DLMC_Net: Adaptive Self Attention Module and Customized Convolutional Neural Network with Borderline SMOTE for Classification of Malwares using Byte Code Images

Resumen Técnico: DLMC_Net para la Clasificación de Malware

Planteamiento del Problema
La rápida proliferación de variantes de malware sofisticadas y generadas automáticamente ha hecho que los sistemas tradicionales de detección basados en firmas sean cada vez más ineficaces. Si bien se han adoptado métodos de aprendizaje automático (ML) y aprendizaje profundo (DL) para automatizar la detección, los métodos tradicionales de ML suelen depender de características diseñadas manualmente que requieren un alto conocimiento y tienen dificultades con el malware ofuscado o de anti-análisis. Además, los enfoques de aprendizaje profundo existentes suelen enfrentarse a dos desafíos críticos: la pérdida de información semántica durante la conversión de binario a imagen (debido al truncamiento o relleno) y el severo desequilibrio de clases en conjuntos de datos de referencia como Malimg, donde ciertas familias de malware superan ampliamente a otras, lo que provoca un entrenamiento de modelos sesgado.

Metodología
Los autores proponen DLMC_Net, un nuevo marco de aprendizaje profundo diseñado para la clasificación multiclase de 25 familias de malware utilizando Imágenes de Código de Bytes (BCI, por sus siglas en inglés). La metodología integra tres componentes principales:

1. Backbone de CNN Personalizado: El modelo emplea una Red Neuronal Convolucional adaptada para extraer características espaciales locales de entradas de BCI en escala de grises de 150×150. Este backbone consta de dos bloques convolucionales, cada uno con una capa convolucional, Normalización de Lote (Batch Normalization, para estabilizar el entrenamiento y prevenir el desplazamiento de la covarianza interna), activación ReLU y Max Pooling (para reducir el submuestreo y el costo computacional).
2. Módulo de Autoatención Adaptativa: Para abordar la limitación de las CNN en la captura del contexto global, las características espaciales extraídas se pasan a través de un mecanismo de autoatención adaptativa. Este módulo aprende dinámicamente la importancia de diferentes regiones espaciales mediante el cálculo de matrices de Consulta (Q), Clave (K) y Valor (V). Calcula puntuaciones de atención para ponderar las características locales según su relevancia, capturando así dependencias de largo alcance y resaltando regiones de malware discriminativas mientras suprime la información redundante.
3. Borderline SMOTE (BLS) para el Desequilibrio de Clases: Reconociendo el desequilibrio de clases inherente en el conjunto de datos Malimg, los autores utilizan la técnica Borderline SMOTE. A diferencia del SMOTE estándar, BLS se centra en generar muestras sintéticas para las clases minoritarias específicamente cerca de las fronteras de decisión (donde es más probable la clasificación errónea). Esta estrategia de sobremuestreo asegura una distribución equilibrada de los datos de entrenamiento, evitando que el modelo se sesgue hacia las clases mayoritarias.

El flujo de trabajo implica convertir los binarios de malware en BCI, redimensionarlos, normalizar los datos, aplicar BLS para el equilibrio y luego entrenar la arquitectura DLMC_Net. La clasificación final se realiza mediante capas totalmente conectadas y una función de activación Softmax.

Contribuciones Clave
El artículo describe cinco contribuciones primarias:

1. Arquitectura Novedosa: El diseño de una estructura CNN personalizada optimizada específicamente para la clasificación robusta de malware multiclase utilizando BCI.
2. Integración de Atención: La incorporación de un módulo de autoatención adaptativa dentro de la CNN para mejorar la representación de características mediante la captura de patrones locales y dependencias globales.
3. Simplificación del Modelo: Una reducción en el número total de parámetros entrenables en comparación con modelos pre-entrenados complejos, lo que hace que la arquitectura sea más eficiente.
4. Gestión del Desequilibrio: La aplicación de Borderline SMOTE al conjunto de datos Malimg para reforzar la representación de las clases minoritarias y mejorar la robustez de la clasificación.
5. Evaluación Exhaustiva: Un análisis comparativo profundo frente a modelos de referencia (SOTA) de última generación, demostrando métricas de rendimiento superiores.

Resultados Experimentales
El modelo fue evaluado en el conjunto de datos de referencia Malimg (9,366 imágenes a través de 25 clases) y comparado con cuatro modelos de aprendizaje profundo de referencia: VGG-16, InceptionResNet-V2, EfficientNet-B2 y DenseNet-201.

• Rendimiento con BLS: El propuesto DLMC_Net, al combinarse con BLS, alcanzó métricas de rendimiento excepcionales:
  • Exactitud (Accuracy): 99.92%
  • Precisión (Precision): 99.92%
  • Exhaustividad (Recall): 99.92%
  • Puntuación F1 (F1-Score): 99.91%
  • AUC: 99.96%
• Comparación: Estos resultados superaron significativamente a todos los modelos de referencia, que alcanzaron precisiones situadas entre el 91.42% y el 92.24%.
• Estudio de Ablación: El estudio confirmó la necesidad de cada componente. Una versión del modelo sin BLS o sin el módulo de atención cayó al 82.95% de exactitud. Añadir BLS mejoró esto al 87.23%, y la integración total del módulo de atención resultó en la exactitud final del 99.92%. Esto demuestra que la sinergia entre los datos equilibrados y el mecanismo de atención es crítica para una clasificación de alto rendimiento.

Significancia y Reivindicaciones
Los autores afirman que DLMC_Net proporciona una solución altamente efectiva y confiable para la clasificación de malware a gran escala. La significancia del trabajo reside en su capacidad para superar las limitaciones tanto de la detección tradicional basada en firmas como de los enfoques estándar de aprendizaje profundo mediante:

• El manejo efectivo del problema de desequilibrio de clases que suele afectar a los conjuntos de datos de malware.
• La captura de patrones estructurales locales y dependencias contextuales globales a través de la arquitectura híbrida CNN-Atención.
• El logro de una exactitud de clasificación casi perfecta (99.92%) en un estándar de referencia, lo que sugiere que puede asistir eficientemente a los expertos en seguridad en la identificación de diversas familias de malware.

El artículo concluye que el marco propuesto es un enfoque escalable para aplicaciones del mundo real y sugiere trabajos futuros que involucren la integración de Aprendizaje Automático Cuántico (QML) para mejorar aún más el poder de representación y la eficiencia computacional.