Integrating APK Image and Text Data for Enhanced Threat Detection: A Multimodal Deep Learning Approach to Android Malware

Résumé technique : Intégration des données d'images et de texte d'APK pour une détection des menaces améliorée

Énoncé du problème
La prolifération de malwares Android sophistiqués de type « zero-day » nécessite des mécanismes de détection robustes allant au-delà de l'analyse statique et dynamique traditionnelle, qui sont souvent vulnérables à l'obfuscation. Bien que des recherches récentes aient démontré l'efficacité de la conversion du bytecode des packages d'applications Android (APK) en représentations d'images pour la détection basée sur l'apprentissage profond, des lacunes importantes subsistent. Les études existantes échouent fréquemment à évaluer systématiquement comment les attributs de l'image — spécifiquement le format de couleur (RVB vs niveaux de gris) et la résolution (ex: 128x128, 256x256, 512x512) — impactent la performance de détection. De plus, les approches basées sur l'image négligent souvent les précieuses données textuelles intégrées dans les APK, telles que les permissions, les métadonnées et les fichiers manifestes. Le potentiel de l'intégration de ces caractéristiques textuelles avec les données d'image via l'apprentissage profond multimodal pour améliorer la précision de la détection reste peu exploré.

Méthodologie
Les auteurs proposent un cadre d'apprentissage profond multimodal pour combler ces lacunes à travers deux phases d'investigation principales :

1. Évaluation des attributs de l'image (RQ1) :

   • Collecte de données : L'étude a utilisé 4 303 malwares APK et 4 039 APK bénins provenant des jeux de données CIC-AndMal2017 et CICMalDroid 2020.
   • Génération d'images : Les fichiers APK ont été décompilés et convertis en flux binaires, puis transformés en deux types d'images : niveaux de gris et RVB. Ceux-ci ont été générés à trois résolutions : 128x128, 256x256 et 512x512.
   • Entraînement du modèle : Huit architectures de réseaux de neurones convolutifs (CNN) pré-entraînés ont été entraînées et testées sur ces ensembles de données : VGG-16, VGG-19, ResNet-50, ResNet-101, ResNet-152, MobileNet-V2, DenseNet-169 et EfficientNet-B4.
   • Métriques : La performance a été évaluée via l'exactitude (accuracy), la précision, le rappel (recall), le score F1 et l'aire sous la courbe ROC (AUC-ROC).

2. Intégration multimodale (RQ2) :

   • Extraction et annotation de texte : Les caractéristiques textuelles (permissions, ressources, données de manifeste) ont été extraites des APK. Un grand modèle de langage (LLM), spécifiquement LLaMA-2, a été employé pour générer des annotations basées sur des prompts résumant ces caractéristiques comme étant « malveillantes » ou « bénignes ».
   • Fusion multimodale : Le texte annoté et les images d'APK correspondantes ont été intégrés dans un ensemble de données multimodal.
   • Évaluation du modèle : Le modèle CLIP (Contrastive Language-Image Pre-training) a été utilisé pour classifier les données combinées image-texte de manière zero-shot. Cela a été comparé aux modèles CNN autonomes et à une base de référence de réseau neuronal quantique (QNN).

Principales contributions

• Analyse systématique de l'image : Le document fournit une évaluation complète des attributs d'image à travers huit architectures CNN, identifiant les configurations optimales pour différents modèles.
• Cadre multimodal novateur : Les auteurs ont développé un cadre qui combine les images d'APK avec des annotations textuelles générées par LLaMA-2, en utilisant le modèle CLIP pour fusionner les caractéristiques visuelles et sémantiques.
• Contribution de jeu de données : Un jeu de données multimodal limité, comprenant diverses images attribuées et leurs annotations textuelles correspondantes, a été créé pour soutenir la recherche ultérieure dans ce domaine.

Résultats

• Détection basée sur l'image (RQ1) :

  • Supériorité du RVB haute résolution : Pour les architectures profondes (ResNet-50, ResNet-101, ResNet-152, EfficientNet-B4), les images RVB à une résolution de 512x512 ont produit la performance la plus élevée, ResNet-101 atteignant 97 % d'exactitude et un ROC AUC de 0,9919.
  • Efficacité équilibrée : La configuration RVB 256x256 a offert un compromis solide entre coût computationnel et performance, particulièrement pour ResNet-152 et DenseNet-169.
  • Optimisations spécifiques aux modèles : VGG-16 a le mieux performé avec des niveaux de gris à basse résolution (128x128), tandis que MobileNet-V2 a atteint une exactitude de pointe (96 %) avec des images 512x512 en formats RVB et niveaux de gris.
  • Tendance générale : Les images RVB ont généralement surpassé les images en niveaux de gris pour les modèles complexes, tandis que les niveaux de gris étaient plus efficaces pour les modèles plus simples ou les résolutions plus basses afin d'éviter le surapprentissage (overfitting).

• Performance multimodale (RQ2) :

  • Succès limité de CLIP : L'approche multimodale utilisant CLIP a faiblement performé, n'atteignant que 50 % d'exactitude (équivalent à un choix aléatoire dans un contexte de classification binaire).
  • Échec de détection de malwares : Le modèle CLIP n'a détecté aucun échantillon de malware (Rappel = 0,00 pour les malwares) et a obtenu un score F1 macro de 0,33.
  • Comparaison : Les modèles basés uniquement sur l'image, particulièrement ResNet-152 (71 % d'exactitude dans l'ensemble de test spécifique utilisé pour la comparaison), ont nettement surpassé l'approche multimodale CLIP. Les auteurs attribuent cela à la taille limitée du jeu de données multimodal (seulement 34 paires image-texte).

Signification et affirmations
Le document affirme que bien que l'intégration multimodale soit une direction prometteuse, son implémentation actuelle utilisant CLIP et de petits jeux de données ne surpasse pas encore les CNN optimisés basés uniquement sur l'image pour la détection de malwares Android. L'étude souligne l'importance critique de l'évaluation systématique des attributs d'image (résolution et espace colorimétrique) pour maximiser l'efficacité de la détection. Les auteurs concluent que les images RVB haute résolution combinées à des CNN profonds (comme ResNet-152 et EfficientNet-B4) offrent actuellement la solution la plus efficace. Ils affirment modestement que l'approche multimodale nécessite des jeux de données plus larges et plus diversifiés, ainsi que des techniques de fusion avancées (au-delà du zero-shot CLIP) pour réaliser son potentiel de renforcement des capacités de détection des menaces.