malware a lo largo del tiempo.