Multi-View Decompilation for LLM-Based Malware Classification

Resumen Técnico: Descompilación de Vista Múltiple para la Clasificación de Malware Basada en LLM

Declaración del Problema
Los analistas de malware dependen frecuentemente del código pseudo-C descompilado para inspeccionar binarios compilados cuando el código fuente no está disponible. Aunque los Modelos de Lenguaje de Gran Escala (LLM) han mostrado potencial para automatizar la clasificación de dicho código descompilado como benigno o malicioso, los procesos existentes suelen depender de la salida de un único descompilador. Los autores argumentan que esta suposición es frágil porque la descompilación es un proceso heurístico y con pérdida de información. Diferentes herramientas toman decisiones distintas con respecto a la recuperación del flujo de control, el nombrado de variables, la inferencia de tipos y la simplificación de expresiones. En consecuencia, la vista de un solo descompilador puede ocultar comportamientos maliciosos o introducir artefactos específicos de la herramienta que confundan al LLM, mientras que otra herramienta podría exponer el mismo comportamiento con mayor claridad.

Metodología
Para investigar si las múltiples vistas de descompilación proporcionan evidencia complementaria, los autores construyeron un benchmark equilibrado de 100 programas en C (50 utilidades benignas y 50 muestras maliciosas que cubren familias como Mirai, MyDoom y rootkits). Cada programa fue compilado en un archivo objeto ELF de 64 bits para x86 y descompilado utilizando dos herramientas de código abierto ampliamente utilizadas: Ghidra y RetDec.

El estudio evaluó un panel de cinco LLM ajustados para instrucciones (incluyendo GPT-5.4-mini, Claude Haiku 4.5, Llama-3.3-70B, Qwen3-35B y Gemini-2.5-flash-lite) a través de tres configuraciones de prompting:

1. Vista Única (Single-View): El LLM clasifica la salida de Ghidra o de RetDec de forma independiente.
2. Vista Múltiple (Multi-View): El LLM recibe ambas vistas descompiladas en un solo prompt, con la instrucción de tratarlas como representaciones complementarias del mismo binario.
3. Consenso Activado por Desacuerdo (Disagreement-Triggered Consensus): El sistema ejecuta primero las predicciones de vista única; si coinciden, se acepta esa etiqueta. Si hay un desacuerdo, se activa un prompt de vista múltiple para resolver el conflicto.

La evaluación se centró en la clase maliciosa, priorizando la exhaustividad (recall) y la puntuación F1, ya que los falsos negativos (omitir malware) son particularmente costosos en escenarios de triaje.

Resultos Clave

• Variabilidad del Descompilador: La elección del descompilador impacta significativamente el rendimiento de la clasificación. Ninguna herramienta fue universalmente superior; por ejemplo, Ghidra arrojó mejores resultados para los modelos Qwen y GPT, mientras que RetDec funcionó mejor para Llama-3.3-70B.
• Ganancias de Rendimiento: La configuración de Vista Múltiple superó consistentemente a las líneas base de vista única en la mayoría de las familias de modelos. Mejoró la puntuación F1 de la clase maliciosa hasta en +13.9 puntos (para Gemini-2.5-flash-lite) y +7.9 puntos (para Llama-3.3-70B) en comparación con el mejor resultado de vista única.
• Mecanismo de Mejora: Las ganancias fueron impulsadas principalmente por un aumento en la exhaustividad (recall). El análisis de los desacuerdos de predicción mostró que cuando un descompilador ocultaba el comportamiento malicioso (provocando un falso negativo), el otro a menudo exponía evidencia suficiente para que el LLM identificara correctamente la muestra como maliciosa.
• Eficiencia del Modelo: El enfoque de vista múltiple fue particularmente efectivo para modelos más pequeños y de menor costo, permitiéndoles cerrar la brecha de rendimiento con modelos más grandes y costosos (ej. Gemini Pro).
• Regla de Consenso: La regla de consenso activado por desacuerdo fue competitiva pero generalmente no superó al prompting directo de vista múltiple, lo que sugiere que el beneficio de combinar las vistas se extiende más allá de la simple resolución de desacuerdos explícitos.

Significancia y Contribuciones
El artículo realiza tres contribuciones principales:

1. Un Benchmark Curado: Un conjunto de datos de salidas emparejadas de Ghidra y RetDec para 100 programas en C benignos y maliciosos, lo que permite una evaluación reproducible de la variabilidad del descompilador.
2. Una Formulación de Vista Múltiple: Un nuevo pipeline que trata las salidas de múltiples descompiladores como evidencia complementaria en lugar de depender de una única representación canónica.
3. Validación Empírica: Evidencia de que la diversidad de descompiladores es un método sencillo, que no requiere entrenamiento, para mejorar el triaje de malware basado en LLM.

Reivindicaciones de Significancia
Los autores posicionan este trabajo como una solución práctica para el triaje de malware en el mundo real. Enfatizan que el prompting de múltiples descompiladores mejora las tasas de detección (específicamente la exhaustividad) sin requerir entrenamiento de modelos, acceso al código fuente o arquitecturas de ensamble complejas. Al aprovechar descompiladores de código abierto existentes y LLM comerciales, este enfoque ofrece una forma rentable de mitigar la naturaleza "frágil" de la descompilación de vista única, asegurando que los comportamientos maliciosos ocultos por las heurísticas de una herramienta no sean omitidos.

Limitaciones
Los autores reconocen varias restricciones:

• El benchmark utiliza archivos objeto reubicables (.o) en lugar de ejecutables completos, lo que puede no capturar totalmente el contexto de los binarios desplegados.
• El estudio asume una descompilación limpia; no evalúa el rendimiento frente a binarios fuertemente ofuscados, empaquetados o con endurecimiento contra la descompilación.
• Los hallazgos se basan en dos descompiladores específicos (Ghidra y RetDec) y pueden variar con herramientas propietarias o un mayor número de vistas.