FARM: Few-shot Adaptive Malware Family Classification under Concept Drift

1. Problématique

Le domaine de la détection de logiciels malveillants (malware) est intrinsèquement dynamique. Les modèles d'apprentissage automatique souffrent d'une dégradation des performances due au dérive de concept (concept drift), causée par l'évolution constante des menaces. Cette dérive se manifeste sous deux formes principales :

• Dérive de covariable (Covariate Drift) : Évolution des comportements et des caractéristiques des familles de malware existantes (les auteurs modifient le code pour éviter la détection tout en conservant l'identité de la famille).
• Dérive d'étiquette (Label Drift) : Émergence de familles de malware entièrement nouvelles et inconnues, introduisant des classes que le modèle n'a jamais vues.

Les approches traditionnelles échouent souvent car elles reposent sur des vues statiques, utilisent des scores de probabilité (softmax) peu fiables pour détecter les échantillons inconnus, et nécessitent un réentraînement coûteux avec de grandes quantités de données étiquetées, ce qui est difficile à obtenir rapidement.

2. Méthodologie : Le Framework FARM

Les auteurs proposent FARM (Few-shot Adaptive Recognition of Malware), un cadre unifié conçu pour les fichiers exécutables portables Windows (PE). L'architecture repose sur trois phases principales :

A. Phase d'Entraînement : Autoencodeur à Triplets

• Entrée : Utilisation des caractéristiques EMBER (représentation statique standard pour les PE).
• Architecture : Un autoencodeur à triplets (Triplet Autoencoder) est entraîné conjointement avec deux fonctions de perte :
  1. Perte de Triplet : Pour apprendre un espace latent discriminatif où les échantillons d'une même classe sont proches et ceux de classes différentes sont éloignés.
  2. Perte MSE (Reconstruction) : Pour préserver l'intégrité structurelle des caractéristiques d'entrée.
• Objectif : Projeter les échantillons dans un espace latent de faible dimension où la similarité sémantique est préservée, atténuant ainsi le fléau de la dimensionnalité.

B. Phase de Détection de Dérive

• Clustering Non Supervisé : Une fois projetés dans l'espace latent, les échantillons sont regroupés à l'aide de l'algorithme DBSCAN (Density-Based Spatial Clustering of Applications with Noise).
  • Avantage : DBSCAN ne nécessite pas de connaître le nombre de clusters à l'avance et peut identifier des sous-structures au sein d'une même famille.
• Détection d'Outliers : Pour chaque cluster (représentant une famille ou un sous-groupe), un seuil d'acceptation ($\tau$) est calculé basé sur la distance maximale entre les membres du cluster et leur centroïde.
• Logique : Si un nouvel échantillon dépasse le seuil de tous les clusters connus, il est flaggé comme "dérivé" (drifted) et mis en tampon (buffer) pour analyse ultérieure, plutôt que d'être forcé dans une classe existante.

C. Phase d'Adaptation

Le système utilise une stratégie hybride pour s'adapter aux nouvelles données :

1. Adaptation "Few-Shot" (Immédiate) :
   • Les échantillons dérivés accumulés dans le tampon sont re-clusteringés (avec un seuil minimal de 10 échantillons).
   • Si un nouveau cluster cohérent est formé, un prototype (moyenne des embeddings) est généré.
   • Ce prototype est ajouté à l'ensemble des classes connues. Le classifieur peut alors reconnaître de nouvelles familles ou variantes avec très peu d'exemples étiquetés, sans réentraînement complet du modèle.
2. Réentraînement Complet (Long terme) :
   • Lorsqu'un nombre suffisant d'échantillons (ex: 100) d'une nouvelle famille est accumulé, le modèle subit un réentraînement complet.
   • Cela intègre formellement la nouvelle famille dans l'espace latent et met à jour les seuils de décision pour une stabilité à long terme.

3. Contributions Clés

• Cadre Unifié : Première approche combinant détection de dérive par métrique (triplet autoencoder + DBSCAN) et adaptation few-shot pour les malware Windows PE.
• Détection Sans Confiance Softmax : Remplacement des scores de confiance des classifieurs (souvent trop confiants) par une analyse de distance dans l'espace latent et de densité de clusters.
• Adaptation Rapide et Évolutive : Capacité à intégrer de nouvelles familles avec seulement quelques échantillons (few-shot) tout en permettant une consolidation via réentraînement lorsque les données sont suffisantes.
• Focus Windows PE : Contrairement à la plupart des travaux antérieurs axés sur Android, ce cadre cible spécifiquement les fichiers PE Windows, un vecteur d'attaque majeur (>300 000 détections quotidiennes).

4. Résultats Expérimentaux

Les évaluations ont été menées sur le jeu de données BenchMFC (223 000+ échantillons, 526 familles, étiquetés temporellement).

• Détection de Dérive :
  • Dérive de covariable : FARM détecte efficacement les variantes évolutives. L'adaptation améliore le score F1 moyen de 5,6 % par rapport à un modèle statique.
  • Dérive d'étiquette : Le modèle détecte 84 % des familles totalement nouvelles comme étant des dérivées (outliers).
• Adaptation Few-Shot :
  • Sur des familles inconnues, FARM atteint un score F1 moyen de 0,85 avec seulement quelques exemples étiquetés.
  • Après réentraînement complet, ce score grimpe à 0,94.
• Comparaison : FARM surpasse les méthodes de référence comme CADE (basé sur la perte contrastive) et des variantes ablatées, démontrant une meilleure équilibre entre précision et rappel grâce à l'utilisation de seuils dynamiques basés sur DBSCAN.
• Limites observées : La détection échoue parfois lorsque de nouvelles familles (ex: vobfus) partagent des caractéristiques comportementales trop fortes avec des familles d'entraînement connues, les rendant difficiles à distinguer dans l'espace latent.

5. Signification et Impact

Ce travail démontre qu'il est possible de maintenir la performance des classifieurs de malware dans des environnements dynamiques sans dépendre d'un étiquetage massif et coûteux.

• Réactivité : La capacité few-shot permet une réponse immédiate aux menaces zero-day ou aux nouvelles familles.
• Robustesse : L'approche basée sur la métrique et le clustering offre une détection de dérive plus fiable que les méthodes basées sur la confiance des classifieurs.
• Opérationnalité : Le cadre propose un pipeline pratique pour les systèmes de sécurité réels, alternant entre adaptation rapide (prototypes) et consolidation (réentraînement), ce qui est crucial pour la cybersécurité moderne où les menaces évoluent quotidiennement.

En conclusion, FARM fournit une solution viable pour la classification de familles de malware sous dérive de concept, en comblant le fossé entre la détection de l'anomalie et l'adaptation du modèle avec une supervision minimale.